非金融分野のブロックチェーン／分散台帳技術と IoTセキュリティ

https://www.cloudsecurityalliance.jp/Copyright © 2017 Cloud Security Alliance Japan Chapter
2018年3月28日
一般社団法人日本クラウドセキュリティアライアンス
代表理事笹原英司
勉強会資料
非金融分野のブロックチェーン／分散台帳技術と
IoTセキュリティ

https://www.cloudsecurityalliance.jp/Copyright © 2017 Cloud Security Alliance Japan Chapter 2
1. 海外の金融関連サイバー事例に学ぶ
1-1.米国金融サービス業のインシデント事例：医療保険会社
1-2.英米金融サービス業の脆弱性事例：モバイル金融アプリケーション
2.CSA「IoTをセキュアにするためのブロックチェーン利
用」（2018年2月）の概説
3.ブロックチェーン／分散台帳技術を保護するセキュリティ
4.Q&A

米国の医療保険会社（NYSE上場企業）
Anthemのセキュリティインシデント（2015年2月）
共通の電子メール構成要素ITシステムが海外からのサイバー攻撃を
受け、顧客約8千万件の情報流出被害が発生したことを公表
ニューヨーク証券取引所（NYSE）の上場企業である
米証券取引委員会（SEC）：米国企業改革法（SOX）に基づき、
財務報告に係る情報開示や内部統制を義務付ける
海外からのサイバー攻撃が発端となった
テロ対策を所管する国土安全保障省（DHS）の調査
サイバー犯罪を所管する連邦捜査局（FBI）の調査
保険会社から顧客情報が流出した
ニューヨーク州金融サービス局が州内の全保険会社に対するサイ
バーセキュリティ検査を開始

Anthemのセキュリティインシデント（続き）
顧客の保護対象保健情報（PHI）が流出
HIPAAを所管する保健福祉省（HHS）への報告義務
過去にHIPAA違反で170万ドルの民事制裁金を科せられたことがあ
る（当時の社名はWellPoint）
暗号化していなかった保存データがサイバー攻撃を受けて外部流出
HIPAAは、保存データの暗号化を規定しているが、完全な強制で
はない（暗号化の有無で制裁金の金額が変わる）
顧客らが損害賠償請求の集団訴訟を提起
2017年6月、集団訴訟に関して、総額1億1500万米ドル（＝約130
億円、1米ドル＝113円換算）で和解したことを発表
漏洩後、顧客を標的にしたフィッシング攻撃が発生
消費者保護を所管する連邦取引委員会（FTC）が注意喚起

SEC法執行部にサイバーユニットを創設（2017年9月25日発
表）
電子／ソーシャルメディアを介した風説の流布を含む市場操作スキーム
重要な非公開情報を得るためのハッキング
分散台帳技術とICOを含む違反
ダークウェブを利用して犯した不正行為
リテール証券口座への侵入
取引プラットフォームおよびその他の重要市場インフラに対するサイバ
ー関連脅威
公開会社のサイバーセキュリティ情報開示に関する
ガイドライン（2018年2月26日施行）
公開企業がSECに提出する開示書類および届出書を作成する場合、サイ
バーセキュリティに関する事項の検討方法や情報開示についての指針

英国バーミンガム大学研究チーム
Chris McMahon Stone, Tom Chothia, Flavio D. Garcia
「Spinner: Semi-Automatic Detection of Pinning
without Hostname Verification」（2017年12月8日）
証明書ピン留めを実行するアプリケーションにおいて、不適切なホ
スト名検証のインスタンスを特定するために開発した「Spinner」
というツールを利用して、400の金融モバイルアプリケーションを対
象に、セキュリティ脆弱性に関する半自動化テストを実施
重大な脆弱性が特定された
アプリケーション一覧
出典：Chris McMahon Stone, Tom Chothia,
Flavio D. Garcia「Spinner: Semi-Automatic
Detection of Pinning without Hostname
Verification」（2017年12月8日）

英国バーミンガム大学研究チーム(続き）
HSBCの情報開示の
タイムライン
出典：Chris McMahon Stone, Tom Chothia, Flavio D. Garcia「Spinner: Semi-Automatic Detection of
Pinning without Hostname Verification」（2017年12月8日）

