株式会社ATTC

• 情報通信サービス
• 組込みソフトを使用する製造分野（自動車、医療など）　

• IoT機器の安全性向上

【活用対象】

• 企業顧客

IoT導入のきっかけ、背景

　株式会社ATTC(以下、当社)は、「社会の安定を⽬指し情報セキュリティリスクの根本解決を実現する」「常識に囚われない画期的なソリューションを開発する」というビジョンのもと、セキュリティコンサルティング、セキュリティエンジニア派遣、セキュリティ関連製品の開発など、情報セキュリティを中⼼とした事業を展開している。

　近年、IoT機器のセキュリティ対策が喫緊の課題となっているが、これに対処するために、BOF*¹（バッファオーバーフロー）攻撃(特にROP攻撃*²)の対策に着目した。2015年より独自の研究開発を行っていたが、ラズベリーパイを使用したIoT機器のファームウェア向けに、BOF 脆弱性を突いてリターンアドレスを改ざんする攻撃を根絶する製品 「ATTC Control Flow Integrity」を2021年12月にリリースした。関連特許も4件取得している。

　図１にあるように４つの特徴を持った製品となっている。本製品を使用いただくことで、当社を広く知っていただき、セキュリティ事業の一層の拡大への足掛かりとすることを期待している。

*1：バッファ（データの一時記憶領域）に、想定以上の長さのデータが入力されてしまう現象である。「バッファオーバーラン」ともいう。
*2：リターン指向プログラミング（ROP）を利用してメモリの脆弱性を突く攻撃

図１：ATTC Control Flow Integrity の特徴(出所：ATTC提供資料)

提供製品の概要

サービス名等、関連URL、主な導入企業名

・サービス名：ROP攻撃を根本的に無効化「ATTC Control Flow Integrity」
・関連URL：https://attc.co.jp/attc-control-flow-integrity/
・導入先：ラズベリーパイを使用したIoT機器を開発する企業

内容詳細

　当社の提供している製品「ATTC Control Flow Integrity」の概要を紹介する。本製品はIoT機器のファームウェア向けに、BOF 脆弱性を突いてリターンアドレスを改ざんする攻撃を根絶する製品としてセキュアバイナリを作成するビルドツールとして提供している。

　方式としては、図２(左側)にあるようにアプリケーションビルド時に、当社提供の初期化⽤ソースコードと⼀緒にコンパイルし、リターンアドレス改変検知ロジックをアセンブリファイルに埋め込む。当社提供のビルドツールで⾃動実⾏可能となっている。

　また、図２(右側)にあるようにセキュア化プログラムを実行すると、関数がコールされる度にリターンアドレス検査処理を実行する。同時に監視プログラムも起動され、監視プログラムのメモリ内に保持するチェック用リターンアドレス(正しいリターンアドレス)との差異を検査する。この２重の検査によりリターンアドレス改変を確実に検知し、改ざんを検知した場合にはセキュア化プログラムを終了させる動作となっている。

図２　ATTC Control Flow Integrityの方式(出所：ATTC 提供資料)

　昨今、製造業のIoTとして利用されているラズベリーパイを現在は実装ターゲットとしている。ラズベリーパイは低価格で⾃由度が⾼く、産業⽤途で広く⽤いられている。利用イメージを図3に示している。その他としては監視カメラのコンセントレータ、インターネット接続される通信ソフトウエアなどでの利用を想定している。

図３　利用イメージ(出所：ATTC 提供資料)

 

製品化への道のり

製品化にあたり苦労した点、解決したハードル、導入にかかった期間

　本製品の開発には約2年かかっている。技術的なハードルが多く、想定外の仕様漏れがあり、また、使用できるレジスタの制限がありコードを工夫して対処した。

技術開発を必要とした事項または利活用・参考としたもの

利活用した技術はない。特許取得を目指して、独自開発を行った。

 

 

今後の展開

現在抱えている課題、将来的に想定する課題

　当社の課題は、顧客への認知度である。ATTC Control Flow Integrityというセキュリティ製品を開発していることを広く知っていただくことが必要だと考えている。このため、セキュアIoTプラットフォーム協議会*^３の中で技術的な解説などを通じて認知活動を始めたところである。

　本フォーラムのIoT導入事例で紹介されることで、当社の認知度が上がることを期待している。

*3：一般社団法人セキュアIoTプラットフォーム協議会 (secureiotplatform.org)

強化していきたいポイント、将来に向けて考えられる行動

　現在の製品は、ラズベリーパイのソフトウェア部品であるが、今後は組み込み系の商用コンパイラに組み込んでいくことを目指して取り組んでいきたい。また、ビルドツールも開発しているが、これをセキュアビルド開発ツールに仕立てあげてライセンス販売をしていくことも考えている。

　当社を知ってもらうために、IoTを開発しているベンダに導入支援をして使用してもらうなど、費用対効果を見せて納得してもらうこともひとつの方法になるのではないかと考えている。本製品をプロモーションツールとして活用し、当社の技術力を理解してもらうことが知名度向上にもつながる可能性があるとも考えている。

将来的に展開を検討したい分野、業種

　組み込み技術者の方と一緒にディスカッションしながら方向性を探っていきたい。
商用コンパイラを扱うベンダへも組み込んでもらえるようにアプローチしていきたい。