IoTセキュリティ診断
IoTセキュリティ診断は、無線通信環境やIoTデバイス、ネットワークやアプリケーションなどのIoTシステムを構成するさまざまなレイヤの脆弱性診断を行います。IoTシステムの悪用や情報漏えい、踏み台に繋がるような脆弱性が無いかを検査し、診断結果と具体的な改善策を提言するサービスです。
IoTセキュリティ診断は、無線通信環境やIoTデバイス、ネットワークやアプリケーションなどのIoTシステムを構成するさまざまなレイヤの脆弱性診断を行います。IoTシステムの悪用や情報漏えい、踏み台に繋がるような脆弱性が無いかを検査し、診断結果と具体的な改善策を提言するサービスです。
IoTデバイス機器は100億台を超えるとも言われており、急速に普及している一方、多くのIoTデバイスが十分なセキュリティ対策を行えないまま開発され、その脆弱性を突いた攻撃が後を絶ちません。情報漏えいやデータの改ざんによるサービスの停止など、企業活動に深刻な影響を及ぼす前に早急な対策の実施が必要です。
IoTセキュリティ対策を行わなければ、自らが加害者となる恐れも
セキュリティ対策は、自社が被害者とならないだけでなく、自社が加害者とならないためにも、十分に実施する必要があるのです。
GSXでは、「無線工学」「電子工学」の資格を有する経験豊富なエンジニアがお客様の診断を実施します。
IoTセキュリティ診断について
IoTセキュリティ診断の破壊／非破壊検査とは
- IoT機器の基板を取り出し、ファームウエアと思しきフラッシュメモリーのICチップを探し出し、ヒートガンにより基板の半田を溶かし、チップを取り出す。
- フラッシュメモリ内のバイナリデータをアダプタソケットより抽出する。
基板からチップを取り外した場合は「破壊」的な検査となる。
- 左図のようにチップがソケットから取り出せる場合や、右図のようにデバッグポートがありJTAG等でアクセスが可能な場合。
- 上図のようにチップがソケットから取り出せる場合や、右図のようにデバッグポートがありJTAG等でアクセスが可能な場合。
取り出したチップを基板に戻すことが可能であるため、「非破壊」となる。
またデバッグポートから通信を行うため、「非破壊」である。
チップそのものに情報を書き込み元の状態に戻すことができない場合は「破壊」的な検査となりえる。
01｜事前調整/内容確認
診断内容確認書を作成。必要に応じて事前に細部の確認を行います。
02｜診断実施
ご指定の時間帯で診断作業を行います。基本は平日10時～18時です。
※夜間、休日をご希望の場合は対応いたします。
03｜速報
診断中に緊急度の高い脆弱性が発見された場合、速報としてご連絡します。
※ご要望がある場合
04｜結果分析
診断結果を分析し、取りまとめた報告書を納品します。
※診断終了後10営業日以内。
05｜報告会
専門エンジニアが診断結果や改善策をご説明する報告会を開催します。
06｜再診断
脆弱性が検出された後、お客様側で改修していただいたシステムに同様の脆弱性が再度検出されないかを診断します。
- （1）無線セキュリティ診断
- （2）IoTセキュリティ診断
実施ステップ
また、 「無線セキュリティ診断」については「LOCAL5G(※)」なども視野に入れた実施を目指す。
これらの診断はそれぞれ「無線工学」「電子工学」の知識を必要とするため、高度診断サービスのワイヤレスセキュリティ診断ソリューションとして位置づけ実施する。
※総務省は全国5Gに「3.7GHz帯」「4.5GHz帯」「28GHz帯」の3つの周波数帯を割り当て、4.5GHz帯（センチ波）と28GHz帯（ミリ波）では「ローカル5G用」の周波数帯域も用意しており、申請があれば調整した上で割り当てる方針。ローカル5Gの申請は2019年中にすでに受け付けられ、2020年早々にも周波数の割り当てが始まりる。このことからLOCAL5Gを視野に入れる。
電波（無線）通信利用の脅威・運用上の脅威など
| № | 運用例 | 悪用・脅威事項 | 備考 |
|---|---|---|---|
| 1 | 電波時計 |
|
プロトコルは公開されており、環境とスキルで攻撃可能。 |
| 2 | GPS |
|
プロトコルは公開されており、環境とスキルで攻撃可能。 |
| 3 | 公共放送 |
|
搬送波による妨害は可能。特に周波数変調。 |
| 4 | 携帯電話 |
|
|
| 5 | レーダー |
|
|
| 6 | 公共無線 |
|
|
| 7 | 業務 |
|
Wi-Fi、LTE、4G、5G、Local5G、Bluetooth、ZigBee、SigFox、LoRaWAN、などで提供されるM2Mサービス。 |
| № | 実施事項 | 実施内容 | 実施アプローチ | Deep | Standard |
|---|---|---|---|---|---|
