OWASP ISVS を使って IoT エコシステムのセキュリティについて考えてみよう
•
0 likes•350 views
OWASP ISVS を使って IoT エコシステムのセキュリティについて考えてみよう
More Related Content
What's hot
What's hot (20)
Similar to OWASP ISVS を使って IoT エコシステムのセキュリティについて考えてみよう
Similar to OWASP ISVS を使って IoT エコシステムのセキュリティについて考えてみよう (20)
More from OWASP Nagoya
More from OWASP Nagoya (19)
Recently uploaded
Recently uploaded (14)
OWASP ISVS を使って IoT エコシステムのセキュリティについて考えてみよう
- 1. 2021.6.18 OWASP Nagoya Hitomi kato OWASP ISVS を使って IoT エコシステムの セキュリティについて考えてみよう OWASP Nagoya Chapter Meetinng #21
- 2. 自己紹介 加藤 人生（かとう ひとみ） ・FB https://www.facebook.com/htmkatou ・twitter https://twitter.com/wagtail_jp ある会社の脆弱性診断サービスを提供する部門にて脆弱性診断の仕事をしています。 （主にプラットフォーム診断とツールを使ったWebアプリケーション診断をしています。） 念のため：今回の発表の内容はあくまでも個人の見解であり、私が所属する企業の見解ではあ りません。
- 3. アジェンダ １．OWASP IoT Security Verification Standard (ISVS) について ２．IoT エコシステムのセキュリティとは ３．まとめ
- 4. 1. OWASP IoT Security Verification Standardについて① ● OWASP IoT Security Verification Standard (ISVS) ※は、OWASP（Open Web Application Security Project）内で作成されたInternet of Things (IoT) アプリケーションとそれらが存在するIoTエコシステムのセキ ュリティ要件を定義したものです。 ● 現時点ではまだ Pre-release 1.0RC です。 （URL：https://github.com/OWASP/IoT-Security-Verification-Standard- ISVS） （※以降、OWASP ISVSと表記します。）
- 5. 1. OWASP IoT Security Verification Standardについて② ● OWASP ISVSは、英語版のみのリリ ースとなります。 ● Webページからの参照以外に PDF、 EPUB、Docx、CSV、JSON、XML形 式での利用が可能です。 左側に表示のものはPDF版です。
- 6. 1. OWASP IoT Security Verification Standardについて③ ● OWASP ISVSを利用するにあたって、知っておく必要があることが 2 点あります。 ● 「OWASP ISVSのセキュリティモデル」と「OWASP ISVSのセキュリ ティ検証レベル」です。
- 7. 1. OWASP IoT Security Verification Standardについて④ ● OWASP ISVSのセキュリティモデルは、 OWASP ISVSが示すセキュリ ティ制御要素をスタックとして表記したものです。 ● 5つの要素にて構成されています。 ・Hardware Platform ・Software Platform ・Communication ・User Space Applications ・IoT Ecosystem ※5つの要素には、細分化された要素が存 在します。
- 8. 1. OWASP IoT Security Verification Standardについて⑤ ● OWASP ISVSのセキュリティモデルの 各要素の関連性を示した図です。 ● 最下層に基盤としてのHardware Platformあり、その上にSoftware PlatformとCommunicationが配置、さ らにその上にUser Space Applications が配置され、最上部にUser Space Applicationsを結び付ける役割として のIoT Ecosystemがあります。
