EnterpriseZine(エンタープライズジン)

EnterpriseZine(エンタープライズジン)

テーマ別に探す

増加するハードウェア攻撃、セキュリティの鍵を握るのは「Root of Trust」

edited by Security Online   2020/10/19 10:00

 複雑化するセキュリティの世界では、様々な層での対策が求められる。OSやソフトウェアの脆弱性はよく問題になるが、忘れてはならないのが土台のハードウェアだ。実際、ハードウェアの攻撃は増えているという。9月18日の「Security Online Day 2020」では、「サイバー攻撃の最新動向とハードに基点を置くセキュリティ防御の重要性」をテーマに、攻撃する側、ハードウェアベンダー側、標準化の3つの分野から専門家がディスカッションした。

ハードウェアの攻撃は基点、最終目的はサーバー

Intel Corporation, Director Cybersecurity and Trust Policy/米インテル セキュリティ政策担当ディレクタ 竹井 淳氏(写真左)日本ヒューレット・パッカード株式会社プリセールスエンジニアリング統括本部 カスタマーイノーベーション本部 ソリューションセンター 崔 容準氏(写真右)に加え、株式会社サイバーディフェンス研究所 技術部 分析官 手島 裕太氏がパネラーとして参加した
Intel Corporation, Director Cybersecurity and Trust Policy
米インテル セキュリティ政策担当ディレクタ 竹井 淳氏(写真左)
日本ヒューレット・パッカード株式会社 プリセールスエンジニアリング統括本部
カスタマーイノベーション本部ソリューションセンター 崔 容準氏(写真右)
株式会社サイバーディフェンス研究所 技術部 分析官 手島 裕太氏の3名がパネラーとして登壇

 最初にサイバー研究所で技術部分析官の手島裕太氏が、ハードウェア攻撃の動向について話をした。同社でペネトレーションテスト(模擬攻撃)を用いて脆弱性診断を行う手島氏はまず、ハードウェア単体への攻撃の最大の特徴として、「デバイスが攻撃者の手に落ちている点」と述べる。IoT機器、制御端末や無線基地局のようなデバイスは管理者が物理的に存在しない場所へ設置されていることも多いため、脅威や影響を考慮する場合も、攻撃者が物理的にデバイスへアクセスできることを前提としなければならない。たとえば基板にあるデバッグ用の端子(ポート)が残っていれば、そこから簡単にサーバー側にデータを送ったり、詳細なログなどの情報を得ることができるという。

講演資料より抜粋、以下同

 IoTブームでネットワークに接続される端末(ハードウェア)は増加の一途をたどるが、ハードウェア攻撃は「最終目的ではなく手段の1つとなっている」と手島氏。多くの場合、あくまでも起点であり、そこから中央のサーバーを麻痺させるなどのことが最終目的になっていると言う。

 手島氏はハードウェアの安全性が重要な理由として、「OSやミドルウェアは日常的に脆弱性が見つかり修正させることを繰り返して堅牢になってきたが、その下にあるハードウェアが直接書き換えられたらどうなるか」と述べる。

 攻撃の例として、PCから家庭用WiFiルーターまで様々な機器に使われているフラッシュメモリを取り上げる。これらフラッシュメモリは通常、上書き禁止の機能はあっても、読み出し禁止はない。どんなOSが使われているのかといった中身の読み出しが行われ、それをもとに攻撃するといったことがが可能になってしまう。

 そこで手島氏が紹介するのが、「ソフトウェアの完全性を確保すること」だ。つまり、たとえフラッシュメモリのような記憶媒体を直接改ざんされたとしても、ソフトウェア 、ファームウェアはベンダーが作ったままであるという完全性を確保することで、ハードウェアの攻撃の影響を食い止めることができ全体のセキュリティを強固にできるというわけだ。

 「(ハードウェアへの攻撃により)ファームウェアが改ざんされたとしても、このファームウェアはおかしいから復旧しようという機能が組み込まれていれば、攻撃の意味はなくなり、攻撃側はお手上げに近い状態になる」と手島氏。

※この続きは、会員の方のみお読みいただけます(登録無料)。


※この続きは、会員の方のみお読みいただけます(登録無料)。


著者プロフィール

  • 末岡 洋子(スエオカ ヨウコ)

    フリーランスライター。二児の母。欧州のICT事情に明るく、モバイルのほかオープンソースやデジタル規制動向などもウォッチしている。

バックナンバー

連載:Security Online Day 2020レポート

もっと読む

All contents copyright © 2007-2020 Shoeisha Co., Ltd. All rights reserved. ver.1.5