注目ブログご紹介

IoT Developers Conference 2016で注目されたセキュリティ


投稿者:Paul Chen

今年で3回目となったIoT Developers Conference(DevCon)に、先週参加してきました。開催委員長のマーカス・レビー氏は、カンファレンスのプログラムイベントガイドの序文に、こう書いています。

「IoTは、ハイプ(新技術の登場によって生じる過度の興奮や誇張)か、それとも実体のある現実なのでしょうか。IoTが『モノ』をはるかに超えているのは明白です。すべてのピースを1つにまとめるために、膨大な協業が行われるようになり、人間から機器、クラウドへと広がるチェーンによって真の価値を実現できるようになっています。(中略)Internet of Things Developers Conferenceのテーマは、ハイプではなく、現実についてなのです」

IoTがどれほど「現実化」しているかを示すために、IoT DevConでは2日間にわたって基調講演、講演、プレゼンテーションが開催されたほか、44社が展示を行いました。私が参加できたのは2日目(2016年5月26日木曜日)でしたが、その日は6トラックに分けられたセッションが、4会場で並行して開催されました。(カンファレンス全体のタイムテーブルについてはhttp://www.iot-devcon.com/agenda.php、プレゼンテーションの抄録についてはhttp://www.iot-devcon.com/agenda_list.phpをご覧ください)。以下のトラックがありました。

  • セキュリティ:分析と手法
  • コネクティビティ:プロトコルと標準
  • IoTゲートウェイ
  • エッジで
  • アプリケーション開発フレームワーク
  • データ管理:エッジノードからクラウドへ

複数のトラックの多くの講演に興味がありましたが、急きょ分身を作るわけにもいかず、出席できたのは42講演のうち11だけでした。午前も午後もほとんどセキュリティトラックに参加していました。いくつかの講演で、IoTの幅広い導入に際して一番の課題と認識されているのがセキュリティという事実に触れていました(ある講演では、私が見逃した1日目のすばらしい基調講演に言及していました。Underwriters Laboratory社によるIoTのセキュリティをテーマにした「No IoT Without SoT – The Security of Things!(SoT(モノのセキュリティ)なくしてIoTなし!)」という講演です)。

いくつかのセッションでは、話のつかみとして、最近ニュースになったIoT関連のハッキング事件を取り上げていました。

ある講演によると、新たに発見されるハッカー攻撃は毎日ほぼ100万件に上ります。

このほか、IoTのセキュリティがサイバーセキュリティとは異なることが指摘されていました。

  • IoTのセキュリティは、サイバーセキュリティより攻撃の対象範囲が広い(何百億個のつながる「モノ」)
  • I「モノ」のほうが攻撃しやすい(例:電球、サーモスタット、電力計)
  • I「モノ」は安価なエンドノードであることが多く、往々にしてセキュリティ対策(物理的な耐タンパ性など)や高い処理能力(暗号化機能を制約する可能性。ただし、現在は1ドル程度の暗号化チップがある:http://embedded-computing.com/guest-blogs/robust-iot-security-costs-less-than-you-think/)に回す予算が少ない、あるいはまったくない

このような違いは、IoTセキュリティを提供する場合に、従来のサイバーセキュリティを提供するときとは異なるアプローチや、異なるセキュリティ対策が必要になるということです。たとえば、複数の講演で、IoTやIoTデバイスをセキュアにするのは、多層防御の対策であると指摘されていました。複数のセキュリティの層を検討する必要があります。ただ1つの魔法のようなセキュリティソリューションは存在しません。セキュリティは、デバイスのセキュリティモデルによって決まります。セキュリティモデルを決めるのは、特定された防御すべき脅威や攻撃者です。米国国土安全保障省(DHS)のICS-CERTは、攻撃者を適切に分類しています。
https://ics-cert.us-cert.gov/content/cyber-threat-source-descriptions

  • 政府 – 国家のサイバー戦争プログラム
  • テロリスト
  • 産業スパイ、組織犯罪グループ
  • ハクティビスト – 政治的な動機を持つ反米思想のハッカー
  • ハッカー – スクリプト・キディ、ワーム/ウイルス作成者、セキュリティ研究者やホワイトハットハッカー、ブラックハット、プロのハッカー

