ベからず集
⾞載器編〜失敗しないための事例集〜

Ver. 1.0

平成29年5月29日

CCDS セキュリティガイドラインWG
⾞載 SWG
Copyright 2017 Connected Consumer Device Security Council Proprietary

1

目次構成
章

No
はじめに
失敗しないための事例集

1
2
01
02
03
04
05
06
07
08
09
10
11
12
13
14
15
16
17
18
19
20

パスワードは推測されにくいものになっていますか︖
パスワードは変更できるようになっていますか︖
必要のないTelnetポートは閉じていますか︖
外部からアクセス可能なデータについて、情報の種類毎による設定とその設定に合ったアクセス制限が施されていますか︖
バッファオーバーフローを発⽣させないようにしていますか︖
接続されている機器の実⾏権限をきちんと確認していますか︖
整備ツールや診断ツールが攻撃に使われることを前提に考えられていますか︖
アフターマーケット機器を接続することで新たな脆弱性が付加される可能性を認識していますか︖
電波が弱ければ⼤丈夫と思っていませんか︖
同じ暗号鍵を共通で使⽤していませんか︖
キーレスエントリーのIDコードが盗まれないと思っていませんか︖
Bluetoothでの接続は安全だと過信していませんか︖
自動車内部で使う無線通信に暗号化を忘れていませんか？
車載器に認証なしに簡単にアクセスできるようになっていませんか？
ジャミングされるという可能性を考えていますか？
運転⽀援システムに使うセンサ情報は信頼できますか︖
車外からの不必要な通信に対してオープンな接続になっていませんか？
遠隔からの攻撃に対する脆弱性が高まっていることを認識していますか？
つながれる機器のセキュリティレベルが低い場合があることを認識していますか？
外部から攻撃を受けても、システムの安全性が確保できるようになっていますか？
参考文献
Copyright 2017 Connected Consumer Device Security Council Proprietary21. はじめに
昨年リリースした「製品分野別セキュリティガイドライン︓⾞載器編」では、⾞載器やシステムの開発に関わる企業の開発者を主な対象として、⾞載器において適切なセキュリティ対策を実施するためのガイドラインを１８項目の指針という形でまとめた。また、脅威事例の評価に必要なリスク評価⼿法を調査し、国内外の発表文献から集めた脅威事例を使い、実際にリスク評価を⾏い傾向分析の結果を示した。しかしながら、具体的な対策等を示したガイドラインとはなっておらず、指針をもとに何をしたらよいかがイメージしにくいものであった。そこで、過去に起こった⾞載器に対する攻撃事
例やIT分野の事例から、脆弱性のもととなった失敗事例を参考に、「べからず集︓⾞載器編 〜失敗しないための事例集〜」としてまとめた。

Copyright 2017 Connected Consumer Device Security Council Proprietary3

2. 失敗しないための事例集■ 01 パスワードは推測されにくいものになっていますか︖
パスワードを知られてしまうと、正当な権限を持たない者に⾃動⾞システムの機能を「不正利⽤」される脅威が高まる。設計の段階で、推測されやすいパスワードや短いパスワードの設定を回避する対策等が必要である。また、初期パスワードのまま使い続けないことや、定期的なパスワードの変更をユーザに推奨する等の配慮も必要である。
【失敗事例】
電気⾃動⾞の専⽤アプリの脆弱性を利⽤し、インターネット経由で、他⼈の⾃動⾞のエアコンやファンを作動させたり、運転履歴を取得したりした事例。
専⽤アプリのAPIには認証の仕組みが実装されておらず、個々の⾃動⾞に割り当てられた⾞両識別番号の下5ケタさえ分かれば⾃動⾞にアクセスし制御することができた。