金融サービス企業向けサイバーセキュリティ要求事項
（2017年8月28日本格施行）
サイバーセキュリティプログラムの策定
サイバーセキュリティ方針の策定
最高情報セキュリティ責任者（CISO）の設置
ペネトレーションテストおよび脆弱性診断の実施
監査証跡の取得
アクセス権限の管理
アプリケーションのセキュリティの維持
リスクアセスメントの実施
サイバーセキュリティ人材とインテリジェンスの確保
サードパーティサービスプロパイダーのセキュリティ方針の評価
など

1. 海外の金融関連サイバーインシデント事例に学ぶ
2.CSA「IoTをセキュアにするためのブロックチェーン利
用」（2018年2月）の概説
2-1. ブロックチェーン／分散台帳の基本構造
2-2. ブロックチェーンの通信モデル
2-3. クラウドが利用可能なIoTブロックチェーンネットワーク
2-4. 複数のブロックチェーンサービスを組み合わせたエコシステム
2-5. 複数のブロックチェーンサービスと協働できるIoTアーキテクチ
2-6. ブロックチェーンのIoTセキュリティへの適用可能領域
2-7. IoT向けブロックチェーンセキュリティサービスの全体イメージ
4.Q&A

出典：Cloud Security Alliance「Using Blockchain Technology to Secure the Internet of Things.」（2018年2月）
ブロックのトランザクションをブロックヘッダのマー
クルルートにつなげるマークル木

ブロックチェーンソフト
ウェアをIoTノードおよ
び／またはクラウド上
に、ノードへのAPIとと
もにインストール
IoTエッジデバイスに、
トランザクション・ノー
ド・ソフトウェアをホス
ティングし、台帳を保
存し、ノードのネットワ
ークに渡る通信を維持
する機能を装備する

トランザクション／マイニングノードが、クラウド、オンプレミスの
双方に位置する
クラウドベースの仮想
マシンと十分なハード
ウェアリソースを有する
IoTデバイス
ハードウェアリソース
が限られたIoTデバイ
スは、ブロックチェーン
クライアントとして機能
し、API（例．HTTP REST、
JSON RPC）を介してクラ
ウドベースのブロックチ
ェーントランザクション
ノードとやりとりする
出典：Cloud Security Alliance「Using Blockchain Technology to
Secure the Internet of Things.」（2018年2月）

ブロックチェーンサービスのIoTへの統合
サードパーティが提供する
APIを利用して、複数のブロ
ックチェーンを連携させる
サービス
出典：Cloud Security Alliance「Using Blockchain Technology to
Secure the Internet of Things.」（2018年2月）

複数のブロックチェーンサービスの中で、IoTクライアントが協働で
きるIoTアーキテクチャ
ブロックチェーンサービス1:
（企業導入）
トランザクションノードは、クラウド
上にホスティングされた企業の
コンピューター／サーバー
IoTブロックチェーンクライアントは
起業領域内に導入されたセンサー
とスマートデバイス
ブロックチェーンサービス2：
（消費者のスマートホーム）
トランザクションノードは、ＰＣ／
その他のデバイスまたはクラウド利用
IoTブロックチェーンクライアントは
スマートデバイス
出典：Cloud Security Alliance「Using
Blockchain Technology to Secure the Internet
of Things.」（2018年2月）

1)拡張性のあるIoTの可視化
セットアップ中、ＩｏＴデバイスにインストールまたは内部で自己生
成された資格証明書は、ブロックチェーン導入の一部となり得る
安全なプロセスを利用して、生成・提供されるべきである
IoTデバイスのオーナーまたはインストール技術者により提供さ
れた資格証明書は、デバイス登録をセキュリティサーバーの中
で初期化して、ＩｏＴの特定の証明書を得ることがある

2)信頼された通信
ＩｏＴのID鍵：ＩｏＴデバイス間のメッセージのコンテンツおよびトラフィックを暗号
化するために鍵素材を生成する際に利用される非対称な鍵の組合せ
ウォレット鍵：分散台帳に保存されるトランザクションをセキュア化するために
利用される（ＩｏＴのID鍵を含むことがある）

