NFTとサイバーセキュリティについて.pptx
•
2 recomendaciones•305 vistas
有識者や起業家からのヒアリングでは、急拡大するデジタル経済圏への期待と、日本の現状への危機感が強く語られました。 「Web3.0（ウェブスリー）時代の到来は日本にとって大きなチャンス。しかし今のままでは必ず乗り遅れる。」 そこで、自民党デジタル社会推進本部 NFT政策検討プロジェクトチームでは6つのテーマに沿って、24の論点について課題と提言を整理し 3月30日、NFTホワイトペーパー（案）～ Web3.0時代を見据えたわが国のNFT戦略 ～と題して、公表されました。 https://www.taira-m.jp/2022/03/nft.html ところが、サイバーセキュリティについてテーマがありませんでした。 そして、まだ案の段階で最終形になるのはこれからです。 ご意見等ありましたら、「お問い合わせ」フォームからお寄せください。と書かれておりました。 ITとサイバーセキュリティの力で社会的課題に立ち向かい国の発展を支えるLACの一員として思いました。 NFTにセキュリティは必要ないの？ そこで３つの提案をしたいと思います。 https://qualias.net/about-nft-and-cyber-security/
Recomendados
Recomendados
Más contenido relacionado
La actualidad más candente
La actualidad más candente (20)
Similar a NFTとサイバーセキュリティについて.pptx
Similar a NFTとサイバーセキュリティについて.pptx (20)
NFTとサイバーセキュリティについて.pptx
- 2. Profile 自己紹介 所 属 株式会社ラック セキュリティビジネス統括部 デジタルビジネス推進部 二本松哲也 仕 事 部門を超え新たなセキュリティコンサル ティングサービスを企画・提案しています 令和2年度事業 総務省テレワークセキュリティ相談窓口 趣 味 OWASP（ボランティア）、Security & Privacy by Designの活動 メガダンス・エアロビクス、筋トレ、ジョ ギング、料理、ギター、キャンプ
- 3. 3 株式会社ラック ITとサイバーセキュリティの力で社会的課題に立ち向かい 国の発展を支え、人々の暮らしを守りま す ※ ＪＳＯＣ（下記参照）、サイバー救急センター、サイバー・グリッド・ジャパン、が特徴です。 商 号 株式会社ラック LAC： LAC Co., Ltd. 設 立 2007年10月1日 （旧ラック1986年9月） 資本金 10億円 代 表 代表取締役社長 西本 逸郎 売上高 連結 426億円 （2022年3月期） 決算期 3月末日 認定資格 経済産業省情報セキュリティ監査企業登録 情報セキュリティマネジメントシステム (ISO/IEC 27001)認証取得(JSOC) プライバシーマーク認定取得 https://www.lac.co.jp/ sales@lac.co.jp Twitter @lac_security YouTube laccotv Facebook Little.eArth.Corp or 株式会社ラック ・本社 〒102-0093 東京都千代田区平河町 2-16-1 平河町森タワー 03-6757-0111(代表) 03-6757-0113 (営業窓口) ・東陽町オフィス 〒135-0016 東京都江東区東陽2-2-20 東洋駅前ビル2F ・名古屋オフィス 〒460-0002 愛知県名古屋市中区丸の内3-20-17 KDX桜通ビル16F 福岡オフィス 〒812-0011 福岡市博多区博多駅前3-9-1 大賀博多駅前ビル5F テクノセンター北九州 〒802-0001 北九州市小倉北区浅野3-8-1 AIMビル8F テクノセンター秋葉原 〒101-0024 千代田区神田和泉町1-3-4 青木ビル 3F シンガポール支店 80 Robinson Road #10-01A Singapore 068898 ■ JSOC (Japan Security Operation Center) JSOCは、ラックが運営する情報セキュリティに関するオペレーションセンターです。24時間365日運営。 高度な分析官とインシデント対応技術者を配置しています。
- 4. 出典：平 将明 衆議院議員ホームページ NFTホワイトペーパー（案）～ Web3.0時代を見据えたわが国のNFT戦略 ～ 《テーマ》 ① 国家戦略の策定・推進体制の構築 ② NFTビジネスの発展に必要な施策 ③ コンテンツホルダーの権利保護に必要な施策 ④ 利用者保護に必要な施策 ⑤ NFTビジネスを支えるBCエコシステムの健全な育成に必要な施策 ⑥ 社会法益の保護に必要な施策 まだ案の段階で最終形になるのはこれからです。 ご意見等ありましたら、「お問い合わせ」フォームからお寄せください。
- 7. コンテンツデータを格納するWebサーバーの脆弱性 出典：OpenSea Developers - Metadata Standards Off chain server On chain server コンテンツデータ アドレス
- 10. スマートコントラクトの脆弱性対策
