ペンタセキュリティシステムズ(ペンタセキュリティ)は9月20日、「スマートカーに込めるセキュリティソリューションベンダーの想い」と題したコラムを発表。スマートカーを例に挙げたIoT環境に対するハッキングの脅威についての解説を行った。

スマートカーのハッキング実験にみるIoTセキュリティの重要性

2015年の7月、WebメディアであるWIREDにて「Hackers Remotely Kill a Jeep on the Highway—With Me in It」と題したスマートカーのハッキング実験を取り上げた記事が掲載された。この記事は動画とともに公開され、IoTに関わる新技術への世間の関心と恐れを背景として大きな反響を呼ぶとともに、普段意識せずに使っているモノをターゲットとしたハッキングということで議論を生んだという。

IoTは今の産業を大きく発展させていくことに間違いなく、世の中はこれまで以上に進歩を遂げていくことになるだろう、とコラムでは述べている。しかし同時にIoTに対するハッキングの脅威もただものではないとしている。

WIREDの記事では、セキュリティの専門家たちの要請により記者が実験に参加。専門家たちが16キロ離れた自動車の後部座席から、実験対象車のECU(Electronic Control Unit、電子制御装置)をターゲットとしたハッキングを成功させた一部始終を動画で収めている。この動画の撮影に使われたジープのSUV(Sport Utility Vehicle)「チェロキー」は、FCA(Fiat Chrysler)の無線通信システムであるUconnectを活用していたということである。Uconnectは開発された2013年以来、47万台の自動車に実装。しかし販売数が増加するにつれ、ハッキング件数もまた増加しているという。

スマートカーが狙われる3つのハッキングポイント

スマートカーのハッキングにおいてはどこが狙われるポイントとなるのだろうか。WIREDのハッキング実験では自動車の心臓部とは離れたエアコンディショナーやオーディオシステムをターゲットにしているが、実際にはアクセルやブレーキまでもが狙い撃ちできるという。

ペンタセキュリティは今回のハッキング手法について、自動車のCCU(Communication Control Unit、コンピューター調整ユニット)とCAN(Controller Area Network、車両内のデバイスとECUの通信ネットワーク)を利用したものであったと分析している。CANにアクセスできればECUへのアクセスも可能になるといい、今回の実験対象となった自動車には3つのセキュリティ要素が欠けていたと考えられるという。

1.CCUのセキュリティの不備
スマートカーのCCUはコンピューターやWebサイトと同じように、セキュリティに不備があると攻撃されてしまう。

2.ECUのアクセス制御プロセス(暗号化鍵とルール)の不備
WebにおいてSSL認証書や公開鍵・秘密鍵を用いるように、データが転送される前に暗号化することでハッカーたちがアクセスすることを防ぐ必要がある。もしECUに関するアクセス制御がなければ、ハッカーらはシステムにアクセスして自動車をコントロールできてしまうという。

3.ECUにおいてSecure Boot、Secure Flashingにあたるセキュリティプロセスの不備
2.で挙げたECUのアクセス制御プロセスの不備と同時に、セキュリティプロセス自体が欠けていたとコラムでは述べている。ECUは自動車において行動を起こす部分であるため、複数のセキュリティプロセスが実現できていなければ悪意のある者によるコントロールが可能となってしまい、大きな危険を伴うという。自動車とコンピューターのセキュリティは非常に似ており、スマートカーセキュリティにおいても、コンピューターセキュリティにおけるSecure bootとSecure flashingにあたるソフトウェアが必要となるとしている。

スマートカーにおけるセキュリティ機能

ハッキングを防ぐ3つの対策とPKI認証による対応

スマートカーにおいてセキュリティは欠かせないものであり、対策を怠るとアクセルやブレーキまでもがハッキングされてしまうということがわかった。では具体的にはどのような観点に基づいた対応を行うべきなのだろうか。ペンタセキュリティは以下の3つの方法を挙げて説明している。

1.CCUのセキュリティの不備
スマートカーのセキュリティを総合的な観点から考えると、Webサイトのセキュリティと同じくスマートカーのWebアプリケーションを攻撃から防御する必要がある。WAFでの対策により外部からCCUへの不正なアクセスを遮断することで、ワイパーやブレーキ等への不正なアクセスも遮断できるとしている。

2.V2X(Vehicle to X)セキュリティ
スマートカーでは、vehicle-to-vehicle、vehicle-to-infrastructure、vehicle-to-mobileなど、全てのコミュニケーションにおいてセキュリティが必須となる。

3.セキュリティインフラ
スマートカーのITS(Information Transformation System)に対するセキュリティは必要不可欠なモノである。ITSはスマートカーの周囲のトラフィックを調べるシステムであり、これに対してセキュリティが対策がなされていないければ、スマートカーが別のスマートカーやRSU(roadside unit、路辺装置)とコミュニケーションを試みる際に妨害されたり、阻止される危険性があるという。

スマートカーのCCUとRSUとの通信イメージ

このようなセキュリティ脅威のリスクに立ち向かうひとつの方法として、PKI(Public Key Infrastructure)を用いた認証が有効だという。これはPKIによりRSUを認証することで、不正なアクセスをしにくくさせる効果があるためだという。またペンタセキュリティは韓国で初めて車両用のセキュリティ認証書を確保するとともに、「AutoCrypt」という世界初の車両用アプリケーションファイアーウォールをリリースしている。これは車両の外部から内部に侵入する攻撃トラフィックを検知し、車両内部で使用される様々な暗号キーや証明書、車両外部のセキュリティ通信に使用されるキーのライフサイクルを管理するものだという。

コラムでは、自動車産業の専門家はハッキングに対応するために様々な研究を重ねていることに触れるとともに、新技術のスマートカーが発表される際には今後ともきちんとしたセキュリティの実現が考慮されることを願い、文を結んでいる。

(マイナビニュース広告企画 ： 提供 ペンタセキュリティシステムズ)

[PR]提供：