SHOEISHA iD

※旧SEメンバーシップ会員の方は、同じ登録情報(メールアドレス&パスワード)でログインいただけます

EnterpriseZine(エンタープライズジン)編集部では、情報システム担当、セキュリティ担当の方々向けに、EnterpriseZine Day、Security Online Day、DataTechという、3つのイベントを開催しております。それぞれ編集部独自の切り口で、業界トレンドや最新事例を網羅。最新の動向を知ることができる場として、好評を得ています。

直近開催のイベントはこちら!

Data Tech 2022

2022年12月8日(木)10:00~15:50

EnterpriseZine(エンタープライズジン)編集部では、情報システム担当、セキュリティ担当の方々向けの講座「EnterpriseZine Academy」や、すべてのITパーソンに向けた「新エバンジェリスト養成講座」などの講座を企画しています。EnterpriseZine編集部ならではの切り口・企画・講師セレクトで、明日を担うIT人材の育成をミッションに展開しております。

お申し込み受付中!

Security Online Day 2020レポート

増加するハードウェア攻撃、セキュリティの鍵を握るのは「Root of Trust」


 複雑化するセキュリティの世界では、様々な層での対策が求められる。OSやソフトウェアの脆弱性はよく問題になるが、忘れてはならないのが土台のハードウェアだ。実際、ハードウェアの攻撃は増えているという。9月18日の「Security Online Day 2020」では、「サイバー攻撃の最新動向とハードに基点を置くセキュリティ防御の重要性」をテーマに、攻撃する側、ハードウェアベンダー側、標準化の3つの分野から専門家がディスカッションした。

ハードウェアの攻撃は基点、最終目的はサーバー

Intel Corporation, Director Cybersecurity and Trust Policy/米インテル セキュリティ政策担当ディレクタ 竹井 淳氏(写真左)日本ヒューレット・パッカード株式会社プリセールスエンジニアリング統括本部 カスタマーイノーベーション本部 ソリューションセンター 崔 容準氏(写真右)に加え、株式会社サイバーディフェンス研究所 技術部 分析官 手島 裕太氏がパネラーとして参加した
Intel Corporation, Director Cybersecurity and Trust Policy
米インテル セキュリティ政策担当ディレクタ 竹井 淳氏(写真左)
日本ヒューレット・パッカード株式会社 プリセールスエンジニアリング統括本部
カスタマーイノベーション本部ソリューションセンター 崔 容準氏(写真右)
株式会社サイバーディフェンス研究所 技術部 分析官 手島 裕太氏の3名がパネラーとして登壇

 最初にサイバー研究所で技術部分析官の手島裕太氏が、ハードウェア攻撃の動向について話をした。同社でペネトレーションテスト(模擬攻撃)を用いて脆弱性診断を行う手島氏はまず、ハードウェア単体への攻撃の最大の特徴として、「デバイスが攻撃者の手に落ちている点」と述べる。IoT機器、制御端末や無線基地局のようなデバイスは管理者が物理的に存在しない場所へ設置されていることも多いため、脅威や影響を考慮する場合も、攻撃者が物理的にデバイスへアクセスできることを前提としなければならない。たとえば基板にあるデバッグ用の端子(ポート)が残っていれば、そこから簡単にサーバー側にデータを送ったり、詳細なログなどの情報を得ることができるという。

講演資料より抜粋、以下同

 IoTブームでネットワークに接続される端末(ハードウェア)は増加の一途をたどるが、ハードウェア攻撃は「最終目的ではなく手段の1つとなっている」と手島氏。多くの場合、あくまでも起点であり、そこから中央のサーバーを麻痺させるなどのことが最終目的になっていると言う。

 手島氏はハードウェアの安全性が重要な理由として、「OSやミドルウェアは日常的に脆弱性が見つかり修正させることを繰り返して堅牢になってきたが、その下にあるハードウェアが直接書き換えられたらどうなるか」と述べる。

 攻撃の例として、PCから家庭用WiFiルーターまで様々な機器に使われているフラッシュメモリを取り上げる。これらフラッシュメモリは通常、上書き禁止の機能はあっても、読み出し禁止はない。どんなOSが使われているのかといった中身の読み出しが行われ、それをもとに攻撃するといったことがが可能になってしまう。

 そこで手島氏が紹介するのが、「ソフトウェアの完全性を確保すること」だ。つまり、たとえフラッシュメモリのような記憶媒体を直接改ざんされたとしても、ソフトウェア 、ファームウェアはベンダーが作ったままであるという完全性を確保することで、ハードウェアの攻撃の影響を食い止めることができ全体のセキュリティを強固にできるというわけだ。

 「(ハードウェアへの攻撃により)ファームウェアが改ざんされたとしても、このファームウェアはおかしいから復旧しようという機能が組み込まれていれば、攻撃の意味はなくなり、攻撃側はお手上げに近い状態になる」と手島氏。

次のページ
サーバー、パブリッククラウドでも普及進む「Root of Trust」

この記事は参考になりましたか?

  • Facebook
  • Twitter
  • Pocket
  • note
Security Online Day 2020レポート連載記事一覧

もっと読む

この記事の著者

末岡 洋子(スエオカ ヨウコ)

フリーランスライター。二児の母。欧州のICT事情に明るく、モバイルのほかオープンソースやデジタル規制動向などもウォッチしている。

※プロフィールは、執筆時点、または直近の記事の寄稿時点での内容です

この記事は参考になりましたか?

この記事をシェア

EnterpriseZine(エンタープライズジン)
https://enterprisezine.jp/article/detail/13471 2020/10/20 11:24

Job Board

PR

おすすめ

アクセスランキング

アクセスランキング

イベント

EnterpriseZine(エンタープライズジン)編集部では、情報システム担当、セキュリティ担当の方々向けに、EnterpriseZine Day、Security Online Day、DataTechという、3つのイベントを開催しております。それぞれ編集部独自の切り口で、業界トレンドや最新事例を網羅。最新の動向を知ることができる場として、好評を得ています。

2022年12月8日(木)10:00~15:50

新規会員登録無料のご案内

  • ・全ての過去記事が閲覧できます
  • ・会員限定メルマガを受信できます

メールバックナンバー

アクセスランキング

アクセスランキング