More than 5 years have passed since last update.

IoTのセキュリティガイドラインまとめ

Last updated at 2018-09-11Posted at 2017-02-26

自分用にIoTのセキュリティのガイドラインに関するまとめ。少なからず技術的な参考になるものをまとめ。

IPA (情報処理推進機構)

[IoTのセキュリティ] (https://www.ipa.go.jp/security/iot/index.html)
IoT開発におけるセキュリティ設計の手引き
技術的な内容を含むハイレベルなガイドライン
IPA ニューヨーク事務所：米国におけるIoT基盤の動向調査　・・・PDF。
アメリカでのIoTの動向全般

総務省

IoTセキュリティガイドライン ver1.0 概要・・・PDF
技術的な内容なし。注意喚起？啓蒙活動？
IoTセキュリティのコンセプトと対策　・・・PDF

DHS (Department of Homeland Security: アメリカ合衆国国土安全保障省)

Securing the Internet of Things
Internet of Things Fact Sheet ・・・PDF
Strategic Principles for Securing the Internet of Things　・・・PDF

ハイレベルな要件('Suggested practices')あり

NIST (National Institute of Standards and Technology: アメリカ国立標準技術研究所)

OWASP

OWASP Internet of Things Project
- 技術的な観点たくさん
Top 10 Iot Vulnerabilities
1. 安全でないWebインターフェース
  - 初回ログイン時，デフォルトのユーザー名，パスワードを変更させる
  - パスワード回復時に攻撃者に情報を提供しない
  - XSS，SQLi, CSRF対策ができている。
  - 認証情報が伝送路に露出しない(認証情報が暗号化されている)
  - 弱いパスワードを設定させない
  - 3-5回程度の認証失敗でアカウントをロックする。
- 不十分な認証
  - 強いパスワードが必須になっていること
  - アクセスコントロールの粒度(granular)が適切であること
  - 認証情報が適切に保護されていること
  - 必要な場所に二要素認証が実装されていること
  - パスワード回復メカニズム(パスワードを忘れたとき)がセキュアであること。
  - 機密性の高い機能では再度認証を求めること。
  - Ensuring options are available for configuring password controls
  - 認証情報を取り消すことができること。
  - The app authentication is required
  - The device authentication is required
  - The server authentication is required
  - Manage authenicated user id(credential info.) and the user's device id, the user's app id mapping table in the authentication server
  - クライアントに発行されるトークンやセッションキーがユニークであること。
  - ユーザーID，アプリケーションID，デバイスIDが世界中でユニークであること(universally unique)。
- セキュアでないネットワークサービス
  - 必要なポートのみ開放されている
  - バッファオーバーフロー，ファジング対策がされている
  - DoS攻撃対策がされている
  - 異常なリクエストを検知してゲートウェイで通信をブロックできる。
- 伝送路の暗号化，完全性の確認不足
- プライバシーの懸念
- 安全でないクラウドインターフェース
  - 初回ログイン時，デフォルトのユーザー名，パスワードを変更させる
  - Ensuring user accounts can not be enumerated using functionality such as password reset mechanisms
  - 3-5回程度の認証失敗でアカウントをロックする。
  - WEBインターフェースがXSS，SQLi，CSRF対策がされていること
  - 認証情報がインターネット越に露出しない
  - 必要な場所に二要素認証が実装されていること
  - 異常なリクエストを検知またはブロックできること
- 安全でないモバイルインターフェース
  - 初回ログイン時，デフォルトのユーザー名，パスワードを変更させる
  - Ensuring user accounts can not be enumerated using functionality such as password reset mechanisms
  - 3-5回程度の認証失敗でアカウントをロックする。
  - 認証情報がワイヤレス越に露出しない
  - 必要な場所に二要素認証が実装されていること
  - Apply mobile app obfuscation techinque
  - モバイルアプリケーションに耐タンパメカニズムが実装されていること
  - メモリハッキングができないこと
  - モバイルアプリケーションは耐タンパOSに限定すること
- 不十分なセキュリティ設定
  - 一般ユーザーと管理者ユーザーを分離する機能を持つこと
  - データを暗号化する機能を持つこと
  - 強固なパスワードを強制する機能を持つこと
  - セキュリティイベントをロギングする機能を持つこと
  - セキュリティイベントをユーザーに通知する機能を持つこと
- 安全でないソフトウェア・ファームウェア
  - デバイスを更新する機能を持つこと
  - 更新ファイルは暗号化されていること
  - 更新ファイルは暗号化されて転送されること
  - 更新ファイルは機密情報(Sensitive data)を露出しないこと
  - Ensuring the update is signed and verified before allowing the update to be uploaded and applied
  - 更新サーバーはセキュアなこと
  - セキュアブートを実装すること
- 貧弱な物理セキュリティ
  - データを保存するメディアが容易に取り外せないこと
  - 蓄えられたデータが暗号化されていること
  - USBやその他外部ポートが悪意を持ってデバイスにアクセスするために利用されないこと
  - デバイスが容易に分解されないこと
  - USBポートなど外部ポートが製品の機能ためだけに利用されること。
  - Ensuring the product has the ability to limit administrative capabilities