Copyright 2017 Connected Consumer Device Security Council Proprietary4

2. 失敗しないための事例集■ 02 パスワードは変更できるようになっていますか︖
更新の⼿間や管理の容易さの⾯から固定パスワードを利⽤する場合も多いが、⼀度パスワードが知られてしまうと、正規ユーザと同じ権限を持つこととなり不正利⽤をゆるしてしまう。また、パスワードをハードコードすると、それらの情報を攻撃者にさらしてしまう危険性があり、パスワードの漏えいにつながるため注意が必要である。
【失敗事例】
PHEV⾞に搭載された無線LANアクセスポイントのパスワードが、単純で非常に短いため容易に解読可能であった。このためモバイルアプリで遠隔操作できる機能がハッキングされ、⾞のライトやエアコンを付けたり盗難警報を解除された。この事例では無線LANアクセスポイントのパスワードが変更できない仕様になっていたため、当⾯の対策としてモバイルアプリの使⽤停止をユーザに注意喚起するしかなかった。

Copyright 2017 Connected Consumer Device Security Council Proprietary5

2. 失敗しないための事例集■ 03 必要のないTelnetポートは閉じていますか︖
IoT機器がマルウェアに感染し、⼤規模ボットネットに組み込まれ、「DDoS攻撃」（分散型サービス妨害攻撃）の踏み台に使⽤されるという事例が近年増加している。マルウェアに感染して攻撃の踏み台とならないためには、Telnet
ポートやSSHポート等、必要のないポートは閉じて、デフォルトのままユーザ
名やパスワードを使わない等の注意が必要である。
【失敗事例】
2016年9月に発⽣した史上空前のDDoS攻撃では、不⼗分なIoT機器のセキュ
リティを悪⽤してマルウェアを感染させ、攻撃の踏み台として利⽤した。
これらの踏み台にされたIoT機器では、
Telnetポートを開いたままにしており、「root」とか「admin」等良く使われるパス
ワードをデフォルトのまま使っていた。このマルウェアは初期設定で良く使⽤されるユー
ザ名とパスワードのリストを持っており、
Telnetポートを使⽤するIPアドレスをランダ
ムにスキャンし、脆弱なIoT機器を⾒つけ出してはマルウェアを拡散させていた。
Copyright 2017 Connected Consumer Device Security Council Proprietary6

2. 失敗しないための事例集■ 04 外部からアクセス可能なデータについて、情報の種類毎による設
定とその設定に合ったアクセス制限が施されていますか︖
⾞載器の場合、⼀般の顧客がアクセス可能な情報以外に、カーディーラー等の保守員がアクセスするメインテナンス情報や、開発者が扱う設計情報等がある。これらの情報に対しては、情報の種類毎にアクセス制限を設け、適切な関係者のみ閲覧できるようにする必要がある。
【失敗事例】
情報の種類毎にアクセス制限を設けていなかった為、元従業員によって無断で顧客情報18万件及び営業の秘密情報が不正に社外に持ち出され、インター
ネット上にその情報が公開されてしまった。

Copyright 2017 Connected Consumer Device Security Council Proprietary7

2. 失敗しないための事例集■ 05 バッファオーバーフローを発⽣させないようにしていますか︖
バッファオーバーフローは、⼤量のデータを⼊⼒することで、⽤意された領域以外のメモリ領域まで上書きされ、プログラムが誤動作を起こす脆弱性のことである。⾞載器の設計段階において、バッファオーバーフローを避けるには、⼊⼒されたデータをバッファに書き込む前に、データサイズがバッファサイズを超えていないことを確認する等の注意が必要である。
【失敗事例】
2000年1月、科学技術庁のホームページが乗っ取られ、Webサイトが書換えられる事件が起こった。この事件ではバッファオーバーフローを⽤いて悪意のあるプログラムをサーバに侵⼊させ、管理者権限で実⾏中のアプリケーション
からそのプログラムから呼び出すことで、管理者権限を奪取しWebサイトを改ざんした。

