セキュリティ実装技術｜エンベデッドシステムスペシャリスト試験

仕組みが悪用される経路をふさぐ設定と実装

DNSでは、応答の正しさと情報の出し過ぎの二つを守ります。DNSSECは、権威DNSサーバが応答にディジタル署名を付け、キャッシュDNSサーバが公開鍵で検証することで、偽の応答を受け入れないようにします。ゾーンの情報を丸ごと渡すゾーン転送は、許可する相手のサーバを限定して、外部に出す必要のない情報を守ります。

自分のサーバが攻撃の踏み台にされないための設定も重要です。NTPサーバの状態確認機能は小さな要求に大きな応答を返すため、増幅型のDDoS攻撃に悪用されます。この機能を無効にするのが対策です。OP25Bは、動的にIPアドレスを割り当てたネットワークから、ISPの管理外のメールサーバの25番ポートへ直接送るのを止め、スパムメールの送信を抑えます。

通信の暗号化は、どの層で行うかで区別します。IPsecはネットワーク層で暗号化し、IPv4でもIPv6でも使えます。TLSはトランスポート層の上で暗号化し、クライアント認証用のディジタル証明書をICカードなどに格納して使うこともできます。SSLは現在は使われず、後継のTLSに置き換わっています。公衆無線LANでは、パスワードを入力しなくても端末とアクセスポイントの間を暗号化するWi-Fi Enhanced Openという仕様があります。

ソフトウェアやOSの側の守り方もあります。SELinuxは強制アクセス制御を加え、スーパユーザであってもアクセスできる資源を制限して、侵入されたときの被害を小さくします。問題を起こしそうなデータを大量に与えて挙動を観察し、脆弱性を見つけるのがファジングです。組込みシステムでは、バッファオーバフローやメモリリークを起こしにくい言語や仕組みを選ぶメモリ安全性への配慮も求められています。