セキュリティ・ミニキャンプ in 東北 2015のまとめ（ #spcamp #seccamp )

Takahito KIKUCHI/たかさん @takagerbera

一般的に仕事は役割間で、それぞれ担当者の立場と常識でやっている。その間をつなぐのは何となく存在する信頼関係。そのあやふやさが危うい。#seccamp #spcamp

セキュリティ・キャンプ @security_camp

Wi-Fiのパケットも、自分の知らないところで取られていることを理解しましょう。 Wiresharkで取得しただけ。 #spcamp #seccamp

セキュリティ・キャンプ @security_camp

インターネットはすごく便利だが、大量破壊兵器にもなり得る技術。 #spcamp #seccamp

セキュリティ・キャンプ @security_camp

暗号化されたファイルが解読できる？？？デモ：4けた数字なら数秒で解読されました！ #spcamp #seccamp

セキュリティ・キャンプ @security_camp

イギリスのTalkTalkという通信大手がサイバー攻撃を受けた、専門家たちでも守れなかった・・・破ったのは15歳、16歳の少年！ #spcamp #seccamp

Takahito KIKUCHI/たかさん @takagerbera

イギリスのTalkTalkという通信大手のサイバー攻撃事例。15歳、16歳の少年による攻撃。専門家ですら後手に回ることの説明。#seccamp #spcamp

セキュリティ・キャンプ @security_camp

攻撃者が狙うのは、最も弱い（Weakest Link)、一人一人が繋がっている。自分を守ることが社会を守ること。 #spcamp #seccamp

セキュリティ・キャンプ @security_camp

『IoT社会のセキュリティ』 IPA セキュリティセンター 主任 中野 学氏 #spcamp #seccamp pic.twitter.com/BYkZgSmdAU

拡大

Takahito KIKUCHI/たかさん @takagerbera

続いて、IPAセキュリティセンターの中野氏よりIoT時代のセキュリティの在り方についての講演が始まりました。#spcamp #seccamp

Takahito KIKUCHI/たかさん @takagerbera

自動車の"セキュリティ"というと、これまでは盗難防止だった。今はコネクテッドカーの事例もあるので、同じ言葉でも話が通じないことも。 #spcamp #seccamp

Takahito KIKUCHI/たかさん @takagerbera

組込み危機の今昔。スタンドアロンからネットワーク化へ。ファームウェアからソフトウェアへ。 #spcamp #seccamp

Takahito KIKUCHI/たかさん @takagerbera

危機が利用者の意図しない方向に動作するのを防ぐ。利用者の身体被害のリスクを減らす。 #spcamp #seccamp

セキュリティ・キャンプ @security_camp

セキュリティという言葉も、車の人は、盗難対策が強い。話をする相手との用語の統一が必要。 #spcamp #seccamp

セキュリティ・キャンプ @security_camp

情報の価値が上がると、お金になる情報になるので、攻撃者の利益になる情報になる。 #spcamp #seccamp

Takahito KIKUCHI/たかさん @takagerbera

新しいサービスの発達、ネットワークへの接続、汎用プロトコル等の利用。この三つが組込み機器に対する進化とリスク。これまで対策しなくて済んだ部分に対しても、焦点を当てる必要がある。 #spcamp #seccamp

セキュリティ・キャンプ @security_camp

自動車の車速、ブレーキの回数をログに残しているが、自動車保険の危険運転が多い人の保険料を高くする等になると対象になるかもしれない #spcamp #seccamp

セキュリティ・キャンプ @security_camp

これまでは独自プロトコルだったが、スマートフォンとの接続とかが出てくると、汎用プロトコルを採用せざるえない、でもTCP/IPの既知の脆弱性が残ったままの可能性がある。 #spcamp #seccamp

セキュリティ・キャンプ @security_camp

IoTの全体像。非常に広い世界。IPAでIoT世界を整理した。 #spcamp #seccamp pic.twitter.com/05Im0WRKqB

拡大

Takahito KIKUCHI/たかさん @takagerbera

IoT時代の驚異1。サービス提供サーバ・クラウドでの驚異。一般的な情報セキュリティの事例に近い。 オンラインストレージや企業の情報漏洩事例を使って紹介。 #spcamp #seccamp

セキュリティ・キャンプ @security_camp

中継機器の脅威として、HEMS（スマートハウスの情報管理する機器）はインターネットに接続しないで！って言われていたが、でインターネットに接続されてしまい、電力情報がインターネット越しに見えちゃった事例が・・・ #spcamp #seccamp

セキュリティ・キャンプ @security_camp

JVNを見ると、ルーターの脆弱性を検索すると２８５件、パスワードをハードコードや、バッファオーバーフローが存在するルーターも存在する。中継されている機器もちゃんと考えないといけない。 #spcamp #seccamp

Takahito KIKUCHI/たかさん @takagerbera

IoT時代の驚異2。中継機器での驚異。ルータの脆弱性だけでなく、デバイスを束ねるゲートウェイ機器の脆弱性も。ネットワークに繋ぐ中継機器を信用しても良いのか、誰がセキュリティを担うのかという話。 #spcamp #seccamp

Takahito KIKUCHI/たかさん @takagerbera

IoT時代の驚異3。システムでの驚異。制御システムや医療機器でのセキュリティ事例を紹介。こういった機器は止められなかったり、長期運用が前提だったりするので、上位レイヤーも含めて全体としてのセキュリティを保つようにする。 #spcamp #seccamp

セキュリティ・キャンプ @security_camp

システム脅威としては、2000年代様々な攻撃を受けている。STUXNET、ポーランド鉄道の信号切り替え、ドイツの溶鉱炉への攻撃がある。医療機器も１台数億の機器があり、10年〜15年、24時間動いている機器がある。 #spcamp #seccamp