Copyright 2017 Connected Consumer Device Security Council Proprietary8

2. 失敗しないための事例集■ 06 接続されている機器の実⾏権限をきちんと確認していますか︖
ディーラや保険会社、中古⾞販売業者等が、⾃社のサービスに利⽤するため
独⾃の機器を接続し使⽤する場合が多い。保守やメインテナンス等で使⽤する機器との接続も含め、接続されている機器の実⾏により重⼤なインシデントに繋がる可能性のある場合は、接続される機器の正当性や実⾏権限の確認、実⾏のための多重認証等を設ける等の配慮が必要である。
【失敗事例】
2010年3月、⽶国テキサス州オースチンで、中古⾞販売業者が設置した遠隔イモビライザーを悪⽤し、突然100台以上の⾃動⾞のエンジンがかからなくなったり、警告ホーンが鳴り続け止められなくなったりする事件が発⽣した。
この販売店がローン販売した⾃動⾞には、返済が滞ったユーザに⾃動⾞を利⽤させなくするために遠隔イモビライザーが装着されていた。この遠隔イモビラ
イザーは、その販売店の従業員が操作⽤のパソコンを使ってWebサーバにアクセスすれば集中的に停止処理を操作できた。この事件では解雇された従業員が別の従業員のIDとパスワードを⼊⼿して不正に操作を⾏っていた。

Copyright 2017 Connected Consumer Device Security Council Proprietary9

2. 失敗しないための事例集■ 07 整備ツールや診断ツールが攻撃に使われることを前提に考えられていますか︖
整備業者などから低価格の診断ツールを求める声に応じ、使いやすいアフ
ターマーケットプログラミングツールやサービスツールを低価格で開発・販売する新しい業界が誕⽣している。これらのツールは正規販売代理店を通さなくてもインターネットで購⼊することができ、攻撃者が整備ツールや診断ツール
を容易に⼊⼿することができるようになっている。そこで、これらのツールを⽤いた攻撃も想定しておく必要がある。
【失敗事例】
2012年4月、電⼦ロック式⾃動⾞の合鍵を作製する「イモビライザーテス
ター」と呼ばれるツールが悪⽤され、⾃動⾞が盗まれる被害が日本で報じられた。本来、このツールはキーを紛失した場合に使⽤されるもので、盗難防止装置（イモビライザー）が装着された⾃動⾞に、新たに電⼦キーのデータを登録することができる。
「イモビライザーテスター」の正規品は数⼗万円で販売されているが、最近では中国製の類似品が数万円で販売されている。盗まれた⾃動⾞はいったんドア
を開けられ、OBD-IIポートにイモビライザーテスターを接続された後、合鍵が追加されていた。
Copyright 2017 Connected Consumer Device Security Council Proprietary10

2. 失敗しないための事例集■ 08 アフターマーケット機器を接続することで新たな脆弱性が付加される可能性を認識していますか︖
近年、⾃動⾞のOBD-II端⼦に接続し、燃費管理や安全運転評価を⾏う機器がいくつも販売されおり、これらの機器の脆弱性を利⽤して攻撃を⾏う事例が報告されている。現在はカーナビやドライブレコーダ等、多種多様なアフター
マーケット機器を⾃動⾞に搭載することができるが、これらの機器を接続する
ことで、新たな脆弱性が付加される可能性を認識する必要がある。
【失敗事例】
アメリカの保険会社が⾛⾏距離に応じた⾃動⾞保険サービスを展開しており、その保険料算定ツールとして、OBD-II端⼦に接続する装置を配布していた。この装置は携帯電話網を使って利⽤者の運転情報を保険会社に送信する機能を持っていた。攻撃者はこの装置の脆弱性を利⽤し、スマートフォンから特殊なSMSを送ることによりOBD-II経由で⾞内ネットワークに侵⼊し、ワイパーやブレーキを操作することに成功した