3)半自主的なマシンツーマシン(M2M)のオペレーション
スマートコントラクト機能を利用して実現
契約上のルール、罰則、利用条件などをスマートコントラクトに記述する
エッジのIoTデバイスを、スマートコントラクトと相互作用するAPIと連携させ
る形で構成し、ピアツーピアでつながるデバイス／サービスとの合意書に挿
入する
個々のトランザクションは、実行前に、コントラクトの利用条件を満たした上
で、ブロックチェーンに記録される
どのIoTデバイスがトランザクションを実行できるかに関して、スマ
ートコントラクト機能を介してアクセス制限を強制することが可能
個々のトランザクションがウォレット鍵で署名された上で、ウォレットをハード
ウェアのセキュリティコンテナに保存する必要がある
ブロックチェーンに記録されるトランザクションは、後からトランザクションが
否認できないことを保証する

4)IoTの構成とアップデートのコントロール
分散台帳はIoTのプロパティをホストできるので、公開された分散台帳を分析し
てIoTネットワークのトポロジが判明することのないように、構成を暗号化してお
く必要がある
分散台帳は、個々のIoTデバイスの最新構成ファイルのハッシュ値をホストで
きるので、IoTデバイスは、定期的に、最新の信頼できる構成ファイルをクラウ
ドサービスからダウンロードして、ブロックチェーンに保存されたハッシュ値と符
合することにより、最新の構成を維持することができる
同様のプロセスを、ファームウェアのイメージに適用することが可能
5)セキュアなファームウェアのイメージの配布とアップデート
IoTデバイスをAPI経由で構成し、定期的に、最新のファームウェアイメージをダ
ウンロードするようにすることが可能
IoTデバイスが、ブロックチェーンベースのイメージ・アップデート・プロセスを利
用して、ベンダーが提供するアップデートの妥当性を検証することが可能
上記いずれかの手法を利用して、デバイスのオーナーに対し、ファームウェア
アップデートを承認するよう求めることが可能

1. 海外の金融関連サイバー事例に学ぶ
2.CSA「IoTをセキュアにするためのブロックチェーン利用」
（2018年2月）の概説
3-1.On Chain DataとOff Chain Data
3-2.情報の機密性（Confidentiality）とブロックチェーン／分散台帳技術
3-3.情報の完全性（Integrity）とブロックチェーン／／分散台帳技術
（参考）GDPRにおける個人データの取扱い
3-4.情報の可用性（Availability）とブロックチェーン／分散台帳技術
（参考）ブロックチェーン／分散台帳技術に係る法制度検討
4. Q&A

ブロックチェーンデータの相互運用性
On Chain Data（ブロックチェーン/分散型台帳技術）
ブロックチェーンに直接保存されたデータ
Off Chain Data（ビッグデータ、IoT、AI）
ブロックチェーンに保存されたリンク付データで、別の
データベースに保存された情報を指し示す役割を担う
出典：Deloitte Development LLC「Blockchain: Opportunities for Health Care」（2016年8月）

On Chain Dataのセキュリティ対策
アイデンティティ／アクセス管理
暗号化と鍵管理
アプリケーション・セキュリティ
（セキュリティ・バイ・デザイン）
ブロックチェーン・ゲートウェイ、APIのセキュリティ
Off Chain Dataのセキュリティ対策
クラウド環境固有のセキュリティ（IaaS/PaaS/SaaS)
マイクロサービス固有のセキュリティ
ビッグデータ固有のセキュリティ
IoT固有のセキュリティなど

ネットワークアクセス
パブリック・ブロックチェーン
最初にソフトウェアをダウンロードすれば、誰でもネットワークに
アクセス可能
認証、権限付与、暗号化などの機能を保証するセキュリティコン
トロールの導入・運用が重要（オンチェーン＆オフチェーン）
＊特権ユーザー管理に注意
プライベート・ブロックチェーン
ネットワーク保護のために適切なアクセスコントロールが設定さ
れていることが前提条件
多層防御を構成するアプリケーションレベルでのセキュリティコ
ントロールの導入・運用が重要

データアクセスと情報開示
暗号鍵の管理
セキュアな暗号鍵管理手順の策定・運用
（例）RFC 4107：暗号技術における鍵管理についてのガイドライン
https://www.ipa.go.jp/security/rfc/RFC4107JA.html
暗号鍵の保管場所（オンライン＆オフライン）に関わらず、多層防
御の視点を忘れない
データ漏えい発覚時のインシデント対応準備
人的・組織的対応策
技術的・物理的対応策
ステークホルダーに対する適切な情報開示

