SORACOM Conference "Discovery" 2018 IoTシステムにおけるデバイス管理とセキュリティ 株式会社ソラコム 執行役員/プリンシパルソフトウェアエンジニア 片山 暁雄 株式会社ソラコム ソフトウェアエンジニア 酒井 憲吾

1. IoTシステムにおける
デバイス管理とセキュリティ
株式会社ソラコム
執行役員/プリンシパルソフトウェアエンジニア 片山暁雄
ソフトウェアエンジニア 酒井憲吾
2018/07/04

2. #discovery2018
本日のハッシュタグ
@SORACOM_PR
https://www.facebook.com/soracom.jp/

3. •ソラコムで実現するセキュリティ対策
•デバイス管理のための初期設定
•SORACOM Krypton
•まとめ
アジェンダ

4. IoTの活用が期待される分野
重要なビジネス基盤 / 社会基盤へ

5. http://www.itmedia.co.jp/enterprise/articles/1511/26/news046.html
自社システム
他社システム
インターネット

6. http://news.tv-asahi.co.jp/news_society/articles/000126688.html
• 千葉県八千代市の監
視カメラに不正アクセス
• 管理用のID/パスワード
がデフォルトのまま
初期設定不足による不正アクセス

7. 《 ソラコムで実現するセキュリティ対策 》

8. 狙われるIoTシステム
デバイスを
乗っ取ろう
間で通信を
盗み見よう
デバイスにリモートア
クセスしてやろう
The Internet
IoTバックエンド
お客様のシステム
IoTバックエンドを攻
撃してやろう
SORACOM
アカウントを
乗っ取ろう

9. •ネットワークレイヤーでの保護
•ミドル/アプリケーションレイヤーでの保護
•ソラコム/クラウドアカウントの保護
IoTセキュリティ対策

10. •ネットワークレイヤーでの保護
•ミドル/アプリケーションレイヤーでの保護
•ソラコム/クラウドアカウントの保護
IoTセキュリティ対策

11. 交換局
SORACOM
Air
ネットワークレイヤーでの保護
• デバイスからクラウドまでの閉域網接続を容易に実現
• 通信の分析/可視化も実現
SORACOM
Canal
自社システム
パブリッククラウド
SORACOM
Door
自社システム
SORACOM
Direct
プライベートクラウド
専用線
自社システム
専用線

12. •ネットワークレイヤーでの保護
•ミドル/アプリケーションレイヤーでの保護
•ソラコム/クラウドアカウントの保護
IoTセキュリティ対策

13. SORACOM Access Management
子ユーザーを作成し、認証情報とAPI単位の権限管理ができる
ソラコム/クラウドアカウントの保護

14. SORACOMアカウントの構成
オペレーター
（ルートアカウント)
SAMユーザー
認証キー
コンソールログイン
認証キー
コンソール
ログイン
1
*
アクセス権限
SAMユーザー
認証キー
コンソールログイン
アクセス権限
*
認証キー:APIアクセス時の認証に利用

15. ルートアカウントのコンソールログイン時にMFA(多要
素認証)が利用可能に
SORACOMアカウントのMFA機能

16. •AWS
•IAM(Identity Access Management)
•MFA
•CloudTrail
•Google
•Google Authentication
•Azure
•Active Directory
クラウドアカウントの保護

17. •ネットワークレイヤーでの保護
•ミドル/アプリケーションレイヤーでの保護
•ソラコム/クラウドアカウントの保護
IoTセキュリティ対策

18. •物理的なアクセス制御
•豊富なコンピューターリソースの利用が可能
•アプリケーションとDBの分離
•マルウェア検知/改ざん・侵入検知
•ロギング/アラート
IoTバックエンド側
既存のベストプラクティスが利用できる

19. •物理アクセスされる可能性
•デバイス固有情報での初期化が必要
•デバイス性能により暗号化が困難
•アップデートが困難
•ロギング/アラートが難しい
人が初期化時/動作時に
近くにいないという前提が必要
IoTデバイス側

20. IoTデバイスのセットアップ
デバイスセットアップ
ファームウェア設定
初期設定(共通)
動作確認
設置
初期設定(デバイス固有）
証明書/固有情報発行
製造メーカーへの受け渡し

21. IoTデバイスのセットアップ
デバイスセットアップ
ファームウェア設定
初期設定(共通)
動作確認
設置
初期設定(デバイス固有）
証明書/固有情報発行
製造メーカーへの受け渡し

22. 《 デバイス管理のための初期設定 》

23. •設定情報の準備
•初期設定の段階で証明書などの準備が必要
•認証情報のセキュリティ対策
• 初期設定実施企業へのデータ受け渡し方法の検討
• 情報漏えい対策
デバイスごとの初期設定の問題
証明書/固有情報発行
製造メーカーへの受け渡し