- 11. NFT マーケットプレイス『nanakusa』 2021 年 9 月 3 日に発生した NFT 流出に関するご報告書 SBINFT 株式会社 • NFT 流出の原因 NFT の購入処理を実行する権限を生成するプログラムに不正アクセスがなされたため、実行権限が 不正に奪取されたことが直接的な原因となります。 結果として、販売価格を無視した価格で購入を実行したことで、無償同然で NFT の所有権が移動さ れました。 根本的な原因としては、実行権限取得の暗号化アルゴリズムの複雑性が不足していたため暗号化ア ルゴリズムに不正アクセスがなされ、一部の実行権限が奪われたことが判明しています。 暗号化の複雑性不足によって、これまで NFT マーケットプレイス上でユーザーが取引を行うにあたっ て著しく問題となる事態は発生しておりませんでしたが、当社としては、『nanakusa』における NFT の 取引流通量の増加やユーザー数の増加などを考慮して、システムを見直し、暗号化の複雑性を向上 させるなどセキュリティレベルをより高い水準にすることを検討していたところ、今回のような不正アク セスの攻撃を受ける事態になりました。 当社においてご利用者の皆様が安全に NFT の取引を行うにあたって、当社のセキュリティリスクに対 する認識が十分であったとまでは言い切れず、セキュリティ評価が十分になされていなかったことに 対して、深く反省しております。 スマートコントラクトの脆弱性 出典：https://smartapp.co.jp/wp-content/uploads/2021/10/report_20210903.pdf
- 12. スマートコントラクトの脆弱性 出典：https://ecouffes.github.io/smart-contract-best-practices/security_tools/ 静的・動的解析ツール • Mythril Classic - スマートコントラクトセキュリティ用のスイスアーミーナイフ。 • MythX - EthereumスマートコントラクトSDLC用のセキュリティツール。 • Slither - 多くの一般的なSolidity問題の検出機能を備えた静的解析フレームワーク。汚染と値 のトラッキングが可能。Pythonで書かれています。 • Echidna - Ethereumソフトウェア用の唯一の利用可能なFuzzer（テストデータの自動生成機 能）。プロパティテストを使用して、スマートコントラクトを破る悪意のある入力情報を生成し ます。 • Manticore - EVMをサポートする動的バイナリ解析ツール。 • Oyente - こちらのホワイトペーパーに基づいて、Ethereumコードを分析して一般的な脆弱性 を見つけます。 • Octopus - EVMと(e)WASMをサポートするブロックチェーンスマートコントラクト用のセキュ リティ解析ツール。
- 13. NFTトークン発行の脆弱性対策
- 14. NFTトークン発行の脆弱性 Something Fishy is Happening on OpenSea as Bots Upset NFT Auctions 出典：The Defiant
- 15. まとめ
- 16. NFTホワイトペーパー（案）～ Web3.0時代を見据えたわが国のNFT戦略 ～ 《追加テーマ》 ① 国家戦略の策定・推進体制の構築 ② NFTビジネスの発展に必要な施策 ③ コンテンツホルダーの権利保護に必要な施策 ④ 利用者保護に必要な施策 ⑤ NFTビジネスを支えるBCエコシステムの健全な育成に必要な施策 ⑥ 社会法益の保護に必要な施策 ⑦ NFTとサイバーセキュリティについて (1) コンテンツデータを格納するWebサーバーの脆弱性対策 (2) スマートコントラクトの脆弱性対策 (3) NFTトークン発行の脆弱性対策 https://youtu.be/J2mN3k_sElE
Notas del editor
- 前回は基調講演させて頂き、ありがとうございました。今回の上原先生の講演は、大変勉強になりました。さて今回は「NFTとサイバーセキュリティについて」LT致します。
- 自己紹介です。私は株式会社ラック セキュリティサービス統括部 デジタルビジネス推進部に所属しております。部門を超え新たなセキュリティ コンサルティングサービスを企画・提案しています。前職では8年間、CIOやCISOとしての役割を担いDXを推進、情報セキュリティ委員会を運営し、一人CSIRTに携わっておりました。趣味はボランティア活動やメガダンス、男料理などです。
- さて、株式会社ラックは今年で15年目となります。今までもこれからも、ITとサイバーセキュリティの力で社会的課題に立ち向かい国の発展を支え、人々の暮らしを守ります。どうぞよろしくお願い致します。
- 有識者や起業家からのヒアリングでは、急拡大するデジタル経済圏への期待と、日本の現状への危機感が強く語られました。 「Web3.0（ウェブスリー）時代の到来は日本にとって大きなチャンス。しかし今のままでは必ず乗り遅れる。」 そこで、自民党デジタル社会推進本部 NFT政策検討プロジェクトチームでは6つのテーマに沿って、24の論点について課題と提言を整理し 3月30日、NFTホワイトペーパー（案）～ Web3.0時代を見据えたわが国のNFT戦略 ～と題して、公表されました。 ところが、サイバーセキュリティについてテーマがありませんでした。 そして、まだ案の段階で最終形になるのはこれからです。 ご意見等ありましたら、「お問い合わせ」フォームからお寄せください。と書かれておりました。
