Shoeisha Technology Media

EnterpriseZine(エンタープライズジン)

EnterpriseZine(エンタープライズジン)

テーマ別に探す

もしも「もしも社長がセキュリティ対策を聞いてきたら」の著者が社長になったら

edited by Security Online   2017/11/07 06:00

ITセキュリティの多重防御構造を自動車のセキュリティにも応用

 続いてIT環境と自動車に対するサイバー攻撃の違いなどについて紹介された。IT環境では、通常攻撃者は末端のクライアントをターゲットとして侵入し、横展開しながらより深い、中層部へと侵入を続ける。最終的にはドメインを掌握するというのが定番だ。インフラのセキュリティコンサルのアプローチの一つでは、クライアントPCレベルの「Tier2」は”汚染領域”とし、そこからいかに内部にいかないように対策を立てられるか、ということを考える。

 その知見から、自動車に対するサイバー攻撃も同様にインフォテイメント等を“汚染領域”として、自動運転を司るADASや電子制御系であるECUに影響を与えない方法を考えるのが自然と言えるだろう。  

出所:合同会社WHITE MOTION 蔵本雄一氏、Security Online Day(主催:翔泳社)講演資料より

出所:合同会社WHITE MOTION 蔵本雄一氏、Security Online Day(主催:翔泳社)講演資料より

 その対策をまとめたのが、下の図だ。縦軸が防御・検知・対処・復旧の時間軸、これはCybersecurity Frameworkをベースとした、おそらくITセキュリティを知る人にとってはおなじみの考え方だろう。しかし、ITセキュリティを知る人も分からないのが横軸であり、車独自のカバー領域となる。この縦と横の両軸を知り、高次元で対策を立てて網羅することが今後の自動車セキュリティの課題というわけだ。

合同会社WHITE MOTION 蔵本雄一氏、Security Online Day(主催:翔泳社)講演資料より
[クリックすると図が拡大します]

 ここで蔵本氏は、実際に自動車がハッキングを受けた事例について紹介した。

 まず、2015年にジープチェロキーのセルラー回線から侵入し、パワートレイン系等を遠隔から操作されるという事件が起きた。チャットのチャンネルである6667/TCPが常時オープンしており、パスワード奪取でroot権限がとられ、LinuxのOMAPが完全掌握された。さらに、不幸なことに通信管理ツールが生きていたこともあって、後ろにいた制御系マイコンであるV850にリーチされ、ファームウェアを書き換えられてしまった。その結果、パワートレイン系のアクセルやブレーキが操られることとなってしまった。

出所:合同会社WHITE MOTION 蔵本雄一氏、Security Online Day(主催:翔泳社)講演資料より

 そしてもう1つ、テスラの場合は、自動車販売店、バッテリー充電スポットの無線LAN APへの自動接続から侵入されたことが明らかになっている。パスワードが脆弱だったことに加え、Webブラウザが開いていたWebページを自動リロードする仕組みになっていた。そのWebブラウザは「WebKit」をレンダリングエンジンとして使用するQtCarBrowserという古いもので、11年に出た脆弱性「CVE-2011-3928」を突いて侵入されたという。そして情報端末の Linuxが脆弱性「CVE-2013-6282」を突かれてAppArmorを無効化され、コントローラーのファームウェアを書き換えられてしまった。なお、ファームウェアにコード署名チェックはなされていなかったという。

 蔵本氏は実際にハッキングの様子をその場で見せながら、「実はこうしたハッキングはそう難しくない。事例で言えばLinuxまでの侵入を100%防ぐことは、ほぼ不可能と言えるだろう。しかし、ナビやGPSがおかしくなったとしても、ブレーキやアクセルに影響が及ぶことはどうしても避けなければならない。どこが重要なのか、しっかりと見極めることが大切だ」と強調した。


著者プロフィール

  • 伊藤真美(イトウ マミ)

    フリーランスのエディター&ライター。もともとは絵本の編集からスタートし、雑誌、企業出版物、PRやプロモーションツールの制作などを経て独立。ビジネスやIT系を中心に、カタログやWebサイト、広報誌まで、メディアを問わずコンテンツディレクションを行っている。

  • Security Online編集部(セキュリティ オンライン ヘンシュウブ)

    Security Online編集部 翔泳社 EnterpriseZine(EZ)が提供する企業セキュリティ専門メディア「Security Online」編集部です。デジタル時代を支える企業の情報セキュリティとプライバシー分野の最新動向を取材しています。皆様からのセキュリティ情報をお待ちしておりま...

バックナンバー

連載:Security Online Day 2017 イベントレポート

もっと読む

All contents copyright © 2007-2019 Shoeisha Co., Ltd. All rights reserved. ver.1.5