ペンタセキュリティが毎月(年12回)掲載しているセキュリティコラムです。
当社のR&DセンターのTOSLabは、本コラムより、社会一般必要なICTセキュリティとその課題について提言することで
企業、そして社会のセキュリティ認識の向上およびセキュリティ文化の定着を支援致します。

【コラム】Webアプリケーションのセキュリティを強調する理由

韓国インターネット振興院によると、ハッキングトライの全体の7割以上がWebを介して行われているというほど、Webセキュリティは、もはや選択ではなく必須となりました。

しかし、Webセキュリティは、専門家といっても安全を保障することは難しいです。それは、現在セキュリティ対策の標準化が進められておらず、企業それぞれが異なるセキュリティ対策を構築しているためです。

Webセキュリティの安全性を確保するためには、企業のセキュリティ担当者がWebセキュリティに対して十分に理解した上で、自社のITシステムに合うWebセキュリティを構築する必要があります。ほとんどの企業は、Webセキュリティソリューションを導入していますが、Webセキュリティを十分に理解し適材適所に導入・運用している企業が少ないのが実情です。

当カラムでは、Webセキュリティを容易に理解できるよう全般的なITシステムの構造からはじめ、WebセキュリティがITシステムにどのように適用されるかを説明します。まず、ITシステムに対する理解や、Webセキュリティの概要について探ってみましょう。

クライアント ‐ サーバの構造に対する理解

私たちは、一般的にPCやノートパソコン、モバイルデバイスを利用してWebに接続します。IT用語としては、Webに接続するために利用するPCやノートパソコン、モバイルデバイスを「クライアント」といい、Webサイトやモバイルアプリケーションの画面のようにWebコンテンツを保存しておき、クライアントが接続したらコンテンツを表示するシステムを「サーバ」といいます(ITシステムにおけるサーバが全てWebサーバではありませんが、ここではWebセキュリティに関してのことですので、Webサーバを例えて説明します)。そして、クライアントとWebサーバを繋ぐ連結網を「Web」といいます。

セキュリティの観点からみると、一般的にクライアントのセキュリティは個別システムの安全と関係があり、サーバのセキュリティは企業システムの安全と関係があります。企業内部にあるクライアントのセキュリティもありますが、今回は、企業内におけるWebセキュリティの核心となるサーバのセキュリティについて探ってみましょう。

企業のサーバシステムの構造


企業内サーバのシステム構造を理解するために、まず、ITシステムの構造を確認してみましょう。

上図のように、ITシステムは、大きくネットワーク、システム、アプリケーションの3つの階層に構成されています。OSI 7階層やTCP/IP階層のような様々なITシステムモデルがありますが、こうした階層的分類では、ネットワーク、システム、アプリケーションの3つの階層が最も共通的な構造です。この3つの階層はお互いの相互作用を通じてITシステムを構成します。

ネットワーク階層は、データの送受信にかかわる通信を担当する役割をし、システム階層は私たちがよく知っているWindows、Linuxといったオペレーティングシステム(OS)のように、様々なアプリケーションが作動できるようにするプラットフォームの役割を行います。アプリケーションは、最上位の階層であり、多様な機能を行うプロトコル(HTTP、FTP等)及び応用サービスを提供します。

サーバシステムの構造も基本的にはこのITシステムの構造に従います。要するに、安全なサーバのセキュリティとは、ITシステムにおける3つの階層のセキュリティ、すなわち、ネットワーク、システム、アプリケーションの全てのセキュリティが安全に構築されていることを意味します。

Webセキュリティの中核は、アプリケーションのセキュリティ


理解を助けるために、ITシステムの各階層はWebセキュリティを確保するために、実際にどのように構築されているか、現実的な観点から探ってみましょう。

ネットワークのセキュリティのためには、安全ではないIPやポート(Port)に対するアクセス制御を行う必要があり、許可されたIPやポートからのトラフィックに対しても有害性の有無をチェックする必要があります。そのため、ほとんどの企業では、ファイアウォール(Firewall)と侵入検知/防止システム(IDS/IPS)を構築しています。