- ITとサイバーセキュリティの力で社会的課題に立ち向かい国の発展を支えるLACの一員として思いました。 NFTにセキュリティは必要ないの？ そこで３つの提案をしたいと思います。
- 1つ目、コンテンツデータを格納するWebサーバーの脆弱性対策
- コンテンツデータを格納するOff chainサーバーの脆弱性によって、当該データが取引後に 消失したり差し替えられたり、サーバが稼働しなくなりコンテンツへのアクセス手段が失われるリスクは、悪意のあるハッカーやマルウェアによっても引き起こされる懸念があります。 事業者が用意するウェブサーバ等について、安全性が評価されたクラウドサービスが利用できるように第三者評価制度を導入することが考えられます。 Metadata structure OpenSeaは、公式のERC721メタデータ標準またはEnjinメタデータ提案に従って構造化されたメタデータをサポートしています。 Image アイテムの画像へのURLです。あらゆる種類の画像 (SVGを含む。OpenSeaによってPNGにキャッシュされる) を使用でき、IPFS URLまたはパスを使用できます。350 x 350 の画像を使用することをお勧めします。 image_data 生のSVG画像データ、その場で画像を生成したい場合（推奨しません）。パラメータを含まない場合のみ使用してください。 external_url OpenSea上のアセットの画像の下に表示されるURLで、ユーザーがOpenSeaを離れて、あなたのサイトでアイテムを見ることができるようにします。 Description アイテムの説明文です。Markdown がサポートされています。 Name アイテムの名前。 Attributes これらはアイテムの属性で、そのアイテムの OpenSea ページに表示されます。 background_color OpenSea上のアイテムの背景色。プリペンド#のない6文字の16進数である必要があります。 animation_url アイテムのマルチメディア添付ファイルへの URL。GLTF、GLB、WEBM、MP4、M4V、OGV、OGGのファイル拡張子、およびMP3、WAV、OGAの音声のみの拡張子がサポートされています。Animation_url は HTML ページもサポートしており、JavaScript canvas、WebGL などを使用してリッチな体験やインタラクティブな NFT を構築することができます。スクリプトとHTMLページ内の相対パスがサポートされるようになりました。ただし、ブラウザの拡張機能へのアクセスはサポートされていません。 youtube_url YouTubeの動画へのURLです。 クラウド・バイ・デフォルト原則を踏まえた安全性評価基準、安全性評価の監査の仕組みを活用して 「政府情報システムのためのセキュリティ評価制度」ISMAPまたは同等の
- また、コンテンツデータの永続性を確保する試みとして、分散型ストレージIPFSはProtocol Labsが開発をしており、Proof-of-Spacetimeを採用しております。つまり分散型ストレージに必要な金銭的なインセンティブの証明をFileCoinによって実現しています。 （InterPlanetary File System（IPFS）等が知られる。）（PoST）
- このFileCoinのセキュリティについてはコミュニティが運営していることから、安全性について調査し、イニシアチブを発揮すべきと考えます。 https://security.filecoin.io/で
- 2つ目、スマートコントラクトの脆弱性対策
- スマートコントラクトの脆弱性によって不正な取引が成立する可能性があります。例えば攻撃者が販売価格を無視してNFTを任意の価格で購入し、NFTの所有権を不正に移動させることや、不正にコントラクトを繰り返し実行することで、被害者のアカウントから送金を不正に繰り返してしまうリエントランシー攻撃（Re-Entrancy Attack）といったことが考えられます。 こちらが、実際に2021 年 9 月 3 日に発生した NFT 流出に関するご報告書となります。
- 対策としましては、NFT発行者やNFTの発行サービスを提供する事業者が用いるスマートコントラクトのソースコードを静的・動的解析を行い脆弱性が含まれていないことを診断する第三者評価制度を導入することが考えられます。 こちらは代表的な静的・動的解析ツールとなります。 信頼できないコントラクトのDelegate Call デリゲートコールモジュールは、SWC-112 (DELEGATECALL to Untrusted Callee) を検出します。 予測可能な乱数への依存 予測可能な乱数モジュールは、SWC-120 (Weak Randomness) および SWC-116 (Timestamp Dependence) を検出します。 