[CB16] IoTとしての自動車とセキュリティ: リモートサービスのセキュリティ評価とその対策の検討 - by 和栗直英

近年、電気自動車を筆頭にリモートから自動車の位置情報(GPS)の取得や制御を提供するサービスが増えている。 こうしたサービスは自動車OEMにとっては自動車に対するより高い付加価値となる可能性のある挑戦的なサービスである。 その一方で、今までインターネットを初めとした不特定多数の機器と相互通信するネットワークとの繋がりを持たなかった自動車にとってこうしたサービスの登場は新たな脅威に晒されることで新しいリスクを生み出すとも言える。 事実、2015年から今までの僅かな期間でこうしたサービスに対する問題点がいくつも報告されている。 こうした問題はいずれも国外で指摘されたものだが、日本市場ではどうだろうか？ そこで、我々は国内外のOEM各社が日本向けに提供しているクライアントアプリを解析、これらのアプリに対するアプリ間連携や通信に利用する証明書検証などの脆弱性の有無に加えて、攻撃者のリバースエンジニアリングによってこうした問題が発見され、悪用されることを防ぐ難読化などの耐解析技術の適用状況について評価を行った。 なお、現状日本国内において問題が指摘されているようなリモートから車両の一部機能を制御可能なサービスを提供しているOEMは限られている。 そのため、本講演では日本向けのアプリだけではなく米国向けのアプリも対象として、現時点におけるアプリのセキュリティ対策状況の評価結果およびその結果に基づいた将来的にエクスプロイトされる可能性と今後必要な対策について解説する。 --- 和栗 直英Naohide Waguri ネットワークエンジニアとしてネットワーク機器(ギガビットイーサネットやマルチレイヤスイッチ)のソフトウェア品質評価やテスト自動化の推進、開発業務を経て、2013年に株式会社FFRIに入社。 FFRIではセキュリティテストやサイバー攻撃動向の調査、分析業務に従事し、現在はリサーチャーとして自動車を中心とした組み込み機器に対する脅威分析やペネトレーションテスト手法の研究を行っている。 CODE BLUE 2015で講演。