しかし、ファイアウォールの場合、許可されたIPやポートからの攻撃は遮断できず、また、IDS/IPSにて行われるネットワーク階層における有害性検査は、アプリケーション階層に対する理解がないまま行われるため、アプリケーションの脆弱性を狙った攻撃に対しては遮断できないという限界があります。

システムのセキュリティはOSに関わることが多いです。Windows、Linux、UnixなどのOSに対する開発及び提供に関わるメーカーは、自社システムに対して定期的なセキュリティのアップデートやパッチを行うことにより、知られているWeb攻撃に備えています。企業のセキュリティ担当者は、セキュリティのアップデートやパッチを行うことに加え、定期的にシステムの悪性コードを検出し、システムを常に安全な状態に維持しなければなりません。そのために企業は、アンチウイルスソリューションを導入しています。

このように、ほとんどの企業は、ネットワーク及びシステムのセキュリティに対しては、その必要性を理解し、セキュリティの構築に力を入れています。しかし、アプリケーションのセキュリティに対しては、そうではありません。

アプリケーションの階層は、ネットワークやシステムの階層に比べ高度化されており、アプリケーションの種類も多様であるため、大部分のセキュリティ管理者はセキュリティの適用に困っています。Webセキュリティを構築する際にも同様です。

Webセキュリティにおいて最重要なのは、アプリケーションのセキュリティです。私たちが普段利用しているWebは全てアプリケーションで構成されています。WebサイトやモバイルWebなどは全てアプリケーションで構成されており、それをターゲットとしたWeb攻撃もアプリケーションの脆弱性を狙った攻撃が多いです。SQLインジェクション、XSS(クロス・サイト・スクリプティング)のような有名なWeb攻撃も全てWebアプリケーションであるWebサイトの脆弱性を狙った攻撃です。Webシェルと呼ばれるWeb基盤悪性コードもphpなどで構成されたWebアプリケーションです。

Webセキュリティ業界で有名なOWASP(The Open Web Application Security Project)が選定したWeb脆弱性Top10も全てWebアプリケーション攻撃です。つまり、現在行われているWeb攻撃の9割以上が全てWebアプリケーションを狙った攻撃であると言っても過言ではありません。要するに、安全なWebセキュリティを構築するためには、安全なWebアプリケーションセキュリティの構築が必須ということです。

Webセキュリティ対策 においてアプリケーションのセキュリティが最も重要であるにも関わらず、実際にはどのように構築すればよいかという難題にぶつかり、適切なセキュリティが行われていないのが現状です。

次回では、その難題を解消するために、アプリケーションのセキュリティを集中分析し、安全なWebアプリケーションのセキュリティを構築するためには、どうすればいいかについて説明します。

【コラム】10年先のICT業界をリードする、自動車の情報セキュリティ!

自動車の情報セキュリティにおける中核技術は、データ暗号化とWebアプリケーションファイアウォール、そして国際標準

 

10年先のICT業界における中核技術は、自動車の情報セキュリティです。情報セキュリティの重要さは言うまでもありません。攻撃により、致命的な被害を受ける場合もあります。しかし、それほど身近な話ではありません。世間を大騒ぎにするセキュリティ事故が起きてからこそ、初めてセキュリティの重要性を実感するのが現在社会の認識です。自動車に関わるセキュリティ問題は、他のセキュリティ問題とは比べられないものです。普通、セキュリティ事故と言えば、情報漏洩や、それによる経済的被害などにとどまりますが、自動車におけるセキュリティ事故は、

人の命にかかわる問題です!

現在、駆動や制動、操向、各種センサーといった自動車における多くの機能は、電子装置によりコントロールされます。最新の自動車には、100個にも及ぶ「電子制御ユニット(ECU;Electronic Control Unit)」が搭載されています。それらのECUをネットワークでつないで車内の様々な情報を収集することで、その自動車のステータスを総合的に把握し、個々の装置をリモート制御するなど、いわゆる「スマートカー」の技術開発が活発化しています。しかし、優れた最先端技術を搭載したからといって、自動車1台そのものをスマートカーと称するのは無理ではないでしょうか。スマートカーの多くの技術は、自動車同士が通信し合う、「コネクティッドカー(Connected Car)」を前提に開発されているためです。