Copyright 2017 Connected Consumer Device Security Council Proprietary11

2. 失敗しないための事例集■ 09 電波が弱ければ⼤丈夫と思っていませんか︖
スマートキーシステムは、ハンドルの鍵穴にキーを差し込むことなく、エンジンを始動できる便利な仕組みであるが、このシステムが「信号増幅攻撃」という⼿法でハッキングされ⾃動⾞が盗難される事例が報告されている。⾃動⾞が発信するスマートキー認証⽤の電波が微弱である為、⾞体周辺の狭く限られた範囲しか電波は届かないから⼤丈夫という前提の裏を突いた攻撃⼿法である。
【失敗事例】
スマートキーシステムでは、⾃動⾞からの信号を受信したスマートキーが、⾃動⾞へ応答信号を返すことで、正規のキーを持ったドライバーが⾃動⾞の周辺にいると認識し、ドアの開錠やエンジンの始動を許可する仕組みである。
「信号増幅攻撃」は⾃動⾞からの信号を増幅し、遠隔地のスマートキーの傍に信号を中継し、あたかもドライバーが⾃動⾞の周辺にいるように偽装してエンジンを始動させるという窃盗⼿口である。

Copyright 2017 Connected Consumer Device Security Council Proprietary12

2. 失敗しないための事例集■ 10 同じ暗号鍵を共通で使⽤していませんか︖
欧州の⼤⼿⾃動⾞メーカーが1995年以降に販売したほぼ全ての⾃動⾞で、⾃動⾞のドアを開錠するキーレスエントリーシステムの脆弱性が⾒つかった 。過去20年間に発売された約１億台の⾃動⾞で、キーレスエントリーシステムの暗号化通信に、わずか４つの共通鍵を使⽤していた。共通鍵が判明しただけでは、容易にキーレスエントリーシステムをハッキングできるわけではないが、1億台にも及ぶ⾃動⾞が危険に晒される可能性があるとしている。
【失敗事例】
研究者たちは⾃動⾞の内部ネットワーク内の部品をリバースエンジニアリン
グすることで、何百万台の⾃動⾞で共有される暗号鍵を抽出できることを発⾒した。その後、無線ハードウェアを使⽤しワイヤレスキーが発する信号を⼀度だけ盗聴することで、元のワイヤレスキーのクローンを作成し、何度でも⾃動⾞のドアを施錠・解錠することができた。

Copyright 2017 Connected Consumer Device Security Council Proprietary13

2. 失敗しないための事例集■ 11 キーレスエントリーのIDコードが盗まれないと思っていませんか︖
⾃動⾞のキーレスエントリーシステムでは、IDコードの傍受による不正解錠の対策として、ローリングコードによるセキュリティ⽅式が多くの⾃動⾞メー
カーで採⽤されるようになった。ローリングコードによるセキュリティ⽅式は、送信するIDコードを毎回変化させ、攻撃者に傍受されたとしても、次で使えないという仕組みを⽤いて安全性を高めている。しかしながら、この安全と考えられていた⽅式も、安価なツールでコードを盗み解錠できることが発表された。
【失敗事例】DEF CON23で⽶国のセキュリティ研究者が⾃動⾞のキーレスエントリーを破るツールを発表した。このツールはリモコンキーの電波が⾃動⾞に到達するのを妨害すると同時に、１回目の開錠⽤コードを傍受し記録する。ユーザーが解錠できないため再度リモコンキーを押した際に、1回目の開錠⽤コードを⾃動⾞に送信すると同時に、2回目の開錠⽤コードを傍受し記録する。この結果、⾃動⾞のユーザは正常に開錠できたと思い込まされ、2回目の開錠⽤コードが盗まれたことに気が付かない。ユーザが⾃動⾞を離れた後、攻撃者はツールに記録した2回目の開錠⽤コードを使って⾃動⾞に侵⼊することができる。⾃動⾞のユーザに2回開錠操作を⾏わせるだけで、ドア開錠⽤コードを⼊⼿することができる攻撃⼿法である。
Copyright 2017 Connected Consumer Device Security Council Proprietary14

