IoTプロジェクトを推進する上での課題

IoTエコシステムは、多くの規格、様々なハードウェア、ソフトウェア、サードパーティのサービス、APIを使用し構成されています。 この大きなフラグメンテーションにより、エコシステムは、エッジ（図1）とクラウド（図2）の両方で、あらゆる種類の攻撃に対して非常に脆弱な状態になります。

IoTソリューションを計画する際に多くの企業は以下の重要な項目を考慮しない傾向があります。

• ルートアクセスを防止するための組込みセキュリティ機能を持たないハードウェアとソフトウェアの使用
• 暗号化されていないデータの送信
• デバイス更新を実行するためのツールの欠如（リモート含む）
• ハードコーディングされたクレデンシャル情報
• エッジデバイスにインストールされているソフトウェアとOSの整合性の検証がされていない
• 暗号化されていないAPIトークン
• 適切な認証方式および適切な承認システムの構築がされていない

IoTセキュリティを実現するには、デバイス検知や迷惑行為防止のために必要なセキュアなID、認証、暗号化された通信を実装した強固なソリューションを確立する必要があります。

IoTセキュリティベストプラクティス

ベストプラクティスでは、分散モバイルシステムおよびデバイスの側面を考慮する必要があります。 安全なソフトウェア管理配布だけでなく、すべてのデバイスとIoTインテグレーションプラットフォームのために安全な実行環境が必要です。 何よりも、接続されたデバイスとIoTプラットフォームには、検証済みのIDが必要です。 これを実現するには、以下を実装する必要があります。

• オープンで業界標準に基づいたソリューションを構築する
• 実績あるセキュリティ技術とパートナーシップを活用する
• 企画・要件定義の段階でセキュリティ、スケーラビリティ、レジリエンスを考慮したシステムを設計する
• 接続されている各ノードと一意のIDおよびクレデンシャル情報を識別する
• IoTインフラストラクチャのノードを相互認証する
• データ保護のために全通信を暗号化する
• 証明書の自動失効の制御を実装する
• 暗号化されたチャネルを介してすべての通信にデジタル署名する
• ソフトウェアのデジタル署名と設定によるシステムの整合性と信頼性を確保する
• 役割ベースのアクセスを制御する

Eurotech：セキュリティ・バイ・デザイン

前述のように、IoTセキュリティは運用中の後付けのセキュリティ対策ではなく、企画・設計の段階でセキュリティ対策を組み込んでおくことで、サイバーセキュリティを確保していきます。

以下の図は、IoTソリューションのアーキテクチャを3つのレイヤーで構成する方法を示しています。

1. 1. 1. IoTデータを生成するデバイスが配置されているフィールドインフラストラクチャ
      2. データをIoTプラットフォームに送信する通信インフラストラクチャ
      3. IoTアプリケーションインフラストラクチャ、ビジネスプロセスとのインテグレーションを可能にするレイヤー

セキュリティメカニズムは、Everyware Software Framework（以下ESF）の不可欠なコンポーネントであり、IoTゲートウェイに組み込まれています。

ESFアーキテクチャは、様々なソフトウェアレイヤーにて構成されています。 OSGi（Open Services Gateway Initiative）レイヤーは、ソフトウェアコンポーネント（署名付きバンドル）を安全に管理するために優れた基盤を提供します。 ESFは、厳密なJavaおよびOSGiセキュリティポリシーが実行時に適用されることを保証し、承認された機関によって署名されたソフトウェアのみがインストールおよび有効化されていることを確認します。

ESFセキュリティレイヤーはすべてのセキュリティ機能をカプセル化し、セキュアブート、適切なハードウェア設計、その他の手段によって補完され、それによってエッジ上におけるソリューションの適切な保護を確実にします。

ESFのセキュリティのオペレーション概要は、添付URLより入手できます。

https://esf.eurotech.com/opt/bitnami/wordpress/docs/security-features 

さらに、IoTデバイスの実運用を強化する際に従うべきセキュリティガイドラインのリストを維持していきます。 ガイドラインは、インターネットセキュリティセンター（CIS）やIEC 62443などの業界標準の推奨に従って編集されています。Eurotechのセキュリティガイドラインは、添付URLより入手可能です。

https://esf.eurotech.com/opt/bitnami/wordpress/docs/move-to-production

Eurotechはさまざまなプロトコルをサポートしていますが、IoTデバイス通信用に最適化された軽量プロトコルであるMQTT（Message Queue Telemetry Transport）の使用を推奨しています。

• すべてのMQTTトラフィックはゲートウェイから発信され、SSL接続を介して暗号化されます。
• すべてのコンソールアクセスは、暗号化されたHTTPS接続を介して実現します。
• すべてのREST APIアクセスは、暗号化されたHTTPS接続を介して実現します。
• 堅牢な認証は、509証明書や暗号化されたクレデンシャル情報などで、広く使用されている強力なテクノロジ-によって実現されます。
• IoTプラットフォームによって公開されたデバイス管理メッセージは、信頼性とメッセージの整合性を保証するために署名されています。

Everyware CloudはOTドメインとITドメインを統合します。つまり、それは単一の最も重要なインターフェースとして機能します。 攻撃が成功すると、エンタープライズ環境へのアクセスが可能になります。 Everyware Cloudは、インフラストラクチャのオペレーティングシステムのようにIoT統合プラットフォームとしても機能します。 OTドメインサイドにおいては、分散型インテリジェントシステムを現場で展開、維持するために必要なすべてのデータ、デバイス、および組込みアプリケーションの管理機能を提供します。 下図は、セキュリティ機能がEveryware Cloudにどのように組み込まれているかを示しています。

このデバイス・トゥ・クラウド・アプリケーション・セキュリティ・アーキテクチャには、X.509証明書ベースの認証と統合されたPKI証明書管理が組み込まれています。

• クラウドのセキュリティメカニズムにより、許可されたトラフィックの安全性と認証を確保します。
• ファイアウォールを採用しているため、ブローカーポート以外のすべてのインバウンドポートは閉じられ、安全です。（暗号化および認証済）
• デバイス認証では、強力なユーザー名/パスワードのクレデンシャル情報またはデバイスごとの証明書を使用します。
• 各デバイスは、最初のアクティベーション時に、安全でランダム化されたデバイス固有のパスワードで自動的にプロビジョニングできます。さらに、デバイスのクレデンシャル情報は特定のデバイスに強く結び付けることができるため、IoTプラットフォームは、異なるデバイスからの同じクレデンシャル情報による認証要求を拒否します。
• デバイス認証ポリシーは、デバイスがデータパブリッシュできるMQTTトピックを制限し、デバイスからデバイスへの通信をブロックすることでデバイスデータ通信をさらに制限できます。
• アクセス制御は一元化され、HTTPS / SSLを介して認証されます。
• 役割ベースのアクセス制御にはユーザー管理、役割と権限が採用されています。テナントをデータレベルまで厳密にセグメンテーションすることは、他の部門がデータやインフラストラクチャにアクセスできないようにするもう1つの重要な要素です。
• Everyware Consoleへのログインは、二段階認証を使用してさらに認証を強化しています。