Slide 1

Slide 1 text

現場に置かれた IoT デバイス どうやって守ろうか? ― AWS と SORACOM で実現する IoT デバイスセキュリティ ― JAWS DAYS 2020 オンライン Mar. 28, 2020 / ライブ配信 株式会社ソラコム テクノロジー・エバンジェリスト 松下 享平 (Max / @ma2shita)

Slide 2

Slide 2 text

自己紹介 株式会社ソラコム / テクノロジー・エバンジェリスト 松下 享平 (まつした こうへい) “Max” 静岡県民 新幹線通勤族 経歴: 東証二部ハードウェア・メーカーで 情シス部門、EC事業責任者、IoT事業開発を経て現職 講演や執筆を中心に活動、登壇回数は140+回 (2018年実績) 好きな AWS サービス • AWS IoT Core • AWS IoT Greengrass Facebook, Twitter: ma2shita

Slide 3

Slide 3 text

JAWS DAYS 2015 JAWS DAYS 2017

Slide 4

Slide 4 text

今日紹介する事、しないこと する事 • IoT におけるセキュリティ リスク • IoT デバイス内の 「価値ある情報」とは • IoT デバイスに対する 攻撃経路と対策 • AWS IoT Device Defender しない事 • セキュリティと セーフティーの違い • クラウド側のセキュリティ • 3G/LTE のセキュリティ • システム停止を目的とした デバイス破壊対策 • 組み込みシステム開発に おけるセキュリティ実装

Slide 5

Slide 5 text

IoT モノやコトをデジタル化

Slide 6

Slide 6 text

お客様事例: フジテック様 エレベーターの稼働状況を遠隔で 把握 ・稼働データ蓄積による 予防保全の実現 ・故障発生時の早期把握と対応 海外のエレベーター遠 隔監視にSORACOMを 正式採用

Slide 7

Slide 7 text

お客様事例: ソースネクスト様 グローバル向け Air SIM eSIM内蔵で 世界133カ国で使える 74の言語*で双方向の コミュニケーションを 実現、AI通訳機 * 55言語では音声とテキストに、19言語ではテキストに翻訳します。 詳細は製品ウェブサイトをご確認ください。(2019年11月時点)

Slide 8

Slide 8 text

IoT は「テクノロジーの総合格闘技」 デジタル化 対象 デバイス ネットワーク クラウド 利用者 アプリケーション ストレージ データ 処理 ゲートウェイ パケット交換 (ISP/IX) バックホール アクセス ポイント 通信 モジュール マイコン センサー 全てがつながって 「IoT」 ロジスティクス ペイメント オペレーション セキュリティ Amazon S3 Amazon Kinesis Data Firehose AWS IoT Core AWS Amplify

Slide 9

Slide 9 text

#あのボタン SORACOM LTE-M Button powered by AWS

Slide 10

Slide 10 text

お客様事例:九州農政局 農村振興部農村環境課様 安価にわな通知装置を実 現、見回りの労力軽減。 LTE-M 通信搭載で簡易に 屋外に設置可能 鳥獣のわな作動通知シ ステムにSORACOM LTE-M Button

Slide 11

Slide 11 text

https://www.maff.go.jp/kyusyu/seiryuu/cyoujyugai/wana_tsu.html 資料が公開されています!

Slide 12

Slide 12 text

クラウド ネットワーク センサー/デバイス “モノ” IoT におけるセキュリティリスク クラウドリソースの 不正利用 ネットワークリソースの 不正利用 デバイスから得られた情報を基に 他のデバイスの不正利用 デバイス自体の 不正利用 最もリスクにさらされるのがデバイス

Slide 13

Slide 13 text

サンポート高松トライアスロン 2017 温度、湿度、UV、水温を LoRaWAN デバイスで収集、可視化

Slide 14

Slide 14 text

高松 トライアスロン ASCII

Slide 15

Slide 15 text

出荷時の情報 • ソフトウェア本体とその設定情報 運用で得られる情報 • データそのもの • ログ • ネットワーク接続の設定や認証情報 • クラウド接続の設定や認証情報 設定情報の価値が高い しかし カジュアルに配置されるのが IoT の現場

Slide 16

Slide 16 text

クラウド ネットワーク センサー/デバイス “モノ” IoT デバイスへの攻撃経路 現場での 直接攻撃 インターネットからの リモート攻撃 リモート攻撃への 加担

Slide 17

Slide 17 text

クラウド ネットワーク センサー/デバイス “モノ” リモート攻撃に備える 現場での 直接攻撃 インターネットからの リモート攻撃 リモート攻撃への 加担 アドレス隠蔽化 (NAPT 等) や 閉域網化 「ネットワーク管理」の知見が利用可能

Slide 18

Slide 18 text

SORACOM Air for セルラー 標準のネットワークセキュリティ 10.128.0.0/9 デバイスのIPアドレス インターネット 3G/LTE(GTP) NAT 侵入経路が無いため デバイスは保護される

Slide 19

Slide 19 text

デバイス側フィルタの盲点 インターネット デバイスでフィルタできても 通信費がかかる! グローバル IP

Slide 20

Slide 20 text

クラウド ネットワーク センサー/デバイス “モノ” リモート攻撃への加担を防ぐ 現場での 直接攻撃 インターネットからの リモート攻撃 リモート攻撃への 加担 アドレス隠蔽化 (NAPT 等) や 閉域網化 通信監視による 早期検知や通信制限 「ネットワーク管理」の知見が利用可能

Slide 21

Slide 21 text

SORACOM Junction: VPG に追加される3つのトラフィック処理機能 Inspection Redirection パケットフローの統計を SORACOM で計測し、結果を SORACOM Funnel で出力 パケットを指定の 宛先(インスタンス)に転送 VPG VPG パケットを指定の 宛先(インスタンス)にコピー Mirroring VPG ※ SORACOM Funnel

