９月３０日のIｏＴセキュリティフォーラム２０１５の続きをメモメモ
■繋がるクルマＩＴＳにおけるセキュリティの運用管理について
一社 ＩＴＳサービス高度化機構 若宮氏
１．なぜ運用管理か
・システムのセキュリティは事業主体が決め、責任を持つ
責任の重さ、迅速・確実
責任分担、法的、社会的責任
関係する主体（エンティティ）の管理
信用構築、不信のしくみ
関係する主体の競争と協調、権利と義務
公共システム
現在と将来、維持と更新
→運用管理が重要、運用管理体制が重要
２．
（１）．運用管理機関と各エンティティ（役割主体）の関係例
ＩＴＳフォーラム
（２）．セキュリティーについて
・セキュリティーのしくみについては、公開していることしか話せません
・使用している暗号アルゴリズムの強度評価
→しくみとかも重要
・つながる仕組みは汎用か、専用か
汎用は便利だが、つながる脅威が絞りきれない
費用面ではどちらがよいか、事業者、関係者、利用者にとって
公開鍵と共通かぎ
公開鍵安価で高速・高性能チップ→いつ？
どちらも更新必要
移動する者の管理、できないことも前提
信用する仕組みで不信の仕組みも必要
将来保証できる完ぺきなセキュリティはつくれない
（３）．セキュリティ検討イメージ（運転支援通信システム）
ＩＴＳフォーラム
車車間通信、路車間通信
運転支援通信システムにおける通信システム
（４）．セキュリティ対策方針例
（５）．電子署名方式の概要
（６）．ＭＡＣ方式の概要
（７）．電子署名方式とＭＡＣ方式の特徴
（８）．電子署名方式とＭＡＣ方式の特徴（コスト）
（９）．共通かぎアルゴリズム適用時の鍵管理
複数の場合大きいと非現実
３．ＩＴＳについて
高度道路交通システム
４．ＩＴＳにおけるセキュリティの運用管理事例
・ＥＴＣ及びＥＴＣ２.0
サービスの広がり
紹介ビデオ
世界初の路社協調（ＩＴＳスポット）
センサーのかわり
ＥＴＣ料金所における処理の概要
ショートレンジコミュニケーション
ＡＳＫ，ＱＰＳＫ
ＥＴＣ，ＥＴＣ２．０無線通信のしくみ
２．０多目的利用のためのアプリケーション・サブレイヤ
・仕様書等の関連
法律
電波法
道交法
：
・ＥＴＣのセキュリティの概念
カード
車載機
路側機
セットアップ店：セキュリティ情報
管理内容：公開している
■IoTの現場で利用されるオープンソースのぜい弱とその対策
オープンソースの利用の広がり
Githubの出現によるオープンソースの増加
Gihub1000万プロじぇくと
そーすふぉーじの５０倍
ＩｏＴにおけるオープンソースの利用
ＩｏＴにおけるセキュリティ事情
クルマもハッキングされる時代
オープンソースの品質→意外に高い
不具合/1000 セキュリティOWASP OP10
オープンソース ０．６１ ８．６１
商用ソフト ０．７６ ０．５
オープンソースのぜい弱性
Hearbleed
ShellShock
Ghost
ＯｐｅｎＳＳＬはどのくらいの人数で開発してる？
→Apacheは会社で開発したものをコントリビュート
OpenSSLは寄付（２０００ドル）
Bashは・・・
ＣＩＩ
今後オープンソースの品質は改善
でも、自分たちで・・・
オープンソースの検出の難しさ
把握しているのは氷山の一角
→ライブラリが勝手にリンク
簡単にコピペ：簡単にぐぐれる
すたっくおーばーふろー：こぴぺ→そこにぜい弱性あったら？
オープンソースのぜい弱性の検出と管理
・パラリーダーPalamida
何が分かれば、ぜい弱性わかる？→コンポーネントとバージョン
Auto-WriteUP
・ファイルを変更されていた場合のぜい弱性の検出
ぜい弱性が検出されることが多いオープンソース
・zlib
・libpng
・OpenSSL
・glibc
・libxml2
・libtiff
→バージョンを管理
特定されたぜい弱性
未知のぜい弱性への対応
コミュニティ→ＮＶＤ→PALAMIDA→ユーザー
コベリティ
・ソースコードそのまま見る
