導入事例

自動車ソフトウェアセキュリティを推進するASRGの取り組み

January 1, 2021

トーナメントの力：ASRGが推進する自動車ソフトウェアセキュリティ

Automotive Security Research Group（ASRG）は、自動車業界におけるセキュリティ意識の向上と開発支援を目的とした非営利団体です。自動車製品をより安全でセキュアにするためのソリューションの発見と普及に注力しています。現在、自動車業界はコネクテッド、自動運転、シェアリング、電動化、そしてソフトウェア定義車両（SDV）という次なる革命の渦中にあります。ソフトウェアが車両やエコシステムを支える依存度が飛躍的に高まる中、ASRGのような組織は、自動車業界におけるソフトウェアセキュリティへの注目を集め、その水準を維持する上で重要な役割を果たしています。

消費者市場における新しい車両技術の採用が進むにつれ、攻撃経路やサイバーリスクが拡大しており、こうした意識を持つこと、そして何よりもメーカーがそれに基づいて行動することが極めて重要になります。FBIは最近、米国の自動車業界を標的とする攻撃者について警告を発しました。侵害の大部分は、機密データが暗号化されていないことに起因しています。これに加え、設定が不適切なデータベースに対するブルートフォース攻撃などは、甚大かつ致命的な結果を招く恐れがあります。自動車製品におけるソフトウェアセキュリティ基準を形成・維持するためのソリューションやツールを研究する一環として、ASRGのチームはSecure Code Warriorのプラットフォーム、特に「トーナメント」機能を試用しました。開発者が楽しみながら競い合えるゲーミフィケーションを通じてセキュリティ意識を高め、セキュアコーディングのスキルを磨くことを目的として設計されたこの機能を通じ、ASRGはSecure Code Warriorがどのように開発者のセキュリティへの関心を高め、自動車ソフトウェアに影響を与える一般的な脆弱性を防ぐスキルを教え、許容できないリスクへの扉を閉ざすことができるかを検証しました。

Let’s shine a light on thestate of the industry,the immediate issueswe need to address,and the real stats fromhundreds of challengesplayed on the SecureCode Warrior platform.

‍

自動車ソフトウェアにおける典型的な攻撃ベクトルはどこにあるのでしょうか？

When analyzing the potential avenues for attackers to access automotive software, there are many possibilities, as detailed by Allot’s comprehensive report.

どれほどセキュリティ意識が高くても、開発者がすべての攻撃を防ぐことは不可能です（そもそも、AppSecスペシャリストが存在するのはそのためです！）。しかし、熟練したエンジニアであれば、深刻な問題になる前にコード内で防ぐことができる一般的なバックドアが数多く存在します。例えば、以下のようなものです。

→ Web interface and mobile APIs
Exploitable web applications and APIs can allow an attacker to access sensitive credentials, and something as simple as a security misconfiguration or business logic vulnerability can lead to a significant privacy breach – or at least, more information being passed between software than intended – within connected apps.

→ Mobile apps
Many of us enjoy the modern convenience car connectivity via an on-board interface. However, a malicious attack is possible if a vulnerability provides unintended access to something even as simple as the radio. Remote file inclusion would allow malware to be played across onboard multimedia apps.

→ Code injection on entertainment systems
On an exploitable system, an attacker could potentially create multimedia files that can change code within it. This opens pathways to exploit, and even remotely monitor, other parts of connected vehicles.

→ Wireless Media
Threat actors can attack vulnerabilities in wireless channels such as Bluetooth or Wi-Fi, which can bypass administrative privileges.

→ External Sensor Interfaces
Threat actors can spoof external sensors and force the vehicle into taking unwanted actions.

→ Wireless key entry
Vulnerable apps can be used to exploit wireless key entry, with attackers able to use a proxy bridge between the key and the automobile, giving them the ability to lock or open the automobile at will. This has already been proven with attacks on several vehicles.

→ External Device Access through the OBD-II Port
Potential access to the vehicle’s internal systems.

→ Attacks on the cloud service of automotive provider
A vulnerable cloud infrastructure – even something as simple as a misconfiguration – could potentially enable a threat actor to attack many connected vehicles at once.