1 |
事前調査・確認 |
診断情報の収集 |
・顧客情報。調査するIoT機器のメーカ、型番 |
〇 |
〇 |
2 |
接続検査 |
プラットフォーム診断 |
ポートスキャン等を実施 |
〇 |
〇 |
WEBアプリ診断 |
ユーザI/Fとなる管理画面等の脆弱性検査 |
〇 |
〇 |
||
中間者攻撃 |
暗号通信を盗聴・介入検査 |
〇 |
〇 |
||
パスワード認証テスト |
脆弱なパスワードの検査、パスワード再設定検査 |
〇 |
〇 |
||
暗号化強度 |
セキュア通信の検査 |
〇 |
〇 |
||
3 |
機器・ファームウエア検査 |
ファジング、機器の組込SW検査、テスト |
ソースコード、静的・動的テスト、未知脆弱性、ファジング |
〇 |
|
バイナリーコード取得 |
Flashメモリ、Bootローダよりバイナリーコード取得 |
〇 |
|||
アーキテクチャ分析 |
バイナリーコードに含まれるOS、ミドルウェアなどの分析 |
〇 |
|||
ファームウエア改竄 |
ファームウェア改竄可否検査 |
〇 |
|||
4 |
ハードウエア検査 |
汎用I/F接続確認 |
HWの調査。UART、JTAGなどの接続確認。 |
〇 |
|
プロトコル分析 |
特定した脆弱性があれば、リモートからの攻撃可能なものをピックアップ |
〇 |
|||
5 |
攻撃検査 |
PoC（攻撃コード）作成 |
今後追加予定 |
〇 |
| № | 要件 | 対策案 |
|---|---|---|
| 1 |
顧客の開発中の機器の診断取り扱い
|
|
| 2 | 顧客の開発中の機器の設計段階の診断
|
|
| 3 | Deep診断を行ってほしい |
|
| 4 | 電磁波を発する操作が必要な診断について |
|
| 5 | 技適 がないIoT機器を使用している |
|
| № | 注意すべき事項 | 法律等備考 |
|---|---|---|
| 1 | 無線（Wi-Fi、Local5G等）やIoT機器から個人情報が漏えいした場合，プライバシー権の侵害で訴えられる可能性がある。また、個人情報保護法に抵触する恐れがある。 | 個人情報保護法 |
| 2 | 無線（Wi-Fi、Local5G等）やIoT機器に接続する自組織のPCやサーバーが他組織への攻撃の踏み台として悪用された場合には、被害者から損害賠償を求められたり，管理者の責任を問われる可能性がある。 | 民法第715条（使用者責任）等 |
| 3 | 無線（Wi-Fi、Local5G等）やIoT機器の利用において、データに暗号をかけずライバル企業等に営業的機密情報を知られてしまうと，不正競争防止法（営業秘密などを保護する法律）では保護されない場合がある。電波という誰もが自由に受信できる媒体に情報をそのままの形で流せば，その情報は法律で保護される要件である秘密管理性を欠くため、“秘密”とは見なされない。ただし、ライバル企業側は電波法違反に問われる可能性はある。 | 電波法 第59条（秘密の保護） 何人も法律に別段の定めがある場合を除くほか、特定の相手方に対して行われる無線通信を傍受してその存在若しくは内容を漏らし、又はこれを窃用してはならない。 |
| 4 | IoT機器から脆弱性を突き侵入され、接続されている機器などの制御を乗っ取られ、製造中の製品の欠陥などで、消費者が被害を受けた場合、賠償責任を負う可能性がある。 | 製造物責任（PL）法 |
このようなことから、被害者にもなりえるし、加害者にもなりえるということが示されております。
知見の多いブラックハッカーは法律も熟知しており、脆弱性を突いて情報を得ても「公開している情報だから罪に問われない」と言い逃れる例もあります。
IoTセキュリティ診断報告書
Standard
接続検査への診断を実施する基本的なプラン
Deep
接続検査に加え、機器・ファームウエア・ハードウエアへの検査を行う、より詳細な診断が必要な方向けのプラン
| № | 実施事項 | 検索区分 | 実施内容 | 実施アプローチ | ||||||||||||||||||||||||||||||||||||||||||||
|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|
|
||||||||||||||||||||||||||||||||||||||||||||||||
| （5） | 攻撃検査 | 非破壊/破壊 | PoC（攻撃コード）作成 | 将来検討 ピックアップされた脆弱性に対してPoCを作成し攻撃実行 |
||||||||||||||||||||||||||||||||||||||||||||
| 6 | 報告 | － | 報告書 |
|
||||||||||||||||||||||||||||||||||||||||||||