エーテル泥棒 イーサリーシーフモジュールはSWC-105(Unprotected Ether Withdrawal)を検出します。 例外 例外モジュールは、SWC-110 ( Assert Violation) を検出します。 外部呼出し 外部呼出し モジュールは、外部コントラクトへのコールを検出することによって、SWC-107 (Reentrancy)について警告します。 整数 整数モジュールは、SWC-101( Integer Overflow and Underflow)を検出します。 複数送信 複数送信モジュールは、SWC-113 (Denial of Service with Failed Call) を、複数の呼び出しまたは単一のトランザクションでの送信をチェックすることによって検出します。 自殺 自殺モジュールはSWC-106(無防備な自己破壊)を検出します。 状態変更外部呼び出し 状態変更外部呼び出しモジュールは、外部コントラクトへの呼び出し後の状態変化を検出することによって、SWC-107(再入性)を検出します。 チェックされていないレトバル チェックされていない retval モジュールは SWC-104 (チェックされていないコール戻り値) を検出します。 ユーザー提供のアサーション ユーザー提供のアサーション・モジュールは、ユーザー提供のアサーションについて SWC-110 (アサート違反) を検出します。ユーザー指定のアサーションは、次の形式のログ・メッセージでなければなりません。emit AssertionFailed(string) 任意のストレージ書き込み 任意のストレージ書き込みモジュールは、SWC-124 (任意のストレージ位置への書き込み) を検出します。 任意のジャンプ 任意ジャンプモジュールはSWC-127(関数型変数による任意ジャンプ)を検出します。
- 3つ目、NFTトークン発行の脆弱性対策
- 不正にNFTの価格を操作するスキャルピングボット（scalping bots）による攻撃によって、トークン発行に際してルールをバイパスしたスマートコントラクトでトークンを購入し当該NFTトークン発行時の価格を不正に操作する懸念があります。実際に、2021年8月12日 NFTマーケットプレイスOpenSeaでは、1,000件の取引のうち4分の1以上が価格をつり上げた後にキャンセルされていました。 当該リスクが存在することを消費者に説明することや、事業者におけるガイドラインの策定などが必要です。 これは、デジタルアセット リサーチのThe Blockの創設者であるMike Dudasによると、謎のキャンセルについて、ボットという可能性を示唆しました。ボットはオファーを出し、誰が買う気があるかを見てから、オファーを撤回し、より高い価格で再オファーすることで価格を吊り上げることができます。 このようなスキャルピングボットは合法であり抑止することができません。目下の対応としては、当該リスクが存在することを消費者に説明することが望ましい。なお長期的に見るとNFTに対する評判の構築、ユーザーエクスペリエンスは、わが国におけるWeb3.0ビジネスのイノベーション促進に影響を及ぼすため、ルール整備は別途検討を進めるべきであり、関係省庁の見解を踏まえた事業者におけるガイドラインの策定等が行われることが期待されます。また日本暗号資産取引業協会（JVCEA）において、これらの点を踏まえ利用者保護に配慮しつつ、JVCEAの事前審査の在り方を見直すことも必要です。 例えばNFT発行者がボットを利用して当該NFTに高額な入札を行うことで市場トレンドを形成します、なおボットによる偽の入札はNFT発行者が入札を拒否して、取引が成立しないようにできます。 このようなスキャルピングボットは合法であり抑止することができません。目下の対応としては
- まとめます。
- 有識者や起業家からのヒアリングでは、急拡大するデジタル経済圏への期待と、日本の現状への危機感が強く語られました。 そこで、私はサイバーセキュリティについてテーマを追加したいと思います。 1つ目、悪意のあるハッカーやマルウェアの攻撃などを防ぐ、コンテンツデータを格納するWebサーバーの脆弱性対策 2つ目、リエントランシー攻撃などを防ぐ、スマートコントラクトの脆弱性対策 3つ目、不正にNFTの価格を操作するスキャルピングボットによる攻撃を防ぐNFTトークン発行の脆弱性対策 「Web3.0（ウェブスリー）時代の到来は日本にとって大きなチャンス。しかし今のままでは必ず乗り遅れる。」 そこで、自民党デジタル社会推進本部 NFT政策検討PTでは6つのテーマに沿って、24の論点について課題と提言を整理し ３月３０日、平 将明 衆議院議員ホームページにNFTホワイトペーパー（案）～ Web3.0時代を見据えたわが国のNFT戦略 ～と題して、公表されました。
- 仮想通貨取引所の利用者から預かっている仮想通貨が外部からの不正アクセスにより流出したことで業界全体に悪影響を及ぼした（マウントゴックス事件およびNEM流出事件）は記憶に新しく思います。 サイバーセキュリティーはWeb2.0時代の成長支え共に成長した産業でした。Web3.0時代はこれらを教訓に活かし、責任あるイノベーションを支えていきたいと思う次第です。 ありがとうございました。 ４月３日平 将明 衆議院議員ホームページのお問い合わせフォームへお送りさせて頂きました。