・主なＣＷＥ：現象ごとにできること
・コベリティスキャン
PalamidaとCoverityのぜい弱性検出対応
まとめ
・ＩｏＴでもオープンソースぜい弱性問題に
・バイナリ解析はPalamida
・未知のオープンソースのぜい弱性は発覚後すぐにわかるPalamida
・ソースコードではCoverity
■制御技術とIoTのセキュリティ連携について
ＣＳＳＣ
・自己紹介
・社会インフラを支える制御システムとは
計測と監視（収集）・制御（操作）
ＯＴ；プラント運用
自動車の主要部は制御システム
ＥＣＵがＣＡＮにつながっている
セキュリティは何を守るか？
ぜい弱性が残留
ドイツの製鉄所へのサイバー攻撃：操業停止
自動車のサイバーセキュリティに関係する事例
米食品、医薬品局が最初のサイバーセキュリティ関係の注意喚起発行
・防護ハードルの多重
サーバー攻撃のリスクを低減する４つの対策対策実施
アプリケーションのぜい弱性対策
基本ソフトＯＳのぜい弱性対策
アプリケーションに対するホワイトリスト
特権ユーザーの数を最小に
継続的な監視
人材育成と認知度向上
標準準拠・認証
ホワイトリスト
スィッチで
IIoT（インダストリアルのIoT）と連携した
社会インフラを支える制御システムの実現
→ビッグデータ
・標準
IEC62443
１３標準中、６つが標準化済み
５認証進展中
ＩＥＣが認証しようとしている ＷＩＢ
ISA Secure
日本で日本語による世界共通
ＥＤＳＡ
増加する認証製品
つーるがある
・ＩｏＴセキュリティ評価認証の参考に
ＳＤＳＡ：ソフトウェア
機能が実装されているか
ＣＲＴ：ロバストネス
ＩＳＣＩ認定の試験デバイス
６つの必須機能の評価→どれか１つ
制御システムからみた障害の例
フラッティング
必須機能の維持
対象プロトコル（６つ）
・ＩｏＴ関係のセキュリティ参考資料
ＣＳＳＣの活動
研究開発
サイバーセキュリティ演習
まとめ
ここまでで、帰ってきてしまったので、IoTセキュリティーフォーラムの話はここで終了
■繋がるクルマＩＴＳにおけるセキュリティの運用管理について
一社 ＩＴＳサービス高度化機構 若宮氏
１．なぜ運用管理か
・システムのセキュリティは事業主体が決め、責任を持つ
責任の重さ、迅速・確実
責任分担、法的、社会的責任
関係する主体（エンティティ）の管理
信用構築、不信のしくみ
関係する主体の競争と協調、権利と義務
公共システム
現在と将来、維持と更新
→運用管理が重要、運用管理体制が重要
２．
（１）．運用管理機関と各エンティティ（役割主体）の関係例
ＩＴＳフォーラム
（２）．セキュリティーについて
・セキュリティーのしくみについては、公開していることしか話せません
・使用している暗号アルゴリズムの強度評価
→しくみとかも重要
・つながる仕組みは汎用か、専用か
汎用は便利だが、つながる脅威が絞りきれない
費用面ではどちらがよいか、事業者、関係者、利用者にとって
公開鍵と共通かぎ
公開鍵安価で高速・高性能チップ→いつ？
どちらも更新必要
移動する者の管理、できないことも前提
信用する仕組みで不信の仕組みも必要
将来保証できる完ぺきなセキュリティはつくれない
（３）．セキュリティ検討イメージ（運転支援通信システム）
ＩＴＳフォーラム
車車間通信、路車間通信
運転支援通信システムにおける通信システム
（４）．セキュリティ対策方針例
（５）．電子署名方式の概要
（６）．ＭＡＣ方式の概要
（７）．電子署名方式とＭＡＣ方式の特徴
（８）．電子署名方式とＭＡＣ方式の特徴（コスト）
（９）．共通かぎアルゴリズム適用時の鍵管理
複数の場合大きいと非現実
３．ＩＴＳについて
高度道路交通システム
４．ＩＴＳにおけるセキュリティの運用管理事例
・ＥＴＣ及びＥＴＣ２.0
サービスの広がり
紹介ビデオ
世界初の路社協調（ＩＴＳスポット）
センサーのかわり
ＥＴＣ料金所における処理の概要
ショートレンジコミュニケーション
ＡＳＫ，ＱＰＳＫ