熟練したエンジニアであれば、深刻な問題になる前にコード内で防ぐことができる一般的なバックドアが数多く存在します。

‍

車両が侵害されると、どれほど深刻な事態になるのでしょうか？

ほとんどの車両が100%安全ではなく、利用する際には一定のリスクが伴うことは、一般的に広く認識されています。自動車の故障、事故、飲酒運転……これらはすべて、道路利用者にとって致命的な結果を招く可能性があります。

もし、壊滅的な車両の誤作動が、悪意のあるサイバー攻撃によって遠隔操作された結果だとしたらどうでしょうか。これまで、人命に関わるような事態になって初めて世界はサイバーセキュリティを真剣に考えるようになると言われてきましたが、現実はすでにその領域に深く足を踏み入れており、対策を講じなければ事態は悪化の一途をたどるでしょう。

2015年、セキュリティ研究者が走行中のジープ・チェロキーのエンジンを停止させることに成功しました。彼らはシステムソフトウェアの既知のゼロデイ脆弱性を利用し、エアコン、ラジオ、ステアリング、ブレーキ、トランスミッションを無線で制御しました。これは危険な実験でしたが、攻撃者が車両とその乗員に対して致命的な制御権を握り得ることを証明しました。この出来事以来、数百万台のコネクテッドカーが公道を走るようになり、その一台一台が、保護されなければならない数百万行のコードを抱えています。

自動運転技術とその普及は驚異的なスピードで進んでおり、その結果、開発者、特に未来の利便性を支えるコードの出荷を担うチームには多大な負荷がかかっています。自動車業界のソフトウェア開発者がセキュリティの責任を分担する必要性が高まっており、ASRGは最新のセキュリティ知識、ツール、仲間からの推奨、サポートを求める多くの人々にとってのコミュニティハブとなっています。彼らが開催したグローバルな「Secure Code Warrior」トーナメントは、世界中のASRG支部を代表する100名以上の開発者を巻き込み、評価し、刺激を与えることを目的としました。参加者は親睦を深めながらトレーニングに取り組み、業界のソフトウェアが直面する課題に直結したセキュアコーディングの難問解決に挑みました。

自動運転技術とその普及は驚異的なスピードで進んでおり、その結果、開発者、特に未来の利便性を支えるコードの出荷を担うチームには多大な負荷がかかっています。

‍

TIME SPENT IN TRAINING: 3303 minutes ACTIVE IN TOURNAMENTS: 3697 minutes IN FIRST-TOUCH LEARNING 189 minutes

トーナメントとトレーニングの試行から得られた事実と数値

これは高いエンゲージメントと継続的な学習意欲の表れであり、どちらもトレーニングや教育におけるゲーミフィケーション手法の非常に有益な副産物です。

トレーニングやトーナメントは、各開発者が希望する言語やフレームワークで実施できるため、日々の業務で遭遇する現実のコードを使用した、極めて関連性の高い課題に取り組むことができます。このような文脈に沿った短時間の学習アプローチにより、組織のSDLC（ソフトウェア開発ライフサイクル）において最も頻繁に発生する問題を解決するために不可欠なコンテンツを迅速に提供できます。

参加者の間で最も一般的な開発者プロフィール

Tournaments area great way tointroduce securitystandards, abenchmark ofquality, and theresponsibilityto learn how tosquash commonsecurity bugsin code

‍

その他の重要な調査結果：

ASRGグローバル・バーチャル・セキュアコーディング・トーナメント：言語別セキュアコードスコア

ASRGグローバル・バーチャル・セキュアコーディング・トーナメント：脆弱性別セキュアコードスコア

参加者全員が選択した言語やフレームワークで一定の習熟度を示したものの、「100%安全」と見なされる、あるいは完全に習得された脆弱性領域は存在せず、平均正解率は67%でした。すべての開発者にセキュリティ専門家になることを求めているわけではありませんが、トーナメントはセキュリティ基準や品質のベンチマークを導入し、コード内の一般的なセキュリティバグを排除する方法を学ぶ責任を認識させるための優れた手段です。特に、そのコードが誰かの車両の遠隔操作につながる可能性がある場合はなおさらです。

脆弱性およびスキルベースのリスク要因に関するトーナメントの洞察

ASRGのトーナメントとトレーニングの取り組みは、コネクテッドカーに影響を与える以下の主要な脆弱性に焦点を当てました：

数千分に及ぶトレーニングと数百の課題を経て、アクセス制御、機密データの保存、そして優先事項であるメモリ破壊の脆弱性に焦点を絞るべきであることが明らかになりました。後者は、超コネクテッドカーだけでなく、他の多くのIoTデバイスにおいても既知の潜在的な攻撃手法です。

このようなバグが最近、CiscoのCustomer Experience Assessment & Penetration Team (CX APT) によってLinux ARMv7システムで使用されるライブラリ「GNU Glibc」で発見され、パッチが作成・適用されるまでメモリ破損の脆弱性が残る状態となりました。複数の環境ポイントからリアルタイムでデータを収集するセンサー搭載デバイスが普及する現代において、たとえデバイスの遠隔操作が不可能であっても、攻撃者にとっての利益は甚大になる可能性があります。

