Experiment on Human-centered IoT Security

Research Project

Project/Area Number	23K11099
Research Category	Grant-in-Aid for Scientific Research (C)
Allocation Type	Multi-year Fund
Section	一般
Review Section	Basic Section 60070:Information security-related
Research Institution	Yokohama National University
Principal Investigator	吉岡克成横浜国立大学, 大学院環境情報研究院, 教授 (60415841)
Project Period (FY)	2023-04-01 – 2026-03-31
Project Status	Granted (Fiscal Year 2023)
Budget Amount *help	¥4,680,000 (Direct Cost: ¥3,600,000、Indirect Cost: ¥1,080,000) Fiscal Year 2025: ¥1,690,000 (Direct Cost: ¥1,300,000、Indirect Cost: ¥390,000) Fiscal Year 2024: ¥1,690,000 (Direct Cost: ¥1,300,000、Indirect Cost: ¥390,000) Fiscal Year 2023: ¥1,300,000 (Direct Cost: ¥1,000,000、Indirect Cost: ¥300,000)
Keywords	ユーザブルセキュリティ / IoTセキュリティ / IPv6 / リスクコミュニケーション / セキュリティ注意喚起
Outline of Research at the Start	本研究では、つながるモノ、いわゆるIoT (Internet of Things) 機器が身の回りにあふれる近未来では、ITリテラシが低いユーザであっても安心・安全にこれらを利用できることが望まれる。一般ユーザがIoT機器を安全に使用し、万が一使用中のIoT機器にセキュリティ上の不備が発見された場合にも、この状況を理解し適切に対処できるようにするために、セキュリティ対策実施者はどのような要素に注力すべきか、またIoT機器メーカはどのような努力をし得るのかを、実際のユーザ群に対する注意喚起の実証実験を通して分析・検証することで、IoTセキュリティの更なる高度化を図る。
Outline of Annual Research Achievements	本年度は、実施項目Ⅰとして、「am I infected?」サービスにおいてマルウェア感染や脆弱性を有することが確認されたユーザに対するアンケートを実施し、利用状況と満足度等の観点で分析を行った。その結果、当該サービスの利用者はサービスにより高い満足度を得ており、特に検査による安心感、使いやすさ、無料であることが評価されていることを明らかにした。また、脆弱性やマルウェア感染疑いが検出されたユーザに対して注意喚起を行い、再度の検査を行ったユーザに対して高い改善効果が確認された。その成果は、サイバーセキュリティ分野のトップ国際会議に投稿し、現在、査読中となっている。実施項目Ⅱについては、実証実験対象となる製品の選定を行った。従来調査対象となることが少なかったIPv6対応製品のセキュリティに着目して製品マニュアルとユーザのセキュリティ理解に影響を与えうる検証対象要素の洗い出しを行った。特にIPv6対応の機器が直接インターネットに接続されることを加味し、それを想定したセキュリティ対策が行われているかを実機調査およびマニュアル記載の分析することで調査した。さらに、それらの機器が接続する際に経由するルータにおいて、攻撃通信を検知するための機能が使用されているか、使用されない場合のリスクをユーザに正しく伝えているか、といった観点で詳細分析を行った。加えて、当該機器のメーカに対してヒアリングおよびアンケート調査を行い、当該メーカのセキュリティ意識などについて分析を行った。これらの分析の結果、IPv6接続する機器のリスクについて一部のメーカは十分な対策がとれておらず、またユーザへのリスクコミュニケーションも不十分であることが明らかとなった。その成果は、サイバーセキュリティ分野のトップ国際会議に投稿し、現在、査読中となっている。
Current Status of Research Progress	Current Status of Research Progress 2: Research has progressed on the whole more than it was originally planned. Reason 本年度は、実施項目Ⅰとして、「am I infected?」サービスにおいてマルウェア感染や脆弱性を有することが確認されたユーザに対するアンケートを実施し、利用状況と満足度等の観点で分析を行った。数千人規模のユーザフィードバックの解析を行い、統計的にも説得力のある結果が得られており、その成果は、サイバーセキュリティ分野のトップ国際会議でも一定の評価を得られている。採否は確定していないが、学術的にも大きな意義を有する研究成果が得られていると判断している。実施項目Ⅱについては、従来調査対象となることが少なかったIPv6対応製品のセキュリティに着目し特にIPv6対応の機器が直接インターネットに接続されることを加味し、それを想定したセキュリティ対策が行われているかを実機調査およびマニュアル記載の分析することで調査した。分析の結果、現在、公開されているヒットリストと呼ばれるIPv6アドレス群において多数のIoT機器が存在することが確認できており、また、実機の調査からIoT機器上で様々なネットワークサービスが実際に動作していることも確認された。このことから、今後、これらの機器を狙ったサイバー攻撃が実際に発生する恐れがあり、現在のようにそのリスクが十分にユーザに認知されていない状況を改善するために、本研究の調査が有益である見込みが得られた。また、機器メーカ４社とも既にヒアリングを実施しており、各メーカのセキュリティ認識についても把握できている。これらの成果から学術的にも新規性の高い研究成果が得られると期待される。
Strategy for Future Research Activity	今後はこれまでの成果をベースに注意喚起やユーザへのリスクコミュニケーションに関する実証実験を行う。Am I Infected?システムの改修を行い、注意喚起方法の改善効果を調査する。Am I Infected?システムはこれまで脆弱性やマルウェア感染の可能性が非常に高いケースのみを対象に注意喚起をしてきたが、それらの疑いがあるケースは数倍から十倍以上存在することが分かっている。これらのケースにおいても適切にリスクコミュニケーションを行うことで、過度に不安を与えることなく、適切な対策行動に導くことができるように注意喚起内容の改善を検討する。この際、インターネット側から直接的にアクセス可能なサービスをユーザが意図して公開しているのか、そうでないのかを確認し、その意図に応じて、適切な注意喚起を行う必要があり、ユーザに過度の負担を掛けずにフィードバックを得るためのユーザインターフェイスや質問内容の改善を試みる。また、機器メーカとの連携を引き続き継続し、メーカが有するリスクコミュニケーションの課題を明らかにする。その改善の１つの方向性としてマニュアルの記載内容のAIによる分析とリスクの検知、ユーザへの伝達についても検討を行う。これまでの調査により、機器の使用方法によってはサイバー攻撃を受ける可能性がある場合でもそれがユーザに適切に提示されていないことが多くあるため、マニュアルの分析によりこれを自動検知できるかも検証する。