ＥＴＣ，ＥＴＣ２．０無線通信のしくみ
２．０多目的利用のためのアプリケーション・サブレイヤ
・仕様書等の関連
法律
電波法
道交法
：
・ＥＴＣのセキュリティの概念
カード
車載機
路側機
セットアップ店：セキュリティ情報
管理内容：公開している
■IoTの現場で利用されるオープンソースのぜい弱とその対策
オープンソースの利用の広がり
Githubの出現によるオープンソースの増加
Gihub1000万プロじぇくと
そーすふぉーじの５０倍
ＩｏＴにおけるオープンソースの利用
ＩｏＴにおけるセキュリティ事情
クルマもハッキングされる時代
オープンソースの品質→意外に高い
不具合/1000 セキュリティOWASP OP10
オープンソース ０．６１ ８．６１
商用ソフト ０．７６ ０．５
オープンソースのぜい弱性
Hearbleed
ShellShock
Ghost
ＯｐｅｎＳＳＬはどのくらいの人数で開発してる？
→Apacheは会社で開発したものをコントリビュート
OpenSSLは寄付（２０００ドル）
Bashは・・・
ＣＩＩ
今後オープンソースの品質は改善
でも、自分たちで・・・
オープンソースの検出の難しさ
把握しているのは氷山の一角
→ライブラリが勝手にリンク
簡単にコピペ：簡単にぐぐれる
すたっくおーばーふろー：こぴぺ→そこにぜい弱性あったら？
オープンソースのぜい弱性の検出と管理
・パラリーダーPalamida
何が分かれば、ぜい弱性わかる？→コンポーネントとバージョン
Auto-WriteUP
・ファイルを変更されていた場合のぜい弱性の検出
ぜい弱性が検出されることが多いオープンソース
・zlib
・libpng
・OpenSSL
・glibc
・libxml2
・libtiff
→バージョンを管理
特定されたぜい弱性
未知のぜい弱性への対応
コミュニティ→ＮＶＤ→PALAMIDA→ユーザー
コベリティ
・ソースコードそのまま見る
・主なＣＷＥ：現象ごとにできること
・コベリティスキャン
PalamidaとCoverityのぜい弱性検出対応
まとめ
・ＩｏＴでもオープンソースぜい弱性問題に
・バイナリ解析はPalamida
・未知のオープンソースのぜい弱性は発覚後すぐにわかるPalamida
・ソースコードではCoverity
■制御技術とIoTのセキュリティ連携について
ＣＳＳＣ
・自己紹介
・社会インフラを支える制御システムとは
計測と監視（収集）・制御（操作）
ＯＴ；プラント運用
自動車の主要部は制御システム
ＥＣＵがＣＡＮにつながっている
セキュリティは何を守るか？
ぜい弱性が残留
ドイツの製鉄所へのサイバー攻撃：操業停止
自動車のサイバーセキュリティに関係する事例
米食品、医薬品局が最初のサイバーセキュリティ関係の注意喚起発行
・防護ハードルの多重
サーバー攻撃のリスクを低減する４つの対策対策実施
アプリケーションのぜい弱性対策
基本ソフトＯＳのぜい弱性対策
アプリケーションに対するホワイトリスト
特権ユーザーの数を最小に
継続的な監視
人材育成と認知度向上
標準準拠・認証
ホワイトリスト
スィッチで
IIoT（インダストリアルのIoT）と連携した
社会インフラを支える制御システムの実現
→ビッグデータ
・標準
IEC62443
１３標準中、６つが標準化済み
５認証進展中
ＩＥＣが認証しようとしている ＷＩＢ
ISA Secure
日本で日本語による世界共通
ＥＤＳＡ
増加する認証製品
つーるがある
・ＩｏＴセキュリティ評価認証の参考に
ＳＤＳＡ：ソフトウェア
機能が実装されているか
ＣＲＴ：ロバストネス
ＩＳＣＩ認定の試験デバイス
６つの必須機能の評価→どれか１つ
制御システムからみた障害の例
フラッティング
必須機能の維持
対象プロトコル（６つ）
・ＩｏＴ関係のセキュリティ参考資料
ＣＳＳＣの活動
研究開発
サイバーセキュリティ演習
まとめ
ここまでで、帰ってきてしまったので、IoTセキュリティーフォーラムの話はここで終了