- 9. 1. OWASP IoT Security Verification Standardについて⑥ ● OWASP ISVSのセキュリティ検証レベルは、何に対して何を提供す るのかという目的毎に3つのレベルに分かれています。 レベル 目的 対象デバイスの例 レベル1 ソフトウェアのみを対象とする攻撃、デバイスへの物 理的なアクセスを伴わない攻撃に対する保護を提供 スマート電球 （デバイスに機密情報なし） レベル2 ソフトウェアを超えてデバイスのハードウェアを標的 とする攻撃に対する保護を提供 スマートロック、監視カメラ （デバイスに機密情報あり） レベル3 妥協を絶対に回避する必要があるデバイスの要件を提 供 コネクテッドカー、埋込医療 機器
- 10. 1. OWASP IoT Security Verification Standardについて⑦ ● OWASP ISVSの各セキュリティ要件の項目は、検証レベルの違いに より、実施の指定の有無が記されています。 レベルによる実施の有無 は、この箇所に記載され ています。
- 11. 2. IoT エコシステムのセキュリティとは① ● IoT環境は、相互接続された多くのアプリケーションで構成されて おり、これらが一緒になってエコシステムを形成しています。 ● そのため、IoTアプリケーション以外の要素の安全が確保されてい ないとIoT全体に影響が波及します。 ● IoTアプリケーションの保護において、エコシステムの保護も重要 となります。
- 12. 2. IoT エコシステムのセキュリティとは② ● とはいえ、一般的に話題となる IoTのセキュリティの話は、IoTデバ イスやIoTアプリケーションが対象になることが多いと思います。 ● IoTエコシステムの保護まで意識されているかは不透明のようにも 思えます。そもそも、どこまで意識すれば良いのでしょうか？ そこで、OWASP ISVSのセキュリティモデルの要件の内容から、 IoTエコシステムのセキュリティとして意識すべきことを見て行 きましょう。
- 13. 2. IoT エコシステムのセキュリティとは③ ● OWASP ISVSのセキュリティモデルの要件「IoT Ecosystem」は、 さ らに次の要素で構成されています。 ・Application and Ecosystem Design ・Supply Chain ・Secure Development ・Logging これら要素の項目に考えるポイントがありそうです。
- 14. 2. IoT エコシステムのセキュリティとは④ ● Application and Ecosystem Designの項目 （Google翻訳したもの） # 説明 L1 L2 L3 1.1.1 IoTエコシステム内のすべてのアプリケーションが、アプリ ケーションのセキュリティの重要度に沿ったセキュリティ レベルで開発されていることを確認します。 ☑ ☑ ☑ 1.1.2 IoTアプリケーションのエコシステム内のすべてのコンポー ネントと通信チャネルが識別され、必要であることがわか っていることを確認します。不要なものはすべて削除また は無効にします。 ☑ ☑ ☑ 1.1.3 各製品導入設計（つまり、新規および成熟）の一部として の脅威モデリングの使用とセキュリティ関連の機能変更を 検証して、可能性のある脅威を特定し、セキュリティテス トをガイドする適切なリスク対応を促進します。 ☑ ☑ ☑
- 15. 2. IoT エコシステムのセキュリティとは⑤ ● Application and Ecosystem Designの項目 （Google翻訳したもの） # 説明 L1 L2 L3 1.1.4 セキュリティ制御がサーバー側で実施されていること、お よびデータと命令がサーバー側のコンポーネントによって 盲目的に信頼されていないことを確認します。 ☑ ☑ ☑ 1.1.5 責任ある開示ポリシーが確立されており、会社のWebサイ トで簡単に見つけられることを確認します。ポリシーが、 脆弱性を安全に伝達する方法と、脆弱性をフォローアップ する方法について明確な概要を提供していることを確認し ます。 ☑ ☑ ☑ 1.1.6 脆弱性が確立された通信チャネル（Webサイト、電子メー ル、セキュリティアドバイザリページ、変更ログなど）を 通じて製品に影響を与える場合、ユーザーと関連する利害 関係者に通知されることを確認します。 ☑ ☑ ☑
- 16. 2. IoT エコシステムのセキュリティとは⑥ ● Supply Chainの項目 （Google翻訳したもの） # 説明 L1 L2 L3 1.2.1 エコシステム内の各アプリケーション（ファームウェアを 含む）が、サードパーティコンポーネント、バージョン管 理、および公開された脆弱性をカタログ化したソフトウェ ア部品表（SBOM）を維持していることを確認します。 ☑ ☑ ☑ 1.2.2 サードパーティおよびオープンソースソフトウェアの使用 に伴う潜在的なリスク領域が特定され、そのようなリスク を軽減するための措置が講じられていることを確認します。 ☑ ☑ ☑ 1.2.3 （デバッグバージョンではなく）リリースビルドに適した 安全なデフォルトで構成されたファームウェアでデバイス がリリースされていることを確認します。 ☑ ☑ ☑
