株式会社マクニカ

イノベーション推進統括部

Mpression推進部 部長

長島 資記

IoT エンベデッド・システムにおける

セキュリティ要件と対策手法

マクニカネットワークス株式会社

セキュリティ第一事業部

プロダクト第一技術部 部長

小池 泰治

2

すべてのモノを

つなぐIOT

IoTの市場は爆発！

3

3兆400億ドル

1兆3千億ドル

2013 2020

160兆円

４２０兆円 IDC Japan

モノ1個あたり

14,000円の価値を生む

（単純割り計算）

300億台の

エッジデバイス

76億人 70億人 世界の人口

1人

3.94台

2014年11月18日

1兆個

Trillion Sensors Universe

4

世界の70億人が

150個ずつ

使う規模

現在のセンサー需要の

100倍

2023年には…

のセンサーが

つながる・・・

Janusz Bryzek氏（米Fairchild Semiconductor社）

IoTの今の形

5

IoTを支えるプロトコル

6

L1/L2 – MAC/PHY層（無線） BLE, WiFi, Zigbee, Z-Wave, Dust, WiSUN, 3G/4G, WirelessHART, SP100, 特小無線, 独自規格 802.11a/b/g/n, 802.15.4/a/e/g, ISM (433MHz/920MHz/2.4GHz)

L3/L4 – リンク層 UDP , TCP IPv4/IPv6, 6LoWPAN

L5~ – アプリケーション層 HTTP, XML, MQTT, CoAP

マクニカ Mpression IoT PoC

7

WiFi

3G/4G

LAN

Dust Networks 3G/4G

BLE

LAN

Core

Gateway

WiFI

Router ログ転送/集約 HTTP

Google Maps

BLE

Kibo

Uzuki + Konashi

iPhone

Raspberry Pi 各社センサーキット

EH-Terminal

SmartMesh IP

Kibana

Fluentd

8

www.fluentd.org

全てのモノがつながると

9

データが無尽蔵に増えていく セキュリティの脅威も増大

プラント・工場 車・交通インフラ オフィス 家電 電力網 医療・ヘルスケア

IoT向けのインフラが必要になる

► 細切れのセンサーデータも1兆個から発せられると膨大に

10

無数のモノとシステムを守る

セキュリティ

組込機器におけるセキュリティ脅威

► 2つの脅威「技術盗用」「サイバー攻撃」

売上低下や組込機器の可用性が失われるというリスク

► 「技術盗用」

盗用に対する意識の低い国での製品コピー

► 「サイバー攻撃」

自動車のクラッキングによる丌正操作

医療機器を丌正にコントロール

人命を扱うような機器においては特に対策が必要

イランの原子力プラントが攻撃を受けたという実例も

11

車のプログラムをハッキング

12

IOT セキュリティ

13

セキュリティの基本

► IoTでもセキュリティの基本は変わらない

「何を（情報資産）」

「機密性」

「完全性」

「可用性」

「何から（脅威）」

「どのように守る（対策）」

14

IoTにおける情報資産とは？

► IoTといっても様々だが、大きく３つのカテゴリに整理可能

15

デバイス ネットワーク サービス

• 既存技術の応用がベース

• プロトコル対応が必要

• 既存技術の応用がベース

• サイバー攻撃を考慮 • 既存はHWベースで制限

• 新たな領域

情報資産の整理と脅威例

対象 情報資産 主な脅威例

デバイス Edge IP リバースエンジニアリング、プログラムパッチ

データ データ詐取、改ざん

Gateway IP リバースエンジニアリング、プログラムパッチ

収集データ データ詐取、改ざん

サービス継続 マルウェア感染、サービス停止、破壊

ネットワーク

Edge⇔Gateway 通信内容 通信盗聴、通信改ざん

不正アクセス 不正なデバイスの接続

Gateway⇔サービス 通信内容 通信盗聴、通信改ざん

不正アクセス 不正なGatewayの接続

サービス 管理サーバ サービス継続 マルウェア感染、サービス停止、破壊

収集データ データ詐取、改ざん

16

Edgeデバイスの脅威

► 配布されるもの ＝ 攻撃者は解析・改造し放題

プログラムを解析して分かること

プログラムロジック（IPや認証ロジック、脆弱性発見など）

暗号化キー

プログラムを改造してできること

処理のバイパス（認証バイパスなど）

改ざんデータの送信

17

MATE攻撃

プログラム堅牢化、暗号化キー保護

※Man-At-The-Attack：攻撃者がデバイスを直接クラッキングする攻撃

プログラム堅牢化 ソリューション

18

＜難読化＞

・プログラムの解析を困難にする技術

＜チェックサム＞

・プログラムの改ざんを防止する技術

暗号化キー保護 ソリューション

► ハードウェア

TPM

HW上にセキュアに暗号化キーを保存

暗号化キーをセキュアに利用

► ソフトウェア

White-Box Cryptography(WBC)