まずは、スマートカーの技術について探ってみましょう。

 

V2X = V2V + V2I + V2N

車車間通信、V2V(Vehicle to Vehicle)

自動車は通信制御装置(CCU;Communication Control Unit)」の経由で他の自動車と通信し、道路状況など、交通情報をやり取りします。近接する自動車同士の通信は、路上に設置されている路側機(RSU;Road Side Unit)」と臨時ネットワークを構成することにより、交通事故の未然防止や安全・快適走行に役立てられます。

路車間通信、V2I (Vehicle to Infrastructure)
道路脇に設置されて、車両とコミュニケーションする路側機(RSU;Road-Side Unit)はお互いに連携し、巨大なネットワークを形成します。RSUは隣接する自動車と通信するこどで、交通安全の保障や渋滞防止のために、渋滞回避ルートの案内や各種マルチメディアコンテンツなどの情報サービスを提供します。

端車間通信、V2N (Vehicle to Nomadic device)
自動車はドライバーのモバイル端末ともつながります。スマートフォンやタブレットを利用し、整備の必要な部品の把握など、車両のステータスをリモート管理できます。つまり、自動車がもう一つのスマートデバイスになるというわけですが、体積や重量に関わらず、様々の機器を一つに結ぶデータセンターの一種として活用できます。

自動車、RSU、交通信号システムといった従来の交通体系、モバイルデバイスなど上記に述べた全ての要素を一つにまとめると、 「高度道路交通システム(ITS;Information Transportation System)」となります。このようなシステムにより、自動車交通の効率性と安全性の画期的な向上を実現できます。

素晴らしい、目覚ましい発想です。しかし、現在の車内ネットワークにおける情報のやり取りには、セキュリティが欠けています。それは、非常に深刻な危険にさらされているということです。つまり、「コネクティッドカー」のネットワークは、外部からの悪意的なハッキングや攻撃などにさらされる恐れがあるという意味でもあり、ドライバーではない違う誰かが遠隔操作して走行装置を誤作動させたり、エンジンを止めたりすると、ドライバーや歩行者の命にかかわる深刻な事故につながる恐れがあります。

さらに、スマートカーに最近話題の「自動運転車(ドライバーレスカー)」が絡み合うと、問題はさらに深刻になります。自動車に搭載されているセンサーと人工知能によって目的地まで自動で運転する「自動運転車」は、機械というモノ(客観性)を利用して人間的欠陥による交通事故を減らし、排ガスなど環境への悪影響を軽減させるための技術的な取り組みです。ところが、インターネット世界で横行している本来の意図とは違うところに流されてしまう「リンクスパム」のような広告手法と悪意的な技術を組み合わせれば、「ドライバーが自動車にA食堂に行くことを命令したにも関わらず、勝手にB食堂に行ってしまえば?」のようなことがリアル世界でも起こり得ます。だからこそ、セキュリティが必要となります。

自動車の情報セキュリティは、車内外のインフラなど、全ての領域にわたって同時に行われなければなりません。それぞれの領域で何が必要なのか、確認してみましょう。

 

まず、車内外のネットワークをはじめ、ひいてはITS交通管理システムなど全てを「公開鍵基盤(PKI;Public Key Infrastructure)」で検証された情報を基に構成すべきです。また、車内外の全てのネットワークはファイアウォールなどで徹底的に保護する必要があります。
車内の場合、あらゆるECUに対しては、安全な起動を保障する「セキュア・ブート(Secure Boot)」や安全にソフトウェアを更新する 「セキュア・フラッシング(Secure Flashing)」を適用し、車内ネットワークには、認証及びアクセス制御を適用することで、それぞれのECUが、受信した通信内容の信頼性を検証できるようにする必要があります。

車外の場合は、V2V, V2I, V2Nなど全ての通信に対し、相互認証を行い信頼性を保障すべきです。それを実現するために、高速スピードで走る自動車環境への最適化を目指し、チャネル帯域幅やRF出力を高めた「次世代車載無線通信(WAVE;Wireless Access in Vehicular Environment)」の国際標準化が進められています。今のところ、無線リンへの接続時間短縮ということなどを理由に認証は行われていませんが、高速暗号化の技術研究などを通じて、必ず解決すべき課題です。

