IoT検定対策８章 セキュリティー

IoT IoT検定 資格

セキュリティー

暗号化

  • セキュリティの3大要素「C.I.A.」

    • Confidentiality（機密性）：許可のない人はアクセスさせない。暗号化、アクセス制御によって担保。
    • Integrity（完全性）：改ざんされていないことを保証する。ハッシュ、デジタル署名、証明書によって担保。
    • Availability（可用性）：必要な時に常にアクセスできる。冗長性やフォールトトレランスによって担保。

  • 共通鍵暗号方式

    • 換字式暗号（カエサル暗号）
    • 鍵データを使ったコンピュータ演算による暗号化
    • 運用上の課題として、鍵搬送の問題と、鍵管理（数）問題がある。
    • IoTでは、LoraWANがAES-128（ラウンド10段）を使用している。AES-256では14段となり、遅いため。
      f:id:camelrush:20200825003449p:plain
  • 公開鍵暗号方式
    • RSA鍵：整数因数分解暗号とも。1024bit×nの長さの鍵が可能。しかし、鍵の危殆化（計算能力向上によって暗号の安全性が侵食されること）によって、2030年までには 2048bit 以上を使用するよう、NISTが推奨している。
    • ECC鍵：楕円暗号曲線暗号とも。RSA鍵よりも短い鍵で暗号化が可能（データ運搬上の効率が良い）
  • SSL/TLSによる暗号化手順
  • SSH接続には、パスワード認証・秘密鍵認証のほか、特定接続元からの接続を許可する「ホスト認証」がある。
  • IoTにおいて暗号化通信機能を持たないレガシーデバイスと接続する場合は、そのサービスポートをSSHポート(22)経由で転送する、SSHポートフォワーディングを活用すうことで、簡易的なVPN接続を実現でき、サービスポートを平文から保護できる。
    f:id:camelrush:20200825005011p:plain
  • VPN

攻撃対策

  • DoS/DDos攻撃
    • DoSは、Denial of Service（サービス運用妨害）の略。
    • システムを負荷状態にしてサービス停止に追い込む攻撃。
    • 対策は、
      • 利用者からの使用リソース量を制限する
      • 敷居値を超えるアクセスを遮断する
    • DDosは、Distributed DoS（分散サービス運用妨害）の略。複数のコンピュータから対象に攻撃を仕掛ける
    • 以下のような信頼性設計が必要である。
      f:id:camelrush:20200826002401p:plain
  • SQLインジェクション ← サニタイズで入力内容を無害化して回避
  • サイドチャネル攻撃
    • 機器の電圧やデータバス電流の変化などを観測して、機密情報を抜き出す攻撃。データバスにプローブを当ててデータを読み取るプローブ攻撃など。対策には、データを外部から参照できなくする「隠蔽」と、参照できるデータを演算によって暗号化してしまう「遮蔽」のいずれかで対応する。
  • マルウェア
    • トロイの木馬など、悪意のあるソフトウェアによる攻撃。
    • 対策は、
      • ソフトウェア証明によって許可していないPGを動作させない
      • ソフトウェアの更新を定期的に行う。OTA(Over-The-Air)などを活用。
  • 踏み台
    • ソフトウェアの乗っ取りによって攻撃者の意図に応じた挙動をIoT機器が行う。感染機器を束ねるボットネットが形成されることも。IoT機器にLinuxOSなどが内蔵されている場合は、不要な機能を無効化するなど。

認証技術

  • アクセス制御：「識別」「認証」「許可」の3要素で、情報資産へのアクセスを管理する。
  • パスワード認証
  • BASIC認証
    • 「ユーザ名：パスワード」の連結文字列をBASE64形式にエンコードし、HTTPのAuthorizationヘッダに付与して送信する認証。平文のため、暗号化と併せて使用すること。
  • DIGEST認証
    • BASIC認証の弱点であるパスワード漏洩に対策して生まれた認証。接続要求に応じてサーバがランダムな値（チャレンジ）を返却する。クライアントがこれと認証情報を組み合わせたハッシュをサーバに送信する。サーバがどう計算を行い結果が一致すれば、クライアントを正規ユーザとみなす。
  • TOKEN
  • 二要素認証
  • 生体認証
    • 本人拒否率(FRR)と他人受入率(FAR)の組み合わせで評価される
  • リスクベース認証
    • 普段の利用者のプロファイル分析（IPやロケーションが同一か）を基に、規定から外れるログイン者に再質問（秘密の質問）、またはリジェクトする認証。

監視・運用

  • IPv6
  • SNMP
    • ネットワーク機器を監視するための通信プロトコル。UDP。
    • 管理される機器にSNMPエージェントを配置する必要がある。
    • 通常、ポート161（ポーリング）と162（TRAP）を使用している。
    • SNMPエージェントがSNMPマネージャに送信する情報はMIBと呼ばれる。
    • MIBは、OID（識別子）とPDU（各種データ）から成る。
    • SNMPにはv1～v3がある。v3でデータ暗号化に対応した。
  • ファイアウォール
  • IDSとIPS
    • IDSには、ネットワークセグメントのパケットを監視するNIDS（Network-Based IDS）と、機器にインストールされて機器のイベントを監視するHIDS（Host-Based IDS）がある。
  • 改ざん検知システム
  • セキュアOS
    • 定義は、強制アクセス制御と、最小特権の2つの機能を保有していること。
    • LinuxのRootや、WindowsのAdministatorなど。
  • NTP
    • 時刻同期用の通信プロトコル。UDPポート123。
    • IoT機器などの時間をずらす攻撃を「タイムシフト攻撃」という。対策としてNTPを使用して同期させることが適当。
    • NTPには正確な時間を有する上位機器（GPSや電波時計）からの階層構造による優先度付けがあり、その階層レベルをストラタム（Stratum）という。上位ストラタムからの通信は、秘密鍵（公開鍵方式）によって暗号化されている。
  • 総合ログ監視ツール
  • 情報セキュリティポリシー