LINEがFIDOアライアンスのボードメンバーに！これからのインターネットセキュリティーを考える「LINE INTERTRUST SECURITY SUMMIT SPRING 2017 TOKYO」を解説【レポート】

2/2

■インターネットだけではない、セキュリティーリスクの現在と未来

高度化しているのはサイバー攻撃の手法ばかりではありません。人々が当たり前のようにスマホを持ち歩き、あらゆる機器が通信機能を内蔵したIoT全盛の現在、そのセキュリティーリスクはインターネットという「空間」から個人や企業の機器という「場所」へと広がりつつあります。

ここで問題となるのはそれらの機器が持つリソース（もしくは制限）です。セキュリティーはより複雑な暗号化や高度な認証処理を行えばリニアに安全性は向上しますが、スマホやIoT機器では用いる電力や処理性能に限界があり、またセキュリティーにのみリソースを割り振るわけにはいきません。そのため、それぞれの機器で「これだけの安全性が確保できれば実用上問題ない」という線引が必要となります。

リンク先を見る
IoT機器はその性能・性質上乗っ取りリスクや破壊リスクを常に抱えている

「絶対に破られない汎用的なセキュリティーシステム」は理論上存在しないことが証明されており（限定的な用途においては存在することが確認されている）、重要なのは「破られにくくする」ことであると静岡理工科大学の大石和臣准教授は語り、同じようにゲームアプリにおいても「チートは『される』もの。だから『されにくくする』必要がある」とDeNAの汐田徹也氏も述べているように、セキュリティーには利用する機器に応じたレベルデザインが必要だということが何度も強調されていました。

リンク先を見る
静岡利工科大学情報・物理セキュリティー研究室大石和臣准教授

リンク先を見る
耐タンパーソフトウェアの研究と題し、DVDソフトやゲーム機などのセキュリティーとそのハッキングの歴史、そして今後のセキュリティー技術などを語った

リンク先を見る
DeNA セキュリティーエンジニア汐田徹也氏

リンク先を見る
アプリケーションセキュリティーはアプリの実装方法や運用方法に合わせてレベルデザインされるべき、と語る汐田氏

またIoT分野において、一度破られたセキュリティーに対して自己治癒的な機能を持たせることが重要であると語ったのは北陸先端科学技術大学院大学の宮地充子教授です。

IoT機器はその運用性質上メンテナンスや管理が難しく、一度ハッキングされると暗号鍵の危殆化（保安上危険な状態となること。この場合暗号鍵が漏洩した状態を指す）が起こります。このまま危殆化を放置するとシステム全体を危険にさらすことになりますが、機器の交換やバッテリー切れなどで機器が一定期間で機能停止する仕組み（ライフタイム）を導入することなどで暗号鍵が定期的に入れ替えられる状況を作り、運用上の自己治癒を促すというのが最も分かりやすい仕組みです。

また暗号鍵の共有方法にハッシュ関数を用いた多項式を採用したり、周囲のIoT機器の協力を得て暗号鍵を更新していくPOSH方式（PMST）などもマシンリソースの軽い自己治癒方法として提案されており、IoT機器のセキュリティー技術研究がまだまだ発展途上である点が強調されていました。

リンク先を見る
北陸先端科学技術大学院大学情報科学研究科宮地充子教授

リンク先を見る
「IoT機器において危殆化した暗号鍵を安全な状態に戻すことが重要」と語る宮地氏

■FIDO認証はセキュリティーデザインの福音となるか

会議の最後に行われたトークセッションでも研究者や技術者の視点でサイバーセキュリティーについて語られ、「現場では（サイバー）攻撃を評価できない。（セキュリティーシステム）導入のメリットは我々のコメントを信用してもらうしかない（汐田氏）」、「様々な（セキュリティー）製品が出ているが安全かどうか分からない。セキュリティー評価の重要性は理解していても客観的かどうか判断できない（大石氏）」など、そのセキュリティーシステムが実際に機能するのか、また製品として十分に安全を確保できるのか判断が難しい点を指摘する声が多く、その対応としてのFIDO認証という選択が有用であるという認識がありました。

FIDOアライアンスには現在約250社が参加しており、世界標準としての認証技術の規格化を進めています。LINEがそのボードメンバーへの参画を決めた背景には、コミュニケーションツールとしての「LINE」をより強固で安全に運用するという目的以上に、企業としてセキュリティー問題へ真剣に取り組むという姿勢をアピールする意味合いが強いように感じられます。また本会議をセキュリティー製品を販売するインタートラストとの共同開催としたことにも、積極的なセキュリティーへの取り組みを示す意図があるように思われます。

今や人々は当たり前のようにスマホで買い物を行い、様々なオンラインサービスへログインし、あらゆるIoT機器と情報をやり取りしています。そこにハッキングなどのリスクが存在していることを意識しながら利用している人はほとんどいないように思われます。だからこそ逆に「意識させないセキュリティー」が求められているのです。十分なセキュリティーレベルを確保しつつ使いやすさを損ねない。そんなセキュリティーデザインが必要な時代が来ているのではないでしょうか。

リンク先を見る
便利さの裏では世界中の企業が日々攻撃者と戦っている

記事執筆：あるかでぃあ