とりわけ着目すべきなのは、ECUからRSUを経てITSに至るまで、全ての通信はWebを介して行われていることです。要するに、自動車の情報セキュリテイにおいてカギとなるのは、Webセキュリティであるということです。

本当に安全な暗号化なのか、従来のプロセスを害することはないか、ソリューションを導入するには、従来のシステムにどのくらいの修正が必要となるのか、修正作業の難易度はどの程度なのか、複数のシステムが繋がっている連携システムの場合、システム間のネットワーク通信区間のセキュリティは安全なのか、今後のシステムの管理や運用に適切なのか、メンテナンスは円滑に行われるのか、そして、決定的にソリューションの価格は妥当なのかなど、考慮すべきことは山ほどあります。

さらに、自動車は代表的な国際商品であることも見過ごしてはなりません。全ての国が自動車を生産しているわけでもありませんし、人々が自国産の自動車しか購入するわけでもありません。それだけに国際標準化は非常に重要です。国ごとにその基準が異なると、販売することも購入することもできないためです。

このように、自動車の情報セキュリティは簡単なことではありません。とりわけ、データ暗号化とWebアプリケーションファイアウォール関連技術を如何に国際標準に徹底適用するのかが最難題です。自動車の情報セキュリティに関心をお持ちでしたら、まずは、上記のあらゆる要素を整えている企業と相談することをお勧めします。データ暗号化とWebセキュリティ専門企業である「ペンタセキュリテイシステムズ株式会社」なら、保有している従来の技術を統合して自動車の情報セキュリティ分野に適用した新技術により、既にIEEE 1609.2とCAMP VSC3規格といった自動車の情報セキュリティにおける全ての国際標準規格を実現しております。

10年先のICT業界における中核技術は、自動車の情報セキュリティです。それは間違いありません。

 

 

 

 

 

【コラム】マイナンバーの導入!カギとなるのは、データ暗号化!

 

マイナンバーの導入まですでに1年を切り、日本国内ではそれに対する様々な声が高まっています。データ工学専門家として関心を持たざるを得ない話題であり、日本政府の発表内容とその反応に注目したいです。
元々の導入目的である複雑な行政手続の簡素化への期待や、IT業界の成長を成し遂げる決め手になると見込まれるなど肯定的な意見も多い反面、プライバシー侵害や個人情報漏洩といったリスクに対する懸念の声も多いです。それは当然のことでしょう。国をあげてのインフラ整備や政策の策定・実行していく上で現れる明暗は、どの国でも同じではないかと思います。韓国の「住民登録番号」と日本の「マイナンバー」マイナンバーは、各種年金、保険、納税、運転免許、パスポートなどそれぞれの行政機関で行われていた業務を、国民一人一人に固有の識別番号を割り当て、情報を一元管理して業務の効率性向上や無駄な重複投資の削減を図ることが狙いです。それは、韓国で使われている「住民登録番号」とよく似ています。したがって、住民登録番号を利用することによって韓国で発生した様々なセキュリティ問題を踏まえて、「マイナンバー」管理システムが今後取り組むべきことについて考えてみましょう。
韓国の「住民登録番号」における問題点は、大きく2つあります。
最初に、個人識別番号そのものに盛り込まれている情報が多すぎることです。住民登録番号だけで、特定人物の生年月日はもちろん、性別、出身地域まで判別でき、その情報を基にデータの整列と検索を行うことで、その他の情報も簡単に推測することが可能です。それは、数十年前の「紙文書時代」に作られた住民登録番号が、元々秘密設計されていなかったためです。それに比べ「マイナンバー」は、設計の段階から韓国の「住民登録番号」のように番号そのものに情報が盛り込まれていないため、このような問題は生じないと思われます。