不変性
コンセンサスモデル：ブロックチェーン上のノード（ユー
ザー）の51％が、トランザクションが妥当であると同意す
れば、そのブロックはプラットフォームは追加される
ノードの処理能力が急増して大量のトランザクションが
発生している場合など、「51％攻撃」を想定したモニタリ
ング・インシデント対応策の導入が必要
個人データ保護規制対応
（例）EU一般データ保護規則（GDPR）の「忘れ去られる
権利」に基づくデータ削除は可能か？
トレーサビリティ
電子署名の代替技術としてのブロックチェーン利用

（参考）GDPRにおける個人データの取扱い
個人データを取り扱うためには、「本人の明確な同意」
が必要
機微データ（例．人種、民族的出自、政治的思想等を明
らかにするような個人データ、および遺伝データ、生体
データまたは健康、性生活、性的志向についてのデー
タ）の取扱いは原則として禁止され、例外的に本人の同
意がある場合などに限り認められている
「識別された又は識別され得る」自然人（例）：氏名、
識別番号、位置データ、オンライン識別子のような識別
子、又は当該自然人に関する物理的、生理的、遺伝子的、
精神的、経済的、文化的若しくは社会的アイデンティテ
ィに特有な一つ若しくは複数の要素を参照することによ
って、直接的に又は間接的に、識別され得る者をいう

スマートコントラクト
分散台帳上で稼働するスマートコントラクトのコンピュー
タープログラムは、サイバー攻撃の標的になりやすい
開発者や外部委託先はどこまで責任を負うのか?
「セキュリティ・バイ・デザイン」「シフトレフト」
（参考）OWASPのアプリケーションセキュリティ関連文書
データの品質
ブロックチェーン／分散台帳技術は、データの品質や改
善を保証するものではない
データインプット前のプロセスにおける元データの妥当性
データを交換するチャネルのセキュリティ対策

ブロックチェーンに単一障害点（SPOF）は存在しない
⇔可用性は常に確保されるのか？
グローバルインターネットに大規模な障害が発生した時、
パブリックブロックチェーンにも影響が及ぶ可能性がある
ノード数が少ないプライベートブロックチェーンネットワーク
の場合、単一障害点なしの状態で、ネットワークがグロー
バルに十分分散して回復力を有しているかを確認する必
要がある
業務現場の回復力（レジリエンス）
ブロックチェーン／分散台帳を標的にした攻撃手法が新た
に登場するケースが常態化
法規制上の確証を得るために、規制当局を巻き込んだ検
証、根拠づくりが必要

経済産業省委託調査「平成29年度我が国における
データ駆動型社会に係る基盤整備（分散型システム
に対応した技術・制度等に係る調査）」
ブロックチェーン法制度検討会
（医療・介護・ヘルスケア分野）
医療・介護・ヘルスケア分野におけるユースケースに係わる法制度
上の論点の洗出し
• 治験マネジメントにおけるブロックチェーンの活用
• 電子カルテの共有におけるブロックチェーンの活用
法制度上の課題に対する解決策の検討

https://www.linkedin.com/in/esasahara
https://www.facebook.com/esasahara
https://twitter.com/esasahara
CSA資料集
医療分野のブロックチェーン利活用（2017年4月19日）
http://cloudsecurityalliance.jp/healthit/CSA_HIM_Blockchain_20170419_Open.pdf
医療分野のブロックチェーン利用とセキュリティ（2016年11月22日）
https://cloudsecurityalliance.jp/newsite/congress2016/shiryou/CSA_HIM_WG_sasahara_20161122.pdf

非金融分野のブロックチェーン／分散台帳技術と IoTセキュリティ

Recommended

Recommended

More Related Content

What's hot

What's hot (20)

Similar to 非金融分野のブロックチェーン／分散台帳技術と IoTセキュリティ

Similar to 非金融分野のブロックチェーン／分散台帳技術と IoTセキュリティ (20)

More from Eiji Sasahara, Ph.D., MBA 笹原英司

More from Eiji Sasahara, Ph.D., MBA 笹原英司 (20)

非金融分野のブロックチェーン／分散台帳技術と IoTセキュリティ