ASRGのチームは、自動車セキュリティの分野で活躍する開発者のために、検証済みのツールやソリューションのディレクトリ、包括的なWiki、強力なグローバルコミュニティなど、素晴らしいリソースを構築してきました。こうした独立したグループの取り組みこそが草の根レベルでの変革を推進する原動力であり、新しいことに挑戦し、メンバーのセキュリティ意識の基盤を築こうとする彼らの姿勢は、極めて機密性の高いデバイスにおける脆弱性の再発を食い止める強力な要素となっています。

セキュアコーディングのベストプラクティスに今投資することによる投資収益率

SAE InternationalとSynopsys Software Integrity Groupが発表した調査によると、既存および新たなサイバー脅威からコネクテッド技術を保護・確保するという点において、自動車業界は他の多くの業界に比べて大幅に遅れをとっていることが判明しました。

これは懸念すべき傾向ですが、不可逆的なものではありません。特にASRGのような組織が業界のセキュリティ意識を最優先に保つべく奮闘し、自動車企業が鉄壁のセキュリティプログラムを構築するために必要なソリューション、ツール、教育に光を当てている現状ではなおさらです。

彼らは、非常に魅力的なグローバル規模のSecure Code Warriorトーナメントを運営した経験を通じて、開発者グループ内の主要なリスク領域、さらなる学習の機会、セキュアコーディングの課題から得られる正確性の統計、そして業界のニーズに関連する注力すべき主要な脆弱性を特定することができました。

では、組織内のセキュリティプログラムを変革し、SDLCの初期段階からセキュリティ意識と行動を浸透させることで、どのような投資対効果が見込めるのでしょうか。見ていきましょう。

セキュリティ監査で年間わずかな数の脆弱性しか特定できない企業であっても、その検出と修正にかかる潜在的なコストは甚大です。また、これらの厄介なバグがプロセスのどの段階で発見されるかによって、修正費用は劇的に増加します。「単純な」修正であっても、初期段階で発見・修正された場合と比較して、後期段階での修正には最大30倍のコストがかかる可能性があります。

Relative cost to fix, based on time of detection

Ignoring commonvulnerabilities until the latestpossible moment is a surefire way to blow budgetsand miss critical releasedates. By starting left, andempowering developers toerase decades-old bugbearslike SQL injection, XSS, andsecurity misconfigurations,the cost — not to mentiontime — savings are immense.

投資収益率

この3点見積もりは、Secure Code Warriorのトレーニング、トーナメント、そして文化的な変革によって実現される3つの異なる節約効果が、財務および業務に与える潜在的な影響を示しています。

‍

年間潜在節約額

Three gauge charts showing 5%, 15%, 25% potential savings with $94.5k, $283.5k, $472.5k and developer hours.

‍

SNSでシェア

タグライン

AI主導の開発をリリース前にガバナンスする

AIを活用したリスク測定、コミット時のセキュアコーディングポリシーの強制、そしてSDLC全体を通じたセキュアなデリバリーの加速を実現します。

リソースライブラリ

他のリソースを見る

セキュアコーディング、AIガバナンス、ソフトウェアリスク管理に関する専門的なコンテンツをご覧ください。

すべて表示

グラデーションのかかった青い背景に、太字で「KVK」と書かれ、その下に2本の青い水平線が引かれたブラウザウィンドウのアイコン。

導入事例

Kamer van Koophandel：開発者主導のセキュリティを大規模に展開

Kamer van Koophandelは、役割に応じた認定制度、Trust Scoreによるベンチマーク、そしてセキュリティを全員で担う文化を通じて、セキュアコーディングを日々の開発プロセスにどのように組み込んだのかを紹介します。

詳細はこちら

青いグラデーションの背景に、Paysafeのロゴと3つの水色の箇条書きが表示されたブラウザウィンドウ。

導入事例

ゴールドを目指して：Paysafeで高まるセキュアコーディングの基準

PaysafeとSecure Code Warriorのパートナーシップにより、開発者の生産性が45%向上し、コードの脆弱性が大幅に削減された事例をご覧ください。

詳細はこちら

導入事例

DigitalOcean Decreases Security Debt with Secure Code Warrior

DigitalOcean's use of Secure Code Warrior training has significantly reduced security debt, allowing teams to focus more on innovation and productivity. The improved security has strengthened their product quality and competitive edge. Looking ahead, the SCW Trust Score will help them further enhance security practices and continue driving innovation.

詳細はこちら

AIを活用した開発をリリース前にセキュアに

開発者のリスクを可視化し、ポリシーを適用することで、ソフトウェア開発ライフサイクル全体における脆弱性を未然に防ぎます。

デモを予約する

該当する項目が見つかりません。