情報システム開発契約のセキュリティ仕様作成のためのガイドライン
Appendix C IoT検証要件
をテンプレートにして作成
開始行:
[[OWASP ASVS 4.0]]
このセクションは元々メインブランチにありましたが、OWASP I...
管理目標
組み込み/IoT機器は、
-信頼できる環境でセキュリティ管理を実施することによって、...
-デバイスに保存されている機密データは、セキュアエレメント...
-デバイスから送信されるすべての機密データは、TLSを利用す...
*セキュリティ検証要件 [#g9caac11]
||600|40|40|40|50|c
|#|説明|L1|L2|L3|Since|h
|C.1|USB、UART、そして他のシリアルバリアントのような、ア...
|C.2|暗号鍵と証明書が各デバイスに固有となっている。|✓|✓|✓...
|C.3|ASLRやDEPなどのメモリ保護制御が、組み込み/ IoTオペレ...
|C.4|JTAGやSWDなどのオンチップデバッグインターフェイスが...
|C.5|SoCデバイスまたはCPUで利用可能な場合、Trusted Execut...
|C.6|機密データ、秘密鍵、そして証明書が、セキュアエレメン...
|C.7|ファームウェアアプリがTransport Layer Security（トラ...
|C.8|ファームウェアアプリがサーバ接続のデジタル署名を検証...
|C.9|ワイヤレス通信が相互に認証されている。|✓|✓|✓|4.0|
|C.10|ワイヤレス通信が暗号化されたチャネルを介して送信さ...
|C.11|禁止されたC関数の使用が適切な安全な同等の関数に置き...
|C.12|各ファームウェアがサードパーティのコンポーネント、...
|C.13|サードパーティのバイナリ、ライブラリ、フレームワー...
|C.14|シェルコマンドラッパー、スクリプトを呼び出して、ア...
|C.15|ファームウェアのアプリが信頼できるサーバを固定化し...
|C.16|耐タンパ性または、改ざん検知機能が存在する。||✓|✓|4...
|C.17|チップ製造者による、有用な知的財産権保護技術が有効...
|C.18|ファームウェアのリバースエンジニアリングを防止する...
|C.19|デバイスが、ブートイメージのロード前に署名の検証を...
|C.20|ファームウェアの更新処理が TOCTOU 攻撃に対して脆弱...
|C.21|デバイスがコード署名を利用し、インストール前にファ...
|C.22|デバイスが、古いバージョンのファームウェアにダウン...
|C.23|暗号論的に安全な擬似乱数生成器が、組込み機器上で使...
|C.24|ファームウェアが事前設定のスケジュールに従って、フ...
|C.25|改ざんを検知、不正なメッセージを受信した際に、デバ...
|C.26|デバッグ用インターフェース（JTAG/SWD など）を無効化...
|C.27|デキャップやサイドチャネル攻撃から防御できるマイク...
|C.28|機微な痕跡がプリント基板の外部レイヤに漏えいしない...
|C.29|チップ間の通信（メインボードからドーターボードへの...
|C.30|デバイスがコード署名を使用し、実行前にコードの妥当...
|C.31|メモリ内に保持される機密な情報が、不要になったら直...
|C.32|ファームウェアアプリがアプリ分離のため、カーネルコ...
|C.33|ファームウェアが -fPIE、-fstack-protector-all、-Wl...
|C.34|（該当する場合）マイクロコントローラが、コードプロ...
&br;
*参考情報 [#l82956cc]
詳しくは以下の情報を参照してください。
-OWASP Internet of Things Top 10 : https://www.owasp.org/...
-OWASP Embedded Application Security Project : https://ww...
-OWASP Internet of Things Project : https://www.owasp.org...
-Trudy TCP Proxy Tool : https://github.com/praetorian-inc...
終了行:
[[OWASP ASVS 4.0]]
このセクションは元々メインブランチにありましたが、OWASP I...
管理目標
組み込み/IoT機器は、
-信頼できる環境でセキュリティ管理を実施することによって、...
-デバイスに保存されている機密データは、セキュアエレメント...
-デバイスから送信されるすべての機密データは、TLSを利用す...
*セキュリティ検証要件 [#g9caac11]
||600|40|40|40|50|c
|#|説明|L1|L2|L3|Since|h
|C.1|USB、UART、そして他のシリアルバリアントのような、ア...
|C.2|暗号鍵と証明書が各デバイスに固有となっている。|✓|✓|✓...
|C.3|ASLRやDEPなどのメモリ保護制御が、組み込み/ IoTオペレ...
|C.4|JTAGやSWDなどのオンチップデバッグインターフェイスが...
|C.5|SoCデバイスまたはCPUで利用可能な場合、Trusted Execut...
|C.6|機密データ、秘密鍵、そして証明書が、セキュアエレメン...
|C.7|ファームウェアアプリがTransport Layer Security（トラ...
|C.8|ファームウェアアプリがサーバ接続のデジタル署名を検証...
|C.9|ワイヤレス通信が相互に認証されている。|✓|✓|✓|4.0|
|C.10|ワイヤレス通信が暗号化されたチャネルを介して送信さ...
|C.11|禁止されたC関数の使用が適切な安全な同等の関数に置き...
|C.12|各ファームウェアがサードパーティのコンポーネント、...
|C.13|サードパーティのバイナリ、ライブラリ、フレームワー...
|C.14|シェルコマンドラッパー、スクリプトを呼び出して、ア...
|C.15|ファームウェアのアプリが信頼できるサーバを固定化し...
|C.16|耐タンパ性または、改ざん検知機能が存在する。||✓|✓|4...
|C.17|チップ製造者による、有用な知的財産権保護技術が有効...
|C.18|ファームウェアのリバースエンジニアリングを防止する...
|C.19|デバイスが、ブートイメージのロード前に署名の検証を...
|C.20|ファームウェアの更新処理が TOCTOU 攻撃に対して脆弱...
|C.21|デバイスがコード署名を利用し、インストール前にファ...
|C.22|デバイスが、古いバージョンのファームウェアにダウン...
|C.23|暗号論的に安全な擬似乱数生成器が、組込み機器上で使...
|C.24|ファームウェアが事前設定のスケジュールに従って、フ...
|C.25|改ざんを検知、不正なメッセージを受信した際に、デバ...
|C.26|デバッグ用インターフェース（JTAG/SWD など）を無効化...
|C.27|デキャップやサイドチャネル攻撃から防御できるマイク...
|C.28|機微な痕跡がプリント基板の外部レイヤに漏えいしない...
|C.29|チップ間の通信（メインボードからドーターボードへの...
|C.30|デバイスがコード署名を使用し、実行前にコードの妥当...
|C.31|メモリ内に保持される機密な情報が、不要になったら直...
|C.32|ファームウェアアプリがアプリ分離のため、カーネルコ...
|C.33|ファームウェアが -fPIE、-fstack-protector-all、-Wl...
|C.34|（該当する場合）マイクロコントローラが、コードプロ...
&br;
*参考情報 [#l82956cc]
詳しくは以下の情報を参照してください。
-OWASP Internet of Things Top 10 : https://www.owasp.org/...
-OWASP Embedded Application Security Project : https://ww...
-OWASP Internet of Things Project : https://www.owasp.org...
-Trudy TCP Proxy Tool : https://github.com/praetorian-inc...
ページ名:
