コネクテッドカーとIoTデバイスのセキュリティに“コロンブスの卵”：IoTセキュリティ

アズジェントは、イスラエルのベンチャー企業・Karamba Security（以下、カランバ）のセキュリティソフトウェアを販売する。コネクテッドカー向けの「Carwall」とIoTデバイス向けの「IoTwall」で「“コロンブスの卵”的な発想の転換により、困難と思われていたIoTセキュリティの要件を効率よく実現した」という。

[朴尚洙，MONOist]

　セキュリティソリューションを手掛けるアズジェントは2016年11月29日、東京都内で会見を開き、イスラエルのベンチャー企業・Karamba Security（以下、カランバ）と販売契約を締結したと発表した。同日から、カランバのコネクテッドカー向けセキュリティソフトウェア「Carwall」と、IoT（モノのインターネット）デバイス向けセキュリティソフトウェア「IoTwall」の販売を始める。価格は非公開。ただし評価用として、1000米ドルで3カ月間の試用提供を行うとしている。

　アズジェント社長の杉本隆洋氏は「コネクテッドカーを代表的な用途とするIoTのセキュリティは『誤検知ゼロ』『パフォーマンスに影響を与えない』『アップデートを頻繁に行わない』といった要件がある。従来のセキュリティソリューションではこれらの要件を満足することはできなかった。しかし、カランバのCarwallとIoTwallは“コロンブスの卵”的な発想の転換により、困難と思われていた要件を効率よく実現した」と語る。

アズジェントの杉本隆洋氏（右）とカランバのデビッド・バラジライ氏（左）

　カランバの会長兼共同創業者であるデビッド・バラジライ（David Barzilai）氏は「自動運転車のことを“Autonomous Car”というが、Carwall／IoTwallはまさに“Autonomous Security”だ。ハッカーからの攻撃を検知して、その攻撃ブロックすることができる。その上誤検知はゼロで、自動車のECU（電子制御ユニット）やIoTデバイスに組み込んだ時の性能低下は2％以下に抑えられる。PCやスマートフォンのようなセキュリティアップデートも不要だ」と優位性を強調する。

　Carwall／IoTwallが、従来は困難だと思われていたこれらの要件の同時実現を可能としているのは「決定論的（Deterministic）」とするアルゴリズムによるものだ。ECUやIoTデバイスに組み込んだソフトウェアに静的解析（Static Anlysis）を行った上で、全ての実行プログラムの動作パターンをまとめた「機能グラフ（Functional Graph）」を作成する。そして、この機能グラフに登録されていない動作を実行しようとすると、Carwall／IoTwallはその動作をブロックするという仕組みだ。

　機能グラフには、設計段階で想定された自動車のECUやIoTデバイスの動作パターンが登録されることになる。ただし、サイバー攻撃を行うハッカーは、組み込みソフトウェアに潜在しているセキュリティバグを利用する。組み込みソフトウェアといえども、現在は大規模化が進展しており、必ずセキュリティバグは存在するからだ。

ソフトウェアの規模の大きさに従って潜在するバグの数も増える。高級車のソフトウェア規模はコード行数で1億行に達するが、バグは6万個、セキュリティバグは5000個存在しているという（クリックで拡大） 出典：カランバ

ハッカーはセキュリティバグを利用してサイバー攻撃を行う（左）。しかし「Carwall」「IoTwall」を適用すると、そのセキュリティバグを利用したプログラム動作を即座にブロックするのでサイバー攻撃は失敗する（クリックで拡大） 出典：カランバ

　ハッカーがこのセキュリティバグを利用する場合には、機能グラフに登録されているのとは異なる動作を実行することになる。Carwall／IoTwallの機能グラフは、この異なる動作をリアルタイムで検出して即座にするブロックするので「決定論的」で「誤検知ゼロ」になるわけだ。

　セキュリティの方式には、安全なアクセスルートをあらかじめ決めておく「ホワイトリスト」がある。Carwall／IoTwallは、組み込みソフトウェアの動作パターンのホワイトリストをあらかじめ作成する仕組みともいえる。

　なお、バラジライ氏によれば既に、米国、欧州、中国、そして日本国内を含めて8社の企業がCarwall／IoTwallを評価中だという。業種別で見ると、車載情報機器3社、ライドシェア1社、テレマティクス1社、車車間通信（V2V）2社など、コネクテッドカー関連が多くを占める。「日本国内でもコネクテッドカー関連は大いに期待できるが、有力企業が多い工場の制御システムなどへの展開も強化したい」（アズジェントの杉本氏）としている。