Slide 22

Slide 22 text

SORACOM Junction ― Mirroring と Amazon EC2 でパケットダンプができる https://qiita.com/1stship/items/0108b60a89893c97cd5b セルラー通信でも L2/L3 スイッチのような パケット制御が可能

Slide 23

Slide 23 text

https://aws.amazon.com/jp/iot-device-defender/ 定義したポリシーとの検証を自動化 監査 《設定を検証》 例) ✓ デバイス証明書の有効期限が切れます ✓ デバイス証明書が共有されました • 別々のデバイスから同じ X.509 証明書によ る接続があった → X.509 証明書の埋め込 みでミスがあった可能性がある 例) ✓ 送信元 IP ✓ 受信したメッセージ 検出 《動作を検証》

Slide 24

Slide 24 text

AWS IoT Device Defender の セキュリティプロファイルはホワイトリスト形式 セキュリティプロファイル = 「想定される動作」を記述 Amazon SNS AWS IoT Device Defender 10.0.0.78 172.16.0.12 想定通りの動作 → 何も起こらない AWS IoT Core 想定外の動作

Slide 25

Slide 25 text

クラウド ネットワーク センサー/デバイス “モノ” 現場での直接攻撃に備える 現場での 直接攻撃 インターネットからの リモート攻撃 リモート攻撃への 加担 アドレス隠蔽化 (NAPT 等) や 閉域網化 通信監視による 早期検知や通信制限 無意味化 難読化 排除

Slide 26

Slide 26 text

ポリシーによる権限設定 証明書を複製されたとしても 影響を限定 権限内の事は可能 完全回避は困難 { "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "iot:Connect", "iot:Publish" ], "Resource": "arn:aws:iot:us-west-2::topic/YOUR_TOPIC" } ] } AWS IoT Device Defender の監査と組み合わせて 早期の発見と行動

Slide 27

Slide 27 text

暗号化ファイルシステムで難読化 https://www.slideshare.net/matoken/ext4fs https://vgough.github.io/encfs/ 復号化のカギ管理が課題

Slide 28

Slide 28 text

セキュア・エレメント 情報を安全に格納するメモリや、暗号化を補助するロ ジックや乱数生成が実行可能なモジュール ハードウェア的な特性 《耐タンパー性》 • 物理的な破壊によって内部情報が消滅 ソフトウェア的な特性 《厳重なアクセス制御》 • 決められた手続きでのみ内部情報にアクセス可能

Slide 29

Slide 29 text

TPM 2.0 # PC搭載セキュリティチップ (TPM)の 概要と最新動向

Slide 30

Slide 30 text

TPM 2.0 https://qiita.com/mune10/items/5f565fcd8f010179d529 https://qiita.com/mune10/items/cf45a296193bb78f5c5b ソフトウェアベースのものもある

Slide 31

Slide 31 text

情報の排除

Slide 32

Slide 32 text

セキュア・エレメント 情報を安全に格納するメモリや、暗号化を補助するロ ジックや乱数生成が実行可能なモジュール ハードウェア的な特性 《耐タンパー性》 • 物理的な破壊によって、内部情報が消滅 ソフトウェア的な特性 《厳重なアクセス制御》 • 決められた手続きでのみ内部情報にアクセス可能 SIM もセキュア・エレメント 別途、セキュア・エレメントを デバイス実装する必要がなくなる SIM の固有情報を「鍵」として 利用できる

Slide 33

Slide 33 text

#あのボタン の実装 SORACOM LTE-M Button powered by AWS チップ型 SIM AWS IoT 1-Click への接続設定 • クレデンシャル (認証情報) • (AWS への) エンドポイント情報 SORACOM サービスへの エンドポイントのみ 情報が排除されている

Slide 34

Slide 34 text

SORACOM Funk SORACOM Beam / Funnel / Funk による デバイス開発の工数削減 デバイス セキュア&クラウドネイティブな プロトコル • メガクラウド PaaS / SaaS • パートナー ソリューション SORACOM Beam SORACOM Funnel プリミティブな プロトコル • SIM を鍵としてクラウドの認証情報との紐づけ • クラウド向けプロトコルへ変換 HTTP, MQTT, TCP, UDP HTTPS(+JSON), MQTTS, TCPS SDK や認証情報をデバイスから取り払ってシンプル化 デバイス開発の工数や 運用の手間を削減

Slide 35

Slide 35 text

SOARCOM Funk でダイレクトに AWS Lambda を実行 データ転送サービス SORACOM Beam クラウドファンクション SORACOM Funk Amazon API Gateway AWS Lambda AWS Lambda SORACOM Beam SaaS API や Webhook 呼び出しで引き続き有効 SORACOM Funk AWS Lambda を実行する ベストプラクティス

Slide 36

Slide 36 text

クラウド ネットワーク センサー/デバイス “モノ” 攻撃経路と活用できるサービス 現場での 直接攻撃 インターネットからの リモート攻撃 リモート攻撃への 加担 アドレス隠蔽化 (NAPT 等) や 閉域網化 通信監視による 早期検知や通信制限 無意味化 難読化 排除

Slide 37

Slide 37 text

非機能要件だからこそ AWS IoT のマネージド・サービスを SIM テクノロジー + SORACOM プラットフォームで 守るから 無くすへ AWS IoT Device Defender 定義したポリシーと動作の検証 AWS IoT Events デバイスの状態管理と実行 AWS IoT Events はステートマシンですから。 - Slideshare

Slide 38

Slide 38 text

IoT の楽しいところだけ やろうぜ!

Slide 39

Slide 39 text

世界中のヒトとモノをつなげ 共鳴する社会へ