現場に置かれた IoT デバイスどうやって守ろうか？ ― AWS と SORACOM で実現する IoT デバイスセキュリティ/security-for-iot-devices-with-aws -and-soracom-services

Slide 1

Slide 1 text

現場に置かれた IoT デバイスどうやって守ろうか？ ― AWS と SORACOM で実現する IoT デバイスセキュリティ ― JAWS DAYS 2020 オンライン Mar. 28, 2020 / ライブ配信株式会社ソラコムテクノロジー・エバンジェリスト松下享平 (Max / @ma2shita)

Slide 2

Slide 2 text

自己紹介株式会社ソラコム / テクノロジー・エバンジェリスト松下享平 (まつしたこうへい) “Max” 静岡県民新幹線通勤族経歴: 東証二部ハードウェア・メーカーで情シス部門、EC事業責任者、IoT事業開発を経て現職講演や執筆を中心に活動、登壇回数は140+回 (2018年実績) 好きな AWS サービス • AWS IoT Core • AWS IoT Greengrass Facebook, Twitter: ma2shita

Slide 3

Slide 3 text

JAWS DAYS 2015 JAWS DAYS 2017

Slide 4

Slide 4 text

今日紹介する事、しないことする事 • IoT におけるセキュリティリスク • IoT デバイス内の「価値ある情報」とは • IoT デバイスに対する攻撃経路と対策 • AWS IoT Device Defender しない事 • セキュリティとセーフティーの違い • クラウド側のセキュリティ • 3G/LTE のセキュリティ • システム停止を目的としたデバイス破壊対策 • 組み込みシステム開発におけるセキュリティ実装

Slide 5

Slide 5 text

IoT モノやコトをデジタル化

Slide 6

Slide 6 text

お客様事例: フジテック様エレベーターの稼働状況を遠隔で把握・稼働データ蓄積による予防保全の実現・故障発生時の早期把握と対応海外のエレベーター遠隔監視にSORACOMを正式採用

Slide 7

Slide 7 text

お客様事例: ソースネクスト様グローバル向け Air SIM eSIM内蔵で世界133カ国で使える 74の言語*で双方向のコミュニケーションを実現、AI通訳機 * 55言語では音声とテキストに、19言語ではテキストに翻訳します。詳細は製品ウェブサイトをご確認ください。（2019年11月時点）

Slide 8

Slide 8 text

IoT は「テクノロジーの総合格闘技」デジタル化対象デバイスネットワーククラウド利用者アプリケーションストレージデータ処理ゲートウェイパケット交換 (ISP/IX) バックホールアクセスポイント通信モジュールマイコンセンサー全てがつながって「IoT」ロジスティクスペイメントオペレーションセキュリティ Amazon S3 Amazon Kinesis Data Firehose AWS IoT Core AWS Amplify

Slide 9

Slide 9 text

#あのボタン SORACOM LTE-M Button powered by AWS

Slide 10

Slide 10 text

お客様事例：九州農政局農村振興部農村環境課様安価にわな通知装置を実現、見回りの労力軽減。 LTE-M 通信搭載で簡易に屋外に設置可能鳥獣のわな作動通知システムにSORACOM LTE-M Button

Slide 11

Slide 11 text

https://www.maff.go.jp/kyusyu/seiryuu/cyoujyugai/wana_tsu.html 資料が公開されています！

Slide 12

Slide 12 text

クラウドネットワークセンサー/デバイス “モノ” IoT におけるセキュリティリスククラウドリソースの不正利用ネットワークリソースの不正利用デバイスから得られた情報を基に他のデバイスの不正利用デバイス自体の不正利用最もリスクにさらされるのがデバイス

Slide 13

Slide 13 text

サンポート高松トライアスロン 2017 温度、湿度、UV、水温を LoRaWAN デバイスで収集、可視化

Slide 14

Slide 14 text

高松トライアスロン ASCII

Slide 15

Slide 15 text

出荷時の情報 • ソフトウェア本体とその設定情報運用で得られる情報 • データそのもの • ログ • ネットワーク接続の設定や認証情報 • クラウド接続の設定や認証情報設定情報の価値が高いしかしカジュアルに配置されるのが IoT の現場

Slide 16

Slide 16 text

クラウドネットワークセンサー/デバイス “モノ” IoT デバイスへの攻撃経路現場での直接攻撃インターネットからのリモート攻撃リモート攻撃への加担

Slide 17

Slide 17 text

クラウドネットワークセンサー/デバイス “モノ” リモート攻撃に備える現場での直接攻撃インターネットからのリモート攻撃リモート攻撃への加担アドレス隠蔽化 (NAPT 等) や閉域網化「ネットワーク管理」の知見が利用可能

Slide 18

Slide 18 text

SORACOM Air for セルラー標準のネットワークセキュリティ 10.128.0.0/9 デバイスのIPアドレスインターネット 3G/LTE(GTP) NAT 侵入経路が無いためデバイスは保護される

Slide 19

Slide 19 text

デバイス側フィルタの盲点インターネットデバイスでフィルタできても通信費がかかる！グローバル IP

Slide 20

Slide 20 text

クラウドネットワークセンサー/デバイス “モノ” リモート攻撃への加担を防ぐ現場での直接攻撃インターネットからのリモート攻撃リモート攻撃への加担アドレス隠蔽化 (NAPT 等) や閉域網化通信監視による早期検知や通信制限「ネットワーク管理」の知見が利用可能

Slide 21

Slide 21 text

SORACOM Junction： VPG に追加される3つのトラフィック処理機能 Inspection Redirection パケットフローの統計を SORACOM で計測し、結果を SORACOM Funnel で出力パケットを指定の宛先(インスタンス)に転送 VPG VPG パケットを指定の宛先(インスタンス)にコピー Mirroring VPG ※ SORACOM Funnel

Slide 22

Slide 22 text

SORACOM Junction ― Mirroring と Amazon EC2 でパケットダンプができる https://qiita.com/1stship/items/0108b60a89893c97cd5b セルラー通信でも L2/L3 スイッチのようなパケット制御が可能

Slide 23

Slide 23 text

https://aws.amazon.com/jp/iot-device-defender/ 定義したポリシーとの検証を自動化監査《設定を検証》例) ✓ デバイス証明書の有効期限が切れます ✓ デバイス証明書が共有されました • 別々のデバイスから同じ X.509 証明書による接続があった → X.509 証明書の埋め込みでミスがあった可能性がある例) ✓ 送信元 IP ✓ 受信したメッセージ検出《動作を検証》

Slide 24

Slide 24 text

AWS IoT Device Defender のセキュリティプロファイルはホワイトリスト形式セキュリティプロファイル＝「想定される動作」を記述 Amazon SNS AWS IoT Device Defender 10.0.0.78 172.16.0.12 想定通りの動作 → 何も起こらない AWS IoT Core 想定外の動作

Slide 25

Slide 25 text

クラウドネットワークセンサー/デバイス “モノ” 現場での直接攻撃に備える現場での直接攻撃インターネットからのリモート攻撃リモート攻撃への加担アドレス隠蔽化 (NAPT 等) や閉域網化通信監視による早期検知や通信制限無意味化難読化排除

Slide 26

Slide 26 text

ポリシーによる権限設定証明書を複製されたとしても影響を限定権限内の事は可能完全回避は困難 { "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "iot:Connect", "iot:Publish" ], "Resource": "arn:aws:iot:us-west-2::topic/YOUR_TOPIC" } ] } AWS IoT Device Defender の監査と組み合わせて早期の発見と行動

Slide 27

Slide 27 text

暗号化ファイルシステムで難読化 https://www.slideshare.net/matoken/ext4fs https://vgough.github.io/encfs/ 復号化のカギ管理が課題

Slide 28

Slide 28 text

セキュア・エレメント情報を安全に格納するメモリや、暗号化を補助するロジックや乱数生成が実行可能なモジュールハードウェア的な特性《耐タンパー性》 • 物理的な破壊によって内部情報が消滅ソフトウェア的な特性《厳重なアクセス制御》 • 決められた手続きでのみ内部情報にアクセス可能

Slide 29

Slide 29 text

TPM 2.0 # PC搭載セキュリティチップ（TPM）の概要と最新動向

Slide 30

Slide 30 text

TPM 2.0 https://qiita.com/mune10/items/5f565fcd8f010179d529 https://qiita.com/mune10/items/cf45a296193bb78f5c5b ソフトウェアベースのものもある

Slide 31

Slide 31 text

情報の排除

Slide 32

Slide 32 text

セキュア・エレメント情報を安全に格納するメモリや、暗号化を補助するロジックや乱数生成が実行可能なモジュールハードウェア的な特性《耐タンパー性》 • 物理的な破壊によって、内部情報が消滅ソフトウェア的な特性《厳重なアクセス制御》 • 決められた手続きでのみ内部情報にアクセス可能 SIM もセキュア・エレメント別途、セキュア・エレメントをデバイス実装する必要がなくなる SIM の固有情報を「鍵」として利用できる

Slide 33

Slide 33 text

#あのボタンの実装 SORACOM LTE-M Button powered by AWS チップ型 SIM AWS IoT 1-Click への接続設定 • クレデンシャル (認証情報) • (AWS への) エンドポイント情報 SORACOM サービスへのエンドポイントのみ情報が排除されている

Slide 34

Slide 34 text

SORACOM Funk SORACOM Beam / Funnel / Funk によるデバイス開発の工数削減デバイスセキュア&クラウドネイティブなプロトコル • メガクラウド PaaS / SaaS • パートナーソリューション SORACOM Beam SORACOM Funnel プリミティブなプロトコル • SIM を鍵としてクラウドの認証情報との紐づけ • クラウド向けプロトコルへ変換 HTTP, MQTT, TCP, UDP HTTPS(+JSON), MQTTS, TCPS SDK や認証情報をデバイスから取り払ってシンプル化デバイス開発の工数や運用の手間を削減

Slide 35

Slide 35 text

SOARCOM Funk でダイレクトに AWS Lambda を実行データ転送サービス SORACOM Beam クラウドファンクション SORACOM Funk Amazon API Gateway AWS Lambda AWS Lambda SORACOM Beam SaaS API や Webhook 呼び出しで引き続き有効 SORACOM Funk AWS Lambda を実行するベストプラクティス

Slide 36

Slide 36 text

クラウドネットワークセンサー/デバイス “モノ” 攻撃経路と活用できるサービス現場での直接攻撃インターネットからのリモート攻撃リモート攻撃への加担アドレス隠蔽化 (NAPT 等) や閉域網化通信監視による早期検知や通信制限無意味化難読化排除

Slide 37

Slide 37 text

非機能要件だからこそ AWS IoT のマネージド・サービスを SIM テクノロジー + SORACOM プラットフォームで守るから無くすへ AWS IoT Device Defender 定義したポリシーと動作の検証 AWS IoT Events デバイスの状態管理と実行 AWS IoT Events はステートマシンですから。 - Slideshare