次に、事実上再発行不可能な単一の固有番号が、余りにも多くのデータベースの識別インデックスとして使われることによって生じる技術的なセキュリティ問題の深刻さを挙げられます。その問題を解決するために韓国では、「i-PIN」という任意に生成させた値を使い、問題が発生したら振替番号を新しく割り当てる、インターネット上の身元確認番号システムが提案されました。しかし、完全に定着している「住民登録番号」システムには追い付かず、業績も伸び悩んでいます。「住民登録番号=インデックス」という設定による問題は今もなお残されています。
個人識別番号をデータベースの識別インデックスとして使うことが、なぜ、問題になるのでしょうか?
一般のデータベースには、テーブル処理と検索のためにインデックス値が必要となります。インデックスは,高速の検索動作だけでなくレコードアクセスに関わる整列など、動作のベースになります。そのため、重複項目はインデックス値として登録できず、テーブル上での完全な固有性が求められます。つまり、効率性だけをみると、完全な単一の固有個人識別番号がインデックスとして使われるのは、適合だといえます。実際にそのように処理される場合も多いです。

ところが、インデックスは、データベースのテーブルの中でも、最もよく呼び出されるものであるため、事実上完全隠蔽は不可能であります。
残りの全ての情報につながるカギとも言えますが、それが露出されており、また多くのシステムに通用するものであるとしたら、それは情報セキュリティの深刻な弱点になりかねません。さらに、インデックス値がユーザの身元を確認することにまで使われるとしたら、ユーザの全ての個人情報がもれなく流出されてしまう最悪の結果につながります。
「マイナンバー」セキュリティソリューションの選択基準
韓国の「住民登録番号」と同様に、日本の「マイナンバー」も徹底した暗号化のプロセスを通じて処理、保存しなければなりません。その重要性は言うまでもなく、それに関わる研究も活発に行われています。その中で、最も信頼できるのが、個人の識別が可能な重要情報は徹底に隠し、それを代替する他の適切な値を使う方法です。

その方法に対する研究も活発に行われており、「トークン化(Tokenization)」をはじめ、フォーマットを維持した暗号化である「FPE(Format-preserving encryption)」など、多様な方法があります。その全ての方法に専門性を持っていて現場の必要に応じて最適の方法で対応できるデータ暗号化専門企業との緊密な連携が何より重要となります。

「マイナンバー」の値を他の値に置き替えて使う方法などを支援するセキュリティソリューションのビジネスは、今後、日本の情報セキュリティ市場をリードすると見込まれます。国レベルのインフラ事業をはじめ、個人事業など大小問わず事業が立ち上がり続けるでしょう。約500万に至る全ての日本の企業は、1年以内に新制度に対応しなければならなく、それに伴う混乱は避けて通れないことです。

この時期にこそ、雨後の筍のように出る「マイナンバーセキュリティソリューション」に対して技術面で適切かどうか、判断に慎重を期す必要があります。従来のITシステムを大きく変更しないままセキュリティを十分に確保することは、大変難しいことです。導入前後の点検も簡単な問題ではありません。
本当に安全な暗号化なのか、従来のプロセスを害することはないか、ソリューションを導入するには、従来のシステムにどのくらいの修正が必要となるのか、修正作業の難易度はどの程度なのか、複数のシステムが繋がっている連携システムの場合、システム間のネットワーク通信区間のセキュリティは安全なのか、今後のシステムの管理や運用に適切なのか、メンテナンスは円滑に行われるのか、そして、決定的にソリューションの価格は妥当なのかなど、考慮すべきことは山ほどあります。

時期が時期だけに、特に、導入費用に関しましては徹底に調べる必要があります。好機を逃瀬ないと思い、低性能の製品を高い価格で販売するなど、市長と消費者を裏切る悪意を持った事業者は必ずあります。
混乱が予想できる時期にあるだけに、問題の核心に集中することを推奨します。問題の核心とは、データ暗号化そのものです。ソリューション導入を決定する前に、データ暗号化専門企業と十分に相談し、状況に適切な対応ができるように体制を整えることが必要です。

日本は、韓国で起きた住民登録番号のセキュリティに関する大騒ぎを反面教師にすべきです。これまで長い間、 同じ性質の問題に悩み、解決し,乗り越えてきた韓国のデータ暗号化専門企業のノウハウをご参照ください。