24. •ID/パスワード/証明書などをデバイスごとに設定
•1台づつの作業が必要
• 個別設定手順/ツールの作成
• 設定作業・重複設定ミス
• 作業工数の増大
デバイスごとの初期設定の問題
ID:AAAA
証明書:Aaxxx
接続先:xxx.api
ID:BBBB
証明書:Bbxxx
接続先:xxx.api
ID:CCC
証明書:Bcxxx
接続先:xxx.api初期設定(デバイス固有）

25. 初期設定の省力化/セキュリティ向上
デバイス固有の初期設定をやめる
クラウド側で
デバイス固有の
設定を行う
初期設定を
デバイス自身に
行わせる

26. クラウド側でデバイス固有の設定を行う
データ送信
IoTバックエンド
変換済み
データ
デバイスの認証
データへの固有ID付与
認証情報付与
接続先設定
セルラー通信を利用

27. •利用者の認証モジュール
•高い耐タンパ性
•ユニークID、秘密鍵を設定済み
•IMSI/ICCID
•セルラー通信で認証と暗号化を担保
SIM (Subscriber Identity Module)

28. SORACOM Beam - セキュアなプロキシ
専用線
インターネット
サーバA
サーバB
リスク？
クラウドの潤沢な
リソースで暗号化
安全
HTTP → HTTPS
MQTT → MQTTS
TCP → TCP over SSL
UDP→ HTTPS
…
交換局
モノ
基地局
SIMカードの認証を活用し
本来デバイスに実装するべき接続先設定や暗号化等を
SORACOM へオフロード
SORACOM Beam

29. SIMカードの認証を活用し送信先を指定するだけで
クラウド連携を実現
デバイスへの各種SDKのインストールが不要
SORACOM Funnel - クラウドアダプタ
認証情報
プロトコル変換
認証ロジック
バッファリング
エラー処理
SORACOM Funnel
Amazon Kinesis
Streams
Amazon Kinesis
Firehose
Microsoft Azure
EventHubs
AWS IoT
SPSパートナーによって
提供されるクラウドサービス
専用線
交換局
モノ
基地局
Google Cloud
Pub/Sub

30. SIM as root of trust
SIM セルラー通信の認証・暗号化
IoTバックエンドの認証情報設定
送信データへのユニークID付与
ユニークID
暗号鍵

31. • Pros
• デバイスの初期設定情報を共通化できる
• デバイス固有の情報はBeam/Funnelで付与
• デバイス側の開発が楽
• クラウド提供のSDK利用や、認証/暗号化処理実装が不要
• Cons
• セルラーでの通信が必須
• Wifi/有線では利用できない
• Beam/Funnel対応サービスを選択する必要がある
SORACOM Beam/Funnelを使った
アーキテクチャ

32. 初期設定をデバイス自身に行わせる
初期設定取得
IoTバックエンド
データ送信
固有の初期設定情報
デバイス初期化
SDKなどセットアップ
セルラー通信
回線問わず

33. SIM as root of trust
SIM セルラー通信の認証・暗号化
IoTバックエンドの認証情報設定
送信データへのユニークID付与
ユニークID
暗号鍵
デバイスごとの初期設定

34. •メタデータ
•SIMに紐付いた固有データ（タグなど）を取得できる
• http://metadata.soracom.io/v1/subscriber
•SORACOM Endorse
•SIMがSORACOM発行のものであることを確認できる
JWTトークンを発行する
• https://endorse.soracom.io
メタデータ/SORACOM Endorse

35. アーキテクチャ例（メタデータ）
タグの取得
データ送信
タグ
デバイスごとに
ID/パスワードを
設定
自社バックエンド

36. • Pros
• デバイスの初期設定をデバイス自身で行える
• デバイスには共通のアプリケーション設定のみ
• Beam/Funnel対応サービス以外を選択できる
• SDKはデバイス側で実装
• Cons
• 初期設定にはセルラーでの通信が必須
• 初期設定はセルラー、データ通信はWifiとしたい場合、
アプリケーションレイヤーで回線選択の実装が必要
メタデータ/SORACOM Endorseを使ったアーキ
テクチャ

37. SIMをより幅広く使いたい
• SIMをデバイス認証用のセキュアエレメント
として利用する
• 通信問わず、SIMでセキュアにIoTバックエ
ンドと通信したい
• より幅広いクラウドサービスやプロトコルへ
の対応

38. SIM as root of trust
SIM セルラー通信の認証・暗号化
IoTバックエンドの認証情報設定
送信データへのユニークID付与
ユニークID
暗号鍵
デバイスごとの初期設定
セルラー通信外の認証・暗号化
デバイスごとの初期設定
証明書・アプリ用のキー発行

39. 《 SORACOM Krypton 》

40. SORACOM Krypton（クリプトン）
• クラウドサービスの接続のためのプロビジョニングを支
援するサービス
• SIM認証を足がかりに、デバイス固有の設定や証明書を
取得できる
• 現状ではAWS IoT, Amazon Cognito, SORACOM
Inventoryに対応
• セルラー以外の回線でも利用できる