- 17. 2. IoT エコシステムのセキュリティとは⑦ ● Supply Chainの項目 （Google翻訳したもの） # 説明 L1 L2 L3 1.2.4 デバイスを出荷する前に、デバッグインターフェイス （JTAG、SWDなど）へのアクセスが無効または保護されて いることを確認してください。プロセッサは、これをコー ド保護、リードバック保護、CodeGuard、またはアクセス ポート保護と呼ぶ場合があります。 ☑ ☑ 1.2.5 FPGAのデバッグ機能が実稼働PCBで無効になっていること を確認します。 ☑ ☑ 1.2.6 デバイスが、ハードウェアベースで不変の暗号化された信 頼ルートでプロビジョニングされていることを確認します。 ☑ ☑
- 18. 2. IoT エコシステムのセキュリティとは⑧ ● Supply Chainの項目 （Google翻訳したもの） # 説明 L1 L2 L3 1.2.7 デバイスを顧客に出荷する前に、コード整合性保護メカニ ズムが有効になっていて、ハードウェアでロックされてい ることを確認してください。たとえば、セキュアブートが 有効になっていて、ブート構成がロックされていることを 確認します。 ☑ ☑ 1.2.8 静的分析ツールを使用してサードパーティのコードとコン ポーネントが分析されていることを確認し、バックドアが 導入されていないことを確認します。 ☑ ☑ 1.2.9 半導体ドライバー、SDK、モジュール（5G、LTE、 Bluetooth、Wi-Fi、ZigBee）を含むすべてのコンポーネント を更新して、製品のサポートまたは保守終了ポリシーに沿 ったセキュリティパッチを提供できることを確認します。 ☑ ☑
- 19. 2. IoT エコシステムのセキュリティとは⑨ ● Secure Developmentの項目 （Google翻訳したもの） # 説明 L1 L2 L3 1.3.1 エコシステム内の各アプリケーションが、安全で反復可能 なビルド環境を使用してビルドされていることを確認しま す。 ☑ ☑ ☑ 1.3.2 GPLベースのファームウェアのソースコードが公開されて おり、機密情報や専有情報が誤ってプロセスに含まれてい ないことを確認してください。 ☑ ☑ ☑ 1.3.3 禁止されているC / C ++関数（memcpy、strcpy、getsな ど）の使用が、安全な同等の関数（Safe C、Safe Stringsラ イブラリなど）に置き換えられていることを確認します。 ☑ ☑
- 20. 2. IoT エコシステムのセキュリティとは⑩ ● Secure Developmentの項目 （Google翻訳したもの） # 説明 L1 L2 L3 1.3.4 パッケージが信頼できるソースからダウンロードおよびビ ルドされていることを確認します。 ☑ ☑ ☑ 1.3.5 ビルドパイプラインがバージョン管理システムで維持され ているソースコードのビルドのみを実行することを確認し ます。 ☑ ☑ ☑ 1.3.6 コンパイラ、バージョン管理クライアント、開発ユーティ リティ、およびソフトウェア開発キットが分析され、改ざ ん、トロイの木馬、または悪意のあるコードがないか監視 されていることを確認します ☑ ☑ ☑
- 21. 2. IoT エコシステムのセキュリティとは⑪ ● Secure Developmentの項目 （Google翻訳したもの） # 説明 L1 L2 L3 1.3.7 パッケージがオブジェクトサイズチェック（OSC）でコン パイルされていることを確認します（例：- D_FORTIFY_SOURCE = 2）。 ☑ ☑ 1.3.8 パッケージがNoeXecute（NX）またはData Execution Protection（DEP）でコンパイルされていることを確認しま す（例：-z、noexecstack）。 ☑ ☑ 1.3.9 パッケージがPositionIndependent Executable（PIE）（例： -fPIE）でコンパイルされていることを確認します。 ☑ ☑
- 22. 2. IoT エコシステムのセキュリティとは⑫ ● Secure Developmentの項目 （Google翻訳したもの） # 説明 L1 L2 L3 1.3.10 パッケージがStackSmashing Protector（SSP）でコンパイ ルされていることを確認します（例：-fstack-protector-all）。 ☑ ☑ 1.3.11 パッケージが読み取り専用再配置（RELRO）でコンパイル されていることを確認します（例：-Wl、-z、relro）。 ☑ ☑ 1.3.12 リリースビルドにデバッグコードまたは特権診断機能が含 まれていないことを確認します。 ☑ ☑ ☑