2. 失敗しないための事例集■ 12 Bluetoothでの接続は安全だと過信していませんか︖
Bluetoothは数ｍ〜数10ｍ程度の⽐較的近距離にある機器間の通信に使⽤されるワイヤレス技術であり、パソコンやPDA、スマートフォン等に搭載され、周辺機器も含め広く普及している。しかしながら、これらの機器で利⽤されているBluetooth技術に脆弱性が多数存在することが指摘されている。Bluetoothのプライバシと接続認証は⼀定のセキュリティを保持するが、そのプロトコルについては脆弱性が報告されており、対策としては遅れを取っている。そのような状況であるにも関わらず、医療機器や⾞載器にも利⽤されるようになり、これらを利⽤する場合には、セキュリティを考慮した利⽤⽅法を意識しなければ、極めて深刻な事態も起こり得る可能性がある。
【失敗事例】
サイバーセキュリティとハッキングの会議であるGrrCON 2012にて、Chris
Roberts⽒はオスロ市街地に駐⾞してあったタクシーの⾞列で、BluetoothのPINを解読して接続し、特定のCANバスメッセージを送り、タクシーのトラン
スミッションをニュートラルにすることができるという報告をした

Copyright 2017 Connected Consumer Device Security Council Proprietary15

2. 失敗しないための事例集■ 13 ⾃動⾞内部で使う無線通信に暗号化を忘れていませんか︖
TPMS（Tire Pressure Monitoring System）はタイヤの空気圧を監視し、無線通信を利⽤して⾞体側の受信機に情報を送り、運転⼿に異常を知らせるシス
テムで、2007年から⽶国でTPMSの装着が義務化されている。TPMSのように
⾃動⾞内部の非常に狭い範囲で使⽤する無線通信であっても、傍受や悪⽤されることを想定し暗号化などセキュリティ⾯での対応を⾏う必要がある。
【失敗事例】TPMSの脆弱性を指摘する論文が2010年に⽶国で発表された 。
１．TPMSでは通信メッセージは暗号化されていないため、盗聴・解析が容易。
２．タイヤのバルブに装着した空気圧測定装置は32bitの固有のIDを持つとともに⾃動⾞本体から40m離れても無線通信が可能なため、路肩や高架橋等で測定すれば、特定の⾃動⾞がいつ通過したかを記録することができる。
３．TPMSの空気圧報告メッセージになりすますことができ、いつでも警告灯を点灯させることができる。

Copyright 2017 Connected Consumer Device Security Council Proprietary16

2. 失敗しないための事例集■ 14 ⾞載器に認証なしに簡単にアクセスできるようになっていません
⾞載器に認証なしに簡単にアクセスできるようになっていませんか︖
⾃動⾞にカメラが搭載され様々な⽤途に利⽤されている。バックモニター等の安全確認や運転⽀援⽤途だけでなく、ドライブレコーダのように⾞載カメラで撮影された映像や音声等を記録として残す機能を持つものもある。これらの機器に遠隔から簡単にアクセスできると、記録された映像や音声を通じ個⼈情報の漏洩につながる恐れがある。
【失敗事例】
⽶国で、ある⾃治体の警察⽤パトロールカーのビデオレコーダの映像記録が、⾞載の無線LAN アクセスポイントとFTP サーバを経由して漏洩する問題があった。⾞載ビデオレコーダの記録映像が、内蔵しているFTP サーバを通じて認証なしで取り出せるようになっていることが原因だった。記録映像には、停⾞させられた⾃動⾞のナンバーや、取り締まりを受けた市⺠の顔等が含まれていると考えられ、プライバシ情報の漏
えいや、犯罪等への関与を疑われる等の誤解につながる可能性がある。
Copyright 2017 Connected Consumer Device Security Council Proprietary17

