JP7238996B2 - バックドア検査装置、方法及びプログラム - Google Patents

Description

本開示は、バックドア検査装置、方法及び非一時的なコンピュータ可読媒体に関するものであり、特に、ソフトウェアからバックドアである可能性の高いコードを検出することが可能なバックドア検査装置、方法及び非一時的なコンピュータ可読媒体に関する。

近年、日常の暮らしを支えるインフラや企業システムは複雑化しており、単一の企業のデバイス（機器）だけで構成することは難しい。そこで、外部からデバイスを調達し、調達したデバイスを組み合わせ、又は、組み込んでインフラや企業システムを構成する。インフラや企業システムを構成する際、調達したデバイスの製造者及び製造・流通チェーンは信頼できるという前提で取り扱われる。しかしながら、これらの組込みデバイスにおいて、ソフトウェア、ファームウェア、及びハードウェアの面で、ユーザ（組込み者）が認知していない隠された機能や予期しない機能が発見される事象（インシデント）が多数報告されている。従って、デバイスの製造者及び製造・流通チェーンが信頼できるという前提が成り立たなくなってきており、例えば、ソフトウェア内の不正な機能を検出する方法が必要となってきている。尚、ユーザが認知していない隠された機能や追加的な機能であって、ソフトウェア内の不正な機能のことを、「バックドア」と称する。

特許文献１には、バイナリコードに対しバイナリコード分析器及び関数呼出し・システムコール抽出器で静的解析をし、呼出される関数やシステムコール、ＡＰＩの呼出しと呼出し時の引数値及び条件を抽出し、一方で内部仕様書では内部仕様から、外部仕様書、機能定義書、マニュアルでは、これらとファンクションデータベースから外部仕様や機能定義から呼出される関数やシステムコール、ＡＰＩの呼出しと呼出し時の引数値及び条件を仕様書・定義書解読器で抽出、両抽出結果を正／不正コード判別器で比較し、結果を元に不正コードの検出結果を出力することが開示されている。

特許文献２には、方法、および方法を実施するコンピューティングデバイスは、ソフトウェアアプリケーションが望ましくない挙動または性能を劣化させる挙動を引き起こしているかどうかを予測するように構成される、網羅的な挙動監視および分析システムの効率性と性能とを向上させることが開示されている。また、特許文献２には、挙動監視および分析システムは、あるソフトウェアアプリケーションの活動を特徴付ける挙動ベクトルを生成し、そのソフトウェアアプリケーションを信頼できるソフトウェアアプリケーションとして特定する際立った挙動または挙動の手がかりを生成された挙動ベクトルが含むかどうかを判定し、そのソフトウェアアプリケーションを信頼できるソフトウェアアプリケーションとして特定する際立った挙動を生成された挙動ベクトルが含むと判定したことに応答して、そのソフトウェアアプリケーションを良性であるものとして分類することによって、そのソフトウェアアプリケーションを良性であるものとして迅速かつ効率的に分類するように構成され得ることが開示されている。

特開２００９－０９８８５１号公報 特表２０１７－５０４１０２号公報

上述のように、ソフトウェア内の不正な機能を検出する方法が必要であるという課題があった。また、ソフトウェアからバックドアの可能性のあるコードが多数発見された場