V2: ユーザー空間アプリケーション要件
管理目標
この章に記載されているコントロールの目的は、ユーザーとマシンによる IoT システムへのセキュアなアクセスを確保し、セキュリティベストプラクティスを使用して機密データを保護することです。
アクセスを保護するには認証と認可が必要です。関連するコントロールには強力で一意のセキュアな ID、ユーザーロールの分離、最小権限の概念が含まれます。認証とは誰か (または何か) の身元を本物であると確立または確認する行為であり、人物またはデバイスに関する主張が正しく、なりすましではないと信じる根拠となります。さらに必要なコントロールにはパスワード、API キー、秘密鍵などの認証資格情報のリカバリや傍受の防止が含まれます。認可とは誰か (または何か) がセキュアアクセスポリシーを満たすリソースやアクションへのアクセス権を持つことを確立または確認する行為です。
データやコードを含むファイルやメモリの内容などのシステムリソースをセキュアに使用するには、資格情報を含む機密データの保護と個人情報の公正な取り扱いが必要です。
この章の多くのコントロールは暗号化を通じて実装されます。したがって適切な暗号化プリミティブを選択し、セキュアな資格情報ストレージで構成するためには追加のコントロールが必要です。
セキュリティ検証要件
同一性証明および認証
| # | 説明 | L1 | L2 | L3 |
|---|---|---|---|---|
2.1.1 | IoT エコシステム内のすべての形式のユーザーを一意に識別できることを検証します。 | ✓ | ✓ | ✓ |
2.1.2 | クラウド、ハブ、およびその他のデバイス (例 センサー) を含め、IoT エコシステム内で接続されているすべてのデバイスを一意に識別できることを検証します。 | ✓ | ✓ | ✓ |
2.1.3 | 強力なユーザー認証とデバイス認証が IoT エコシステム全体に適用されていることを検証します。 | ✓ | ✓ | ✓ |
2.1.4 | ユーザー、サービス、およびデバイス認証スキームが IoT エコシステムで一元管理されている共通のフレームワークを共有していることを検証します。 | ✓ | ✓ | ✓ |
2.1.5 | ユーザー認証に使用されるパスワードが 12 文字以上であることを検証します。 | ✓ | ✓ | ✓ |
2.1.6 | ユーザー認証に使用されるパスワードをユーザーが変更できること、およびパスワード変更機能にユーザーの現在のパスワードと新しいパスワードが必要であることを検証します。 | ✓ | ✓ | ✓ |
2.1.7 | デバイス認証に使用されるパスワードが十分に長く複雑であることを検証します。 | ✓ | ✓ | ✓ |
2.1.8 | 認可された管理者またはエンドユーザーがデフォルトのユーザーまたはデバイス資格情報を変更できることを検証します。 | ✓ | ✓ | ✓ |
2.1.9 | ユーザー、デバイス、またはサービスの認証資格情報がファームウェアまたはエコシステムアプリケーションにハードコードされていないことを検証します。 | ✓ | ✓ | ✓ |
2.1.10 | デバイス認証用にプロビジョニングされた資格情報がデバイスごとに一意であることを検証します。 | ✓ | ✓ | ✓ |
2.1.11 | 認証スキームが危殆化したデバイスや廃止されたデバイスの資格情報を失効するように設計されていることを検証します。 | ✓ |
認可
| # | 説明 | L1 | L2 | L3 |
|---|---|---|---|---|
2.2.1 | ユーザー、サービス、デバイス全体の IoT システムアカウントが共通の認可フレームワークを共有していることを検証します。 | ✓ | ✓ | ✓ |
2.2.2 | ルートまたは管理者として実行されるアプリケーションとサービスを制限することにより、デバイスが最小権限の概念を実施していることを検証します。 | ✓ | ✓ | ✓ |
2.2.3 | 登録時、およびデバイスがアカウント間を移動する際 (デバイスの再販、リース、レンタルなど) の廃止措置の一環として、所有権が正しく妥当性確認されていることを検証します。 | ✓ | ✓ | ✓ |
2.2.4 | デバイスのデバッグ機能にアクセスできるのは許可されたスタッフ (サポートチームやエンジニアリングチームなど) のみであることを検証し、アクセスが監視または記録されていることを検証します。 | ✓ | ✓ |
データ保護
| # | 説明 | L1 | L2 | L3 |
|---|---|---|---|---|
2.3.1 | データ漏洩から保護するために強力な暗号化を使用し、不正な改変から保護するために完全性チェックを活用して、個人識別情報 (PII) や資格情報などの機密情報が安全に保存されていることを検証します。 | ✓ | ✓ | ✓ |
2.3.2 | デバイスが廃棄される、または所有者が変更される場合に、PII データや資格情報などのすべての機密情報をデバイスから削除できることを検証します。 | ✓ | ✓ | ✓ |
2.3.3 | デバイスが廃棄される、または所有者が変更される場合に、エコシステムの一元管理されているデータベースで監査可能な目的でそのようにマークされることを検証します。 | ✓ | ✓ | ✓ |
2.3.4 | メモリに保持されている機密情報が不要になり次第すぐにゼロで上書きされていることを検証します。 | ✓ | ✓ |
暗号化
| # | 説明 | L1 | L2 | L3 |
|---|---|---|---|---|
2.4.1 | 暗号化シークレットと鍵がデバイスごとに一意であることを検証します。 | ✓ | ✓ | ✓ |
2.4.2 | 暗号化の適切な使用を検証します。十分な鍵サイズと安全な実装を備えた、標準的で強力なアルゴリズムのみを使用する必要があります。 | ✓ | ✓ | ✓ |
2.4.3 | ランダム性の安全なソースがすべてのセキュリティニーズに対してオペレーティングシステムやハードウェアにより提供されていることを検証します。 | ✓ | ✓ | |
2.4.4 | 専用のセキュリティチップが提供する機能を利用して、デバイスで使用される暗号化シークレットが安全に保存されていることを検証します。 | ✓ | ✓ | |
2.4.5 | デバイスで使用される暗号化プリミティブが専用のセキュリティチップにより提供されていることを検証します。 | ✓ | ✓ | |
2.4.6 | 使用されている暗号化ライブラリが認知されている暗号化セキュリティ標準に準拠していることが認証されていることを検証します。 | ✓ | ✓ |
参考情報
詳細については、以下も参照してください。
OWASP Authentication Cheat Sheet: https://cheatsheetseries.owasp.org/cheatsheets/Authentication_Cheat_Sheet.html
OWASP Access Control Cheat Sheet: https://cheatsheetseries.owasp.org/cheatsheets/Access_Control_Cheat_Sheet.html
OWASP Top 10 Privacy Countermeasures: https://owasp.org/www-pdf-archive/OWASP_Top_10_Privacy_Countermeasures_v1.0.pdf
NIST SP800-63B - Digital Identity Guidelines: https://pages.nist.gov/800-63-3/sp800-63b.html
FIPS 140-3 - Security Requrements for Cryptographic Modules: https://nvlpubs.nist.gov/nistpubs/FIPS/NIST.FIPS.140-3.pdf
ECRYPT CSA - D5.4 - Algorithms, Key Size and Protocols Report (2018): https://www.ecrypt.eu.org/csa/documents/D5.4-FinalAlgKeySizeProt.pdf
Last updated