IoTセキュリティガイドラインを策定しました
経済産業省及び総務省では、IoTを活用した革新的なビジネスモデルを創出していくとともに、国民が安全で安心して暮らせる社会を実現するために、必要な取組等について検討を行うことを目的として、「IoT推進コンソーシアム IoTセキュリティワーキングルループ」（座長：佐々木良一 東京電機大学教授）を開催してきました。今般、同ワーキンググループにおいて「IoTセキュリティガイドライン ver1.0」が策定されましたので、これを公表します。また、これに先立ち、「IoTセキュリティガイドライン（案）」に対する意見募集を行いましたので、意見募集の結果を公表します。
「IoTセキュリティガイドライン」（案）に対する意見募集の結果について(PDF形式：451KB)を読んでいますが、
確かにそうだと思ってる意見について、なんか回答がイマイチでしたね。
意見
一般社団法人情報処理学会
- その他
■IoT機器の所有者によるアクセス認可
本ガイドラインにおいて認証に関する記述はありますが，IoT機器への（アクセス権限）所有者によるアクセス認可に関する記述が見当たりません．
セキュリティやプライバシーの観点から，ユーザが明示的に許諾したアクセスしか許可されないように対策することは極めて重要だと考えます．
特にコンシューマ向けのIoT機器は，所有者が明確に定まるケースが多いと考えられます．
IoT機器は，システム・サービスへの接続時に，所有者との紐付けが確実に行われ（所有者の許諾のもとに，ネットワーク接続が開始され），サービス，他機器，アプリから当該IoT機器へのアクセスは，紐付けられた所有者による明示的な認可を前提として行われるようにデザインされるべきです．
これは，UI等を持たない非力なIoT機器においても同様に対策されるべきだと考えます．
（IETF OAuthWG, ACE WG等で検討が進んでおり，対策は現実的なものとなってきています）
追加箇所としてのご提案：
- 2.2【分析】IoT機器に対する，所有者が認可していないアクセス（未認可アクセス）もセキュリティリスクとして加える．
- 2.3【設計】他機器，システム・サービス，User Agent（アプリやWebブラウザ）からの直接アクセス，システム上での当該機器のデータ利用について，所有者の明示的な認可を経るように設計する．
- 2.4【構築・接続】IoT機器のネットワークへの接続時に，所有者との紐付けが行われ，所有者の認可の元に接続が行われるように設計する等．
回答
御指摘のアクセス権限に関しては、要点８の対策例の①の｢外部インターフェース経由のリスクへの対策｣で｢利用者認証などの対策｣として、例示的に記載しています。
ガイドラインの内容はこの一行だけ？
3)
①外部インタフェース経由／内包／物理的接触によるリスクへの対策
1) 外部インタフェース経由のリスクへの対策通常使用I/F経由のリスクへの対策としては、利用者認証、メッセージデータの正当性検証、ファジングツール等による脆弱性対策、ロギングなどが行われている。
個人的に「UI等を持たない非力なIoT機器」の認証は一番きになります。何か標準的な認証手段があればぜひご教示ください。
Comments