モノのインターネットを保護する

デスクトップコンピューターまたはスマートモバイルデバイスを使用すると、セキュリティ保護を簡単に追加できます。 セキュリティスイートまたはウイルス対策アプリをインストールするだけで完了です。 問題のデバイスは、マルチタスクおよびプロセス間通信を処理する高度なオペレーティングシステムを実行しているため、まさに簡単です。 モノのインターネット（IoT）と呼ばれるものを構成する多くの接続されたデバイスに関しては、その保護モデル全体が壊れます。

PCとスマートフォンには十分な処理能力があります。 また、多額の費用がかかります。 人形や壁のコンセントにインターネット接続を追加したいメーカーは、できるだけ費用をかける必要がありません。そうしないと、製品は競争力を失います。 これらのデバイスには、そのようなオペレーティングシステムさえありません。 すべてのコードはファームウェアに埋め込まれているので、ファームウェアにウイルス対策を追加することはできません。

セキュリティの問題やその他のバグが発生した場合、製造元はファームウェアを新しいバージョンで上書きするだけです。 残念なことに、詐欺師は、その組み込みのファームウェア更新機能を不正な目的で使用できます。 スマートドアロックのファームウェアを、想定されるすべての機能を実行するだけでなく、詐欺師のコマンドに対応する新しいバージョンに置き換えるとどうでしょうか。 この種の攻撃は一般的であり、結果は通常不快です。 希望はありますか？

Arxan Inside

サンフランシスコでの最近のRSA会議で、私はArxan TechnologiesのCMOであるPatrick Kehoeと、同社のリバースエンジニアリングおよびコード変更防止プロジェクトのプロジェクトリーダーであるJonathan Carterに話を聞きました（一口です！）。 最も簡単に言えば、Carterのチームが行うことは、アプリ開発者がセキュリティをファームウェアに組み込むことです。

Carterは、IoTデバイスに対する一部の攻撃は、デバイスとサーバーまたはスマートフォン間のネットワークトラフィックの傍受、操作、または複製に焦点を当てていると説明しました。 しかし、Arxanの保護はさらに深まります。 「モバイルデバイス内、IoTデバイス内のアクティビティに焦点を当てています」とCarter氏は言います。 「舞台裏で行うことは、悪意のある人が最初にトラフィックを傍受するのを防ぎます。これはネットワークレベルではなく、アプリ自体にあります。実行時に、誰かが感染しようとしたかどうかを検出できますファームウェアコード。」

開発者がArxanのテクノロジーを使用してコードをコンパイルすると、自己保護がファームウェアに組み込まれます。 そのコンポーネントは、アクティブなコード（および互い）を監視して、変更を検出および防止します。 攻撃と開発者の選択に応じて、ガードコードは侵害されたアプリのシャットダウン、損傷の修復、アラートの送信、またはこれら3つすべてを実行できます。

コピーできません！

もちろん、攻撃者がファームウェアを完全に置き換えることができた場合、残りの元のファームウェアとともに、そのガードコードはすべて消えます。 そこで、Arxanの難​​読化テクノロジーが登場します。簡単に言えば、ファームウェアコードの作成中に、Arxanのテクノロジーはさまざまなトリックを使用して、ファームウェアの分解とリバースエンジニアリングを非常に困難にします。

何でこれが大切ですか？ 典型的なファームウェア交換攻撃では、詐欺師は既存のファームウェア機能を動作させ続ける必要があります。 ハッキングされたしゃべり人形がしゃべりを停止した場合、悪者がそれを使用してネットワークに侵入する前に、それを捨てる可能性があります。 ハッキングされたスマートドアロックが開かない 場合 、ネズミの匂いがします。

カーターは、メーカーがファームウェアをリバースエンジニアリングから保護する他の理由があると指摘しました。 「彼らはIoTデバイスの複製や偽造について心配している」と彼は説明した。 「一部のメーカーは、中国でデバイスを1つでも販売することを心配しています。彼らがそれを知る前に、価格のほんの一部で模造品が現れます。」

「コードを保護します」とカーターは続けますが、開発者はまだ安全なコーディングガイドラインに従う必要があります。バッファオーバーフロー攻撃やその他の古典的な脆弱性を回避する必要があります。整合性違反について心配しましょう。

あなたは私です

カーターは、私が考えもしなかった攻撃能力を持つIoTデバイスを指摘しました。 最近では、ディズニーのテーマパークへの訪問者は、ホテルの部屋のロックを解除したり、公園に入ったり、購入したりできるマジックバンドを受け取ります。 間違いなくIoTデバイスとして適格です。 ビーグルボーイズがマジックバンドをハッキングすると、ホテルの部屋を掃除してから、ブルーバイユーで豪華なディナーに行くことができます。 「もちろん」とカーターは言った。「ディズニーはセキュリティに関して非常に大きい。」 悲しいかな、私は彼を詳しく説明することはできませんでした。

私は言わなければならない、私たちはIoTを保護することができないだろうと心配してきました。 私はファームウェア開発者ではありませんが、私にとっては、各デバイスの必要なファームウェアに保護を置くArxanのアプローチは、非常に実行可能なアプローチのようです。