開発段階で組み込み機器の弱点を洗い出し

過ちを繰り返さないために――FFRが脆弱性検査ツール

2010/08/26

　フォティーンフォティ技術研究所（FFR）は8月25日、携帯電話やスマートフォン、デジタル家電といった組み込み機器のセキュリティ脆弱性を検査するツール「FFR Raven」を発表した。開発段階で脆弱性を洗い出し、修正することで、セキュリティ品質の向上を支援する。

　FFR代表取締役社長の鵜飼裕司氏は、「WindowsやUNIXが長年かけて鍛えられ、安全性を高めてきたのに対し、最近になって急速にネットワーク対応が進んだ組み込み機器には、『えっ、こんな問題がまだ残っているの？』というような脆弱性が存在する」と指摘する。

　組み込み機器は、性能向上や汎用OSの採用により、普通のPCと同様に攻撃を受けるリスクが高まってきた一方で、ファームウェアのアップデート／修正が困難であるといった、特有の課題もある。しかも「組み込み機器では、機能要件に関する検査、QAはしっかり行われるが、セキュリティも含めた非機能要件に関する検査を行うケースは少ない」（鵜飼氏）。

　FFR Ravenは、こうした課題を踏まえ、出荷後ではなく開発段階で脆弱性を洗い出し、堅牢な状態にして提供できるよう支援するツール。あらかじめセキュリティ品質を高めておくことで、攻撃を食い止めるというアプローチだ。

　FFR Ravenは、いわゆる「ファザー（Fuzzer）」の一種で、Windows XP／Vista／7上で動作する。バグを誘発する異常なパケットを自動的に生成して検査対象のシステムに投げ付け、DoS状態や任意のコード実行といった異常事態が発生しないかどうかを検査する。

　特徴の1つは高速性だ。パケットのフィールドごとにありとあらゆるパターンを機械的に生成しようとすると、組み合わせは無限大で、膨大な時間が掛かる。FFR Ravenは、同社独自のノウハウを反映し、脆弱性につながる可能性の高いフィールドと値を選んでパケットを生成するため、「現実的な時間で検査を行い、脆弱性を発見できる」（鵜飼氏）という。

　また、発見された脆弱性がどのような性質のものであり、どうすれば解決できるかを支援するため、日本語マニュアルを充実させた。ユーザーインターフェイスも日本語となっている。

　FFR RavenはTCP/IP、UDP、HTTP、FTPなど広範なプロトコルに対応しており、バッファオーバーフロー、整数オーバーフローやフォーマットストリング、読み込み境界未チェックなど、メモリ破壊系を中心に致命的な脆弱性を発見できる。IPv6への対応を予定しているほか、有償でのプロトコルサポートも用意する。組み込み機器はもちろん、PC上で動作するアプリケーションやミドルウェアにも適用可能という。

　価格はオープンプライス。参考価格は、1企業／PC3台までの利用で月額50万円、端末台数無制限の場合は年額500万円などとなっている。FFRでは、パートナーを介したサービスとしての提供も予定している。