潜在的な攻撃者と動機を特定することで、デバイスのセキュリティモデルで対処すべき脅威が明らかになります。それによって、必要なセキュリティ対策の種類が変わってきます。いくつかの講演では、そのような対策を分類していました。実質的に、IoTデバイスメーカーがIoTデバイスのセキュリティ対策を講じるうえで、検討すべき領域が整理されています。

  • デバイスの物理層
    • システムハードウェアの耐タンパ化
    • デバッグ用インタフェースの施錠
  • デバイスの通信層
    • セキュアな無線/有線技術とプロトコルの使用
    • 保存データと送信中データの暗号化
    • 真性乱数発生技術を使った強固な暗号文
    • 可能な部分にはハードウェアベースのセキュリティの使用(TPM、暗号化エンジンなど)
  • デバイスのアプリケーション層
    • ハードコードされた(静的な)パスワードの使用禁止
    • 初期パスワードのリセットをユーザに要求、ありふれた/簡単なパスワードの拒否
    • 入出力機器のないエンドノードでは一意の認証IDが必要
  • デバイスの開発
    • 開発の最初からセキュアな設計とセキュリティプロトコルを使用
    • サプライチェーン(半導体メーカーからデバイスOEMメーカー、アプリケーションベンダまで)のセキュア化
  • デバイスのデプロイ
    • デバイスがセキュアなブートプロセスを使用するように徹底
    • デバイスのセキュアなプロビジョニングを徹底
    • デバイスの寿命が数年、数十年になる可能性を理解し、ソフトウェアやファームウェアのアップデートを提供(セキュリティの維持に不可欠)

留意すべきポイントは、エンドデバイスが実際の標的とは限らないことです。メーカーは攻撃する価値がない(したがって守る価値がない)と思っていても、実は魅力的な攻撃対象である場合があります。なぜなら、いったんIoTに接続されれば、デバイスはネットワークへの入り口になるからです。それは、ネットワークにつながれた企業の資産への入り口でもあります。真の標的はそこにあります。

別の講演では、エンドツーエンドなセキュリティを目指した、米国国立標準技術研究所(NIST)の「Cybersecurity Framework」が、IoTデバイスにセキュリティを組み込む際の指針として有用なことに触れていました。(http://www.nist.gov/cyberframework/upload/cybersecurity-framework-021214-final.pdf

  • 特定– システム、資産、データ、ケイパビリティに対するサイバーセキュリティのリスクを管理するために、組織の理解を深める
  • 防御 – 重要インフラのサービス提供を確保するための適切な防御策を策定、実施
  • 検知 – サイバーセキュリティイベントの発生を発見するための適切な活動を策定、実施
  • 対応 – 検知されたサイバーセキュリティイベントについてアクションを取るための適切な活動を策定、実施
  • 復旧 – レジリエンス計画を維持し、サイバーセキュリティイベントで損なわれたケイパビリティやサービスを回復するための適切な活動を策定、実施

IoTデバイスが特定された攻撃から自らを防御できること、攻撃をリアルタイムに検知できること、迅速に対応できること、適切に回復できること(ソフトウェア/ファームウェアのアップデートによるレジリエンスの継続など)は、IoTのセキュア化や導入のスピードアップ(その結果、IoT企業の収益化の加速)に役立ちます。この領域で支援するために、ウインドリバーのIoT Design Centerでは、IoT評価の実施を請け負うことが可能です。最新のセキュリティベストプラクティスが、IoT製品だけでなく、企業の業務プロセスにも使用されるように万全の手を打つことができます。

IoTにセキュリティを適切に設計することで、ジープやターゲット社のような、多大な損失をもたらす失策を避けることを期待できます。両社は、金銭的ではなくても、評判を傷つけたダメージコントロールの面では、いまだに高い代償を払い続けているのではないでしょうか。Underwriters Laboratoryのプレゼンテーションの題名を言い換えると、「セキュリティなくしてIoTなし」です。

興味のある方々には、カンファレンスの資料が以下で提供されています。http://www.iot-devcon.com/proceeding.php(本ブログの投稿時点では準備中)