41. デバイス製造行程をよりシンプル・セキュアに
デバイス製造
ファームウェア設定
初期設定(共通)
動作確認
設置
初期設定(デバイス固有）
証明書/固有情報発行
製造メーカーへの受け渡し
従来 SORACOM Krypton
デバイス製造
ファームウェア設定
初期設定(共通)
動作確認
設置
オンデマンドでプロビジョニング
大量の発行処理
情報漏洩のリスク
工程の複雑化

42. Kryptonの仕組み
Amazon
Cognito
AWS IoT
SORACOM
Inventory
SORACOM
Krypton
1. 初期設定を
リクエスト 2. 初期設定を
代行
3. 各種設定、
認証情報を取得
4. 各サービスにアクセス

43. • 監視カメラに個別のAWSの認証情報を設定しておく必要があ
る
• Krypton + Amazon Cognitoにより期限付き認証情報をオン
デマンドで取得
例：監視カメラからAmazon S3に画像を
アップロードする場合
Amazon S3
画像をアップロード
監視カメラ

44. Krypton + Amazon Cognito設定
1. Identity Pool作成
2. ユーザーのIAMロール
に適切な権限を設定
3. Krypton用ユーザを作成
4. 3.で作成したユーザの
AWSクレデンシャルを認
証情報ストアにセット
5. グループ設定

45. Krypton + Amazon Cognito
1. credential
request
2. ID作成、
期限付き認証情報
取得3. 期限付き
認証情報
4. 期限付き証明書を使って
画像をアップロード
Amazon S3
Amazon
Cognito
SORACOM
Krypton
Krypton
Client

46. Krypton + AWS IoT設定
1. ポリシー作成
2. Krypton用ユーザを作成
3. 2.で作成したユーザの
AWSクレデンシャルを認
証情報ストアにセット
4. グループ設定

47. Krypton + AWS IoT
1. bootstrap
request 2. モノ作成、
証明書発行3. 接続情報、
証明書
4. AWS IoTに接続
SORACOM
Krypton
Krypton
Client
AWS IoT

48. Kryptonの仕組み（セルラー以外の回線）
Amazon
Cognito
AWS IoT
SORACOM
Inventory
SORACOM
Krypton
0. SIM認証
1. 初期設定を
リクエスト 2. 初期設定を
代行
3. 各種設定、
認証情報を取得
※SORACOM EndorseがSIM
認証をサポート
Wi-Fi、有線でも利用可能
4. 各サービスにアクセス
SORACOM
Endorse

49. • 従来セルラー通信で用いられているSIM認証プロトコルを応用
• グローバルSIM（plan01s）限定で利用可能
• 現時点ではKryptonからのみ使用可能
SORACOM Endorse SIM認証
Endorse
Client
認証
HLR
（SIM認証基盤）
※Wi-Fi、有線でも
利用可能
IoTデバイス
Endorse

50. •セルラーモデム
• AT+CSIMコマンドが利用できるもの
•USBドングル MS2131i-8
•ICカードリーダー(ISO7816準拠）
• e-Tax用のカードリーダーなど
SIM認証が利用可能なデバイス

51. •soracom-krypton-client-for-java
• Endorse Client（SIM認証機能）を内包
•オープンソースとして提供
• Apache 2.0 License
• https://github.com/soracom/soracom-krypton-client-
for-java
Kryptonクライアント実装

52. • SORACOM Inventory（デバイス管理）では、従来はデバイス登録
時にセルラー回線に接続する必要があった
• Kryptonによるbootstrapによりセルラー接続は不要に
• Release 0.0.6からKryptonクライアントを内包
Krypton + SORACOM Inventory
Krypton
Client
接続情報
bootstrap request
Inventory
Agent
bootstrap
bootstrap
接続情報
接続
※Wi-Fi、有線でも
利用可能

53. ※1SIMあたり。金額は税別。
SORACOM Kryptonの料金
日本
カバレッジ
グローバル
カバレッジ
プロビジョニング費用
（初期費用）
180円 1.8USD
利用料
（APIを利用した月のみ）
40円/月 0.4USD/月

54. 《 まとめ 》

55. •デバイスの初期設定はセキュリティ/費用削減のため
に慎重な設計が必要
•PoCでは発覚しにく
•SORACOMにビルトインされた機能を使う
•Beam/Funnel/メタデータ/Endorse/Krypton
•今後SIMはデバイス組み込みになる
•SIMに固有情報を寄せてしまう仕組みを!
まとめ

56. クラウド ⇒ 多くのビジネス、Webサービス
SORACOM ⇒ 多くのIoTビジネス、システム
たくさんの
IoTプレイヤーが生まれますように
SORACOMの願い

57. 世界中のヒトとモノをつなげ
共鳴する社会へ