TCP/IPスタックの脆弱性「INFRA:HALT」に見る、組み込み業界の課題と対策：IoTセキュリティ（3/3 ページ）

2021年8月に発表された制御機器で広く利用されているTCP/IPスタック「NicheStack」の脆弱性「INFRA:HALT」。この脆弱性を発見したForescoutのダニエル・ドス・サントス氏とJFrogのシャハール・メナーシュ氏の講演では、INFRA:HALTや組み込みシステムのサプライチェーンが抱えるセキュリティリスクの解説に加えて、セキュリティリスクに強い仕組み作りへの提案などが行われた。

[谷崎朋子，MONOist]

ベンダーおよび運用者のINFRA:HALT対策

　INFRA:HALTの脆弱性を回避する方法として、講演ではIoTベンダーと運用企業それぞれの対策が紹介された。

　IoTベンダーが実施できる回避策は、3つある。

　1つ目は、一般的な脆弱性対策を実施することだ。「NicheStackのケースでは、バッファーオーバーフロー対策であるスタック保護（スタックカナリア）やASLR（アドレス空間配置のランダム化）が実装されていなかった。これは現在、組み込みシステムで一般的なセキュリティ対策となっている。これらを実装すれば、その他の脆弱性をうまく組み合わせない限り侵害できないといったように、エクスプロイトのハードルが一気に上がる。ぜひ標準機能として実装することをお薦めする」（メナーシュ氏）

　2つ目は、コード解析・監査の実施だ。INFRA:HALTの脆弱性の一部は、バイナリ解析や静的・動的解析のツールで自動検出できるレベルのものだったとメナーシュ氏は言う。また、NicheStackの脆弱性を調査する際、メナーシュ氏は過去の脆弱性の攻撃手法や脆弱なコードなどをパターン化し、自動検出するツールを作成した。「例えば、CVE-2020-25928は、NAME:WRECKのアンチパターンをベースに手動で検出した。その他の脆弱性の大半も、既知の脆弱性のパターンと照合して見つけることができた」（同氏）。まずは、設計や開発などの各フェーズでコード解析テストを実施するだけでも、脆弱なIoT機器を製造するリスクが回避できる。

　3つ目は、広く利用されるプロトコルを実装するときは、広く知られているセキュリティ技術を採用することだ。「例えばCVE-2021-35685の場合、RFC6528で推奨されているISN生成プロトコルに準拠すれば回避できた」（サントス氏）。RFCなどのドキュメントにはセキュリティ関連の詳細が記載されているので、ぜひチェックしたい。

IoTベンダー向けのINFRA:HALT対策［クリックで拡大］

　続いてサントス氏は、IoT運用企業の回避策を3つ紹介した。

　1つ目は、何はともあれNicheStackが動作する機器を探してリストアップすることだ。両氏は検索用のスクリプトを作成し、GitHubで公開している。最新の調査結果に基づき検索対象を常時アップデートしているとのことだ。

　2つ目は、セグメント管理の強化だ。パッチが用意されていても適用できない、または検証が完了していないのでまだパッチが適用できないといった事情がある場合は、外部との通信が制限されるセグメントに機器を隔離して被害の拡大を防ぐことだ。

　そして3つ目は、ネットワークトラフィックを監視し、不正なパケットを検知することだ。TCP/IPスタックの脆弱性は共通部分が非常に多く、このセキュリティ施策で複数の脆弱性を回避することが可能だという。

IoT運用企業向けのINFRA:HALT対策［クリックで拡大］

　なお、INFRA:HALTの脆弱性ごとの回避策は、JFrogのブログで紹介されているので、参照されたい。

　特に、INFRA:HALTのようなサプライチェーン全体に影響を及ぼす脆弱性で、現在進行形で運用されている機器が関わってくるケースでは、ベンダーだけでなく、機器を導入・運用する企業の双方が連携し、積極的に対策に取り組む姿勢が大切だと両氏は強調する。今後も新たな脆弱性が発見されたとき、今回の教訓が生かされ、迅速な対応につながることを期待したい。

⇒その他の「IoTセキュリティ」の記事はこちら