暗号化キーは丌可逆な形式で生成

メモリ上で元の暗号鍵は現れない

19

※Infenion OPTIGA TPM

※Arxan TransformITによる暗号鍵の隠ぺい

Gatewayデバイスの脅威

► 高いパフォーマンスや高度な処理を実装

► 物理的な制約は尐ない（箱の大きさなど） ⇒ 汎用OSでの実装

マルウェアの脅威

Gatewayのあらゆる制御を奪われる

Edgeデバイス、サービスへの攻撃

感染拡大

（マルウェアは気付かれないよう動作）

20

アンチマルウェア対策が必要

アンチマルウェア ソリューション

► アンチウィルス

対策は一部プログラムのみで、シグネチャアップデートなど現実的でない

► ホワイトリスト

正常なプログラムのみを実行可能とするソリューション

POS、ATM、制御機器など特定用途の機器での実績多数

21

Gatewayソリューション

► インテル IoT ゲートウェイ

IoTゲートウェイ向け商用開発キット

ボードはIntel製チップ搭載

OSはWind River LinuxやUbuntu、

Windows 10などを選択可能

セキュリティ機能を搭載

ホワイトリスト、セキュアブート、TPM、

GRSecurity、、、

22

Data

OS and App

HW

Discrete TPM セキュアブート

Open SSL Encrypted

Storage

ホワイトリスト GRSecurity

ネットワークの脅威

► 丌正アクセス

丌正な攻撃パケットの送付により通信先の脆弱性をつく攻撃が可能

Firewall（ポートレベル制御）はすり抜ける

23

不正侵入検知

不正通信対策 ソリューション

► IPS

シグネチャベースで丌正パケットを遮断

仮想パッチでの活用

IoTプロトコルの対応は課題

► 一方向FW

物理的に一方向のみ（Waterfall データダイオード）

セキュリティレベルを維持しながら

IT活用におけるメリットを享受

24

逆方向の通信は物理的に不可能

送信データ 受信データ

重要インフラの取組み事例

25

重要インフラのセキュリティへの取組み

► 重要インフラを狙った攻撃事例

2010年 Stuxnetによるイラン核施設の破壊

2014年 Operation Dragonflyによる欧州電力会社の情報漏洩

2014年 ドイツ鉄鋼所で溶鉱炉停止

► 業界での取組み

電力業界向け標準「NERC CIP」や重要インフラ向け「NIST IR

7628」や「NIST Framework」の制定

► 日本での取組み

2013年 制御システムセキュリティセンター（CSSC)開設

2014年 EDSA認証取得サービス開始

26

重要インフラ向け具体ソリューション例

27

一方向FW

物理的に片方向にのみ通信可能

アンチマルウェア

ホワイトリストによる制御

SIEM

セキュリティイベントから脅威を可視化

IPS/IDS

不正パケットの制御

制御ネットワーク 業務ネットワーク 制御ネットワーク（フィールド）

IOTセキュリティの課題

28

IoTセキュリティの課題

► セキュリティ対策が丌十分な中でのマーケット拡大 2020年までに420兆円の経済効果予測

効果訴求や投資回収の優先（提供者のセキュリティ意識）

利便性優先（利用者のセキュリティ意識）

► ソリューション丌足 組込み向けセキュリティが限定的

IoT向けプロトコルへの対応丌足（MQTT, CoAP, MQPTなど）

► 配布済みデバイスへのセキュリティ 一度配布したデバイスへのセキュリティ対策は困難

機能制限されたハードウェア vs 書き換え可能なソフトウェア

29

マクニカ： IoTの全ての階層をサポート

►マクニカは半導体とネットワークを有機的に融合したIoTサポートを提供

30

セキュリティ

解析・分析

蓄積・制御

転送

収集・演算

センサー

資料ダウンロード

► 資料ダウンロードセンター

31

mpression iot poc 検索