2. 失敗しないための事例集■ 15 ジャミングされるという可能性を考えていますか︖
南アフリカでは、ユーザの不注意を利⽤し、「RFジャマー」を使った⾃動⾞の盗難が増加している。「RFジャマー」とは、スマートキーからの信号をジャミングし、⾃動⾞の施錠をブロックするもの。スマートキーが使う周波数を、攻撃者がジャミングに使いにくい周波数帯に変えるか、施錠確認をキー⾃体にフィードバックする等の対策が考えられる。
【失敗事例】
スマートキーを⽤いてドアロックをする際、ドアロックが成功したことを確かめるには、目視でウィンカーの点滅やドアロック時の音を確認するか、ドアノブを操作して施錠の確認を⾏う。
「RFジャマー」により⾃動⾞の施錠をブロックされているときに、このようにドアロックの確認を怠ると、施錠をしないまま⾃動⾞を離れることになる。この結果、攻撃者の⾃動⾞への侵⼊を許し、⾞内に置いてあったノートパソコ
ンや携帯電話、現⾦といった貴重品を盗まれることになる。最悪の場合、⾃動⾞そのものが盗まれてしまう。
Copyright 2017 Connected Consumer Device Security Council Proprietary18

2. 失敗しないための事例集■ 16 運転⽀援システムに使うセンサ情報は信頼できますか︖
近年、ドライバーの安全運転や運転操作ミス軽減をサポートするため運転⽀援システムを搭載した⾃動⾞が増えている。これらの技術にはカメラやミリ波
レーダ、超音波センサ等が⽤いられている。今後、より高度な⾃律運転技術を搭載した⾃動⾞へと進化していくなら、これらセンサ情報の信頼性が重要となり、外部からの攻撃に対するセンサのセキュリティリスクを考える必要がある。
【失敗事例】DEF CON24で中国の研究者が⾞載センサへの攻撃に関する発表をした。運転⽀援システムを搭載した⾞の、ミリ波レーダ、超音波センサ、前⽅監視カメ
ラの各センサに対し、非接触型の攻撃を⾏い検証した。
各センサのセキュリティを検証するため、ジャミング攻撃による妨害に対する耐性
や、やなりすまし攻撃による機器の誤動
作や誤検出を測定した。検証の結果、これらのセンサに対してジャミング攻撃やなりすまし攻撃が⾏われることで、⾃動⾞システムに障害が発⽣しクラッシュや被害につながる可能性を指摘している。 Major ADAS sensor types and typical vehicle positions
Copyright 2017 Connected Consumer Device Security Council Proprietary19

2. 失敗しないための事例集■ 17 ⾞外からの不必要な通信に対してオープンな接続になっていませんか︖
ワシントン⼤学のKohno 准教授らは2011年のKohno 論文で、現代の⾃動⾞には広範囲な攻撃経路があり、これらを間接的な物理アクセス、短距離無線ア
クセス、および⻑距離無線アクセスの3つのカテゴリに⼤別し⾃動⾞の脅威モ
デルを作って分析している。この中で、CDプレーヤー、Bluetooth、携帯電話等を介して、遠隔からの攻撃が可能なことを発⾒した。論文では「⾃動⾞の外部とのインターフェイスが、迷惑な通信に対してオープンになっていることに驚いた。その結果、攻撃を受ける経路が⼤幅に広がった。」と述べている。
【失敗事例】
ワシントン⼤学Kohno 准教授らは2011年のKohno 論文で遠隔から⾞載LANに任意のコマンドを注⼊することに成功している。具体的には、携帯電話網を経由して遠隔から⾃動⾞のテレマティクス端末に3Gの音声回線経由でアナログモデム接続し、CAN (Controller Area Network)バスにコマンドを中継する
IRCクライアントソフトウェアを実⾏させた。その後遠隔からIRCチャットの形
でIRCクライアントに命令し、任意のCANメッセージをCANバスに注⼊した。
2011年のKohno 論文では実際の試験は⾏われていないが、CANバスへの制御命令によりほとんどの制御が可能だと指摘している。
Copyright 2017 Connected Consumer Device Security Council Proprietary20

2. 失敗しないための事例集■ 18 遠隔からの攻撃に対する脆弱性が高まっていることを認識していますか︖
2016年3月、⽶連邦捜査局(FBI)は⽶運輸省道路交通安全局と共同で「⾃動⾞は遠隔からのサイバー攻撃に対してますます脆弱性が高まっている」という報告を⾏った。この報告書の中で、⾃動⾞の無線通信機能や、USB/Bluetooth/Wi-Fi 経由で⾃動⾞に接続される携帯電話やタブレット等のモバイル端末や、
ODB-IIの診断ポートを介して⾞両に接続されるサードパーティー製の端末に、脆弱性が内在する可能性を指摘している。
【失敗事例】
報告書では、研究者が購⼊した⾃動⾞の無線モジュールの複数の脆弱性を特定し、セルラー⽅式の無線通信機能とユーザがオプションで利⽤可能なWi-Fi
ホットスポット通信機能を対象とした攻撃法を開発した悪⽤例の記載があった。
Wi-Fi経由の攻撃は、⾃動⾞から約100フィート以内の範囲に限られていたが、セルラー⽅式による接続であれば、研究者は通信事業者の全国ネットワークのどこからでも、⾃動⾞と通信し攻撃を⾏うことができた。更にこの無線モジュールは⾃動⾞のCANバスに接続されており⾃動⾞の不正操作に成功した。
通信事業者は報告が発表される前に⾞両通信で⽤いられる特定ポートへのアクセスを遮断したが、結果的に⾃動⾞メーカーは約150万台のリコールを⾏った。
Copyright 2017 Connected Consumer Device Security Council Proprietary21

2. 失敗しないための事例集■ 19 つながれる機器のセキュリティレベルが低い場合があることを認識していますか︖
IoT機器は分野毎に必要とされる安⼼・安全レベルが異なり、機器毎にもセキュリティ対策の実施レベルが異なる。⾃分たちの開発している⾞機器に対して⼗分なレベルのセキュリティ対策を施したとしても、接続される機器に脆弱性があると弱いところから攻撃され、想定したセキュリティレベルを担保できない。機器同士が連携してサービスされるIoTの時代には、システム全体のセ
キュリティレベルを、⼀番低いレベルの機器に合わせざる得ないことを考える必要がある。
【失敗事例】
欧州の⾞メーカーが、特定のアプリを使ってWi-Fi経由で⾞のデータをダウンロードできるサービスを開始した。このシステムにでは、⾞のデータにアクセス可能なWi-Fiルータが組み込まれており、初期設定のパスワードは⾞の⾞両識
別番号 (VIN) だった。このシステムを利⽤すれば、⾃動⾞の⾛⾏速度、平均燃費量、次回のオイル交換や保守サービスまでの日数等、スマートフォンから⾃動⾞に接続して20種類以上のパラメータを読み取ることができるだけでなく、⾃動⾞の所有者をこのシステムから締め出すことさえ可能なことが判明した。
Copyright 2017 Connected Consumer Device Security Council Proprietary22

2. 失敗しないための事例集■ 20 外部から攻撃を受けても、システムの安全性が確保できるようになっていますか︖
⾃動⾞は衝突防止ブレーキ等の運転⽀援システムの搭載で、電⼦システムが⾃動⾞制御の主要機能を担うような制御の高度化や高性能化が進んでいる。今後、⾃動運転の実現に向けて更に高度な制御システムや⾞外との通信機能が搭載されていくとすると、故障や誤操作による機能安全⾯での対応だけでなく、これらのシステムや機能が外部から攻撃を受けても、システム全体の安全性を確保できるよう、セキュリティ⾯での対応が必須となる。
【失敗事例】
Black hat USA 2016でのCharlie Miller ⽒とChris Valasek ⽒の報告によると、⾃動⾞に対する遠隔攻撃の最終目標は、⾃動⾞のネットワークにCANメッ
セージを注⼊することによる物理的な制御だが、強制的に実⾏できるアクションには多くの制限がある。例えば⾃動⾞が特定の速度以下でないと、ブレーキを無効にしたりステアリングを回したりすることができない等である。そこで両⽒は、パーキングアシストシステムや⾞間距離調節機能を利⽤し、これらの制限の多くを回避することで、⾃動⾞の制動、ステアリング、および加速シス
テムを制御するCANメッセージ注⼊の新しい⽅法を実証した。
Copyright 2017 Connected Consumer Device Security Council Proprietary23