- 23. 2. IoT エコシステムのセキュリティとは⑬ ● Secure Developmentの項目 （Google翻訳したもの） # 説明 L1 L2 L3 1.3.13 デバッグファームウェアイメージとリリースファームウェ アイメージが異なるキーを使用して署名されていることを 確認します。 ☑ ☑ 1.3.14 デバッグ情報に、PII、クレデンシャル、暗号化資料などの 機密情報が含まれていないことを確認します。 ☑ ☑ ☑ 1.3.15 入力検証を実行し、ファームウェアコード、シェルコマン ドラッパー、およびスクリプト内のパラメーターをエスケ ープして、組み込みアプリケーションがOSコマンドインジ ェクションの影響を受けないことを確認します。 ☑ ☑ ☑
- 24. 2. IoT エコシステムのセキュリティとは⑭ ● Loggingの項目 （Google翻訳したもの） # 説明 L1 L2 L3 1.4.1 認証の成功と失敗、デバッグ機能へのアクセスなど、セキ ュリティに影響するイベントに関するログをデバイスが収 集できることを確認します。 ☑ ☑ 1.4.2 収集されたログに、実用的な洞察とアラートを有効にする のに十分な粒度があることを確認します。ログには、少な くとも、イベントのタイプ、タイムスタンプ、ソース、結 果、および関与するアクターのIDを含める必要があります。 ☑ ☑ 1.4.3 ログのタイムスタンプの有効性を確認するために、デバイ スに信頼できるタイムソースが含まれているか、同期され ていることを確認してください。 ☑ ☑
- 25. 2. IoT エコシステムのセキュリティとは⑮ ● Loggingの項目 （Google翻訳したもの） # 説明 L1 L2 L3 1.4.4 収集されたログに、PII、クレデンシャル、暗号化キーなど の機密情報が含まれていないことを確認します。 ☑ ☑ 1.4.5 収集されたログが、定期的またはオンデマンドで、オンラ イン収集を介してデバイスから安全に取得できることを確 認します。 ☑ ☑ 1.4.6 収集されたログが組織のポリシーで必要な期間保存され、 保存期間が終了すると安全に削除されることを確認します。 ☑ ☑
- 26. 2. IoT エコシステムのセキュリティとは⑯ ● Loggingの項目 （Google翻訳したもの） # 説明 L1 L2 L3 1.4.7 収集されたログの機密性、整合性、および信頼性が、ログ を作成したデバイスと、ログを保存または処理する他のシ ステムの両方で適切に保護されていることを確認します。 ☑ ☑
- 27. 2. IoT エコシステムのセキュリティとは⑰ ● OWASP ISVSのセキュリティモデルの要件「IoT Ecosystem」の各要素 から、 IoT エコシステムのセキュリティについては、次のことがポ イントになりそうです。 【 Application and Ecosystem Design】 ● IoTエコシステム内のすべてのアプリケーションが、セキュリティの重要度 に沿った適切なセキュリティレベルで開発されていることを意識する。ま た、脆弱性があった場合の通知・サポート体制が整っていることのチェッ クも必要。 ● 反復的なシステムへの脅威モデリングの実施で、脅威を特定しておくこと も重要。
- 28. 2. IoT エコシステムのセキュリティとは⑰ 【Supply Chain】 ● エコシステム内の各アプリケーション（サードパーティおよびオープンソ ースソフトウェア）のリスクの洗い出しとセキュリティパッチの提供状況 等の情報管理を行う。 ● 外部提供デバイスのデバック機能の無効化、セキュリティ保護の有効化、 正式リリース版のチェックの実施。 ソフトウェアコンポジション解析ツールによるソフトウェア部品表 （SBOM）の作成等
- 29. 2. IoT エコシステムのセキュリティとは⑱ 【 Secure Development 】 ● 監視されたセキュアな環境下において管理されたソースの利用、アプリケ ーションのビルドにおける不要なオプションや情報付与のチェックの実施。 【 Logging 】 ● セキュリティイベントの監査証跡のためにデバイスの有効なログの収集と ログの保護、管理の仕組みの導入。
- 30. 3.まとめ ● OWASP ISVSのセキュリティモデルの要件「IoT Ecosystem」の各要素から、 IoT エコシステムのセキュリティを考える上のポイントが把握出来そう です。 ● 今回は IoT エコシステムのセキュリティを考えましたが、IoTのセキュリ ティは、 IoT エコシステム以外の安全の担保も必要です。 OWASP ISVSの セキュリティモデルの他の要件の要素も参考にして下さい。 ● あと、 OWASP ISVSのセキュリティモデルの要件の項目のうち、該当し ないものについては、実施する必要はありません。