車両サイバーセキュリティの未来―活用が期待されるテクノロジー最前線（横浜国立大学／トヨタ／リチェルカセキュリティ）

車両セキュリティの代表格「ファジングテスト」の技術動向

和栗：
自動車の基本機能を制御するECU（Electronic Control Unit：電子制御装置）に対するセキュリティテストは、法規制や業界団体の働きなどによって、ある程度は浸透しています。セキュリティテストの手法は複数存在しますが、代表的な手法は「ファジングテスト（以下、ファジング）」です。まずはファジングの最新技術動向について、黒米さんからご説明いただけますか。

黒米：
「ファジング」とは、あるプログラムの入力に対して繰り返し変異を施し、プログラムの脆弱性を自動的に発見する技術です。

画像ファイルを扱うビューアを例に説明しましょう。ある特定の画像ファイルに対し、画像ファイルの特定のビットフィールド（※）を反転させたり、余計なデータを画像ファイルに追加したりといった変異を施します。具体的にはファジングツールが画像ファイルを受け取って変異を施し、その画像ファイルを画像ビューアに与えるのです。

※ビットフィールド：ビット単位での値の管理

この時、正常な画像ファイルであれば、ビューアで正常に表示されます。しかし、画像ファイルに変異を施していくと、ビューアをクラッシュさせてしまう入力が生成されます。これがファジングです。

ファジングは原則的に、条件分岐に対するカバレッジ（※）を拡大を目的として入力を生成していきます。カバレッジの拡大には右図のように「White-box Fuzzing」「Grey-box Fuzzing」「Black-box Fuzzing」の3手法に大別できます。

※カバレッジ：対象範囲に対してどのくらい網羅しているかを示す比率。
※Fuzzing：ファジングのこと。

White-box Fuzzingは対象のソースコードがあることを前提としています。カバレッジ計測用のコードを対象のソースコードに挿入してビルドし、それを実行してカバレッジを計測しながら入力を生成します。この時にはソースコードの解析結果やバイナリの解析結果などを併用し、効果的な入力を生成します。White-box Fuzzingは対象のソースコードが手元にあるという性質上、CI/CDパイプラインとの連携が可能で、開発工程にファジングを入れ込んでいくケースに適しています。

Grey-box Fuzzingの特徴は、対象となるビルド済みのバイナリに対し、その行動を付加して実行することにあります。対象のソースコードがない場合でも、バイナリさえあればカバレッジを計測できます。そのため、ソースコードがない商用ソフトウェアの解析も可能です。なおGrey-box Fuzzingも、CI/CDパイプラインと連携できます。

Black-box Fuzzingは、カバレッジ計測が不可能な問題設定を扱います。具体的にはルータやカメラ、プリンタといったIoT（Internet of Things）機器の解析に適しています。なぜならIoT機器をはじめ、工場やプラントで稼働している機器に対しては、カバレッジ計測用のコードをファームウェアに挿入し、計測しながらファジングすることが困難だからです。

Black-box Fuzzingでは対象を完全なブラックボックスとして扱い、有限のテスト入力を一通り与えたり、機器からの通信の応答時間でカバレッジの情報を近似したりする操作を行います。

和栗：
ECUに対するセキュリティテストで、ファジングを採用するメリットは何でしょうか。

黒米：
1つは脆弱性とその入力をセットで得られるという点です。

例えば、同じ脆弱性を検出するような技術体系の中でも、静的解析を用いる技術では、対象の脆弱性をトリガーする入力が得られません。そのため、その脆弱性が実際に悪用可能であるかどうかを判断するには、マニュアルでのインスペクション（調査・診断）が必要です。

これに対しファジングでは、ファジングツールが自動的に脆弱性を引き起こす入力を探索するため、脆弱性とその入力をセットで得られます。また、通常のテストでは検出できないような、予期しない脆弱性も検出できます。膨大な条件を自動で探索できることもメリットの1つです。

和栗：
なるほど。脆弱性とその入力をセットで得られたり、膨大な条件を自動で探索できたりといった効率性がメリットなのですね。逆にファジングにはどのような課題があるのでしょうか。

黒米：
1つ挙げられるのが、対象ソフトウェアに応じたファジングツールの調整です。画像ビューアや文書ファイルを描画するようなオフィスソフトウェアなど、対象となるソフトウェアの性質に応じて、ファジングツールに適切な変異を施す必要があります。また、実際にファジングを運用していくうえで、解析時間やリソースをどのように割り当てていくかも課題となっています。

さらにファジングで検出した脆弱性の分析は自動化できていません。つまり、脆弱性がどのくらい悪用可能であり、どのくらい深刻なインシデントをもたらす可能性があるかといった分析作業は、人の手に委ねられているのです。

CTFで自動車セキュリティをより身近に――トヨタの取り組み

和栗：
続いて、遠山さんにお伺いします。トヨタ自動車では車両セキュリティのテストに用いられるテストベッド（※）やシミュレータの研究開発をはじめ、その活用に幅広く取り組んでいらっしゃいます。現在の活動内容を教えてください。

※テストベッド：システム開発時に実際の使用環境に近い状況を再現した試験用環境や試験用プラットフォームのこと

遠山：
はい。テストベッド活用方法の1つとして、CTF（Capture The Flag）を紹介したいと思います。CTFとはハッキングの技術力を競う競技です。チームに分かれてさまざまな問題を解き、その点数を競います。

2022年10月にはトヨタ自動車とToyota Motor North America、Toyota Tsusho Systems US, Inc.の三社共同で「Hack Festa 2022」を開催しました。これは参加する学生たちに自動車セキュリティをより身近に感じてもらい、ハッキング技術を磨く機会を提供することを目的としたものです。

Hack Festa 2022ではECUを外側から攻撃するようなテストベッドを各チームに1機ずつ渡し、学生が本物のECUに近い環境で攻撃ができるようにしました。多くの学生に自動車セキュリティに興味を持ってもらうことで、将来的にこの分野の研究につながっていけばよいと考えています。

Hack Festa 2022ではテストベッドの1つとしてトヨタが開発した「PASTA for Education」を利用しました。

PASTAは技術仕様が公開されているECUやセントラルゲートウェイで構成された、車載ネットワークのセキュリティテストベッドです。自動車の運転操作を簡易シミュレータで確認できると同時に、CAN（Controller Area Network）-BUSの解析や外部からの攻撃に対するセキュリティ評価ができます。テストベッド内部および外部との通信は自動車向けの一般的なプロトコルを採用しています。これにより、セキュリティ技術の研究開発や、セキュリティ技術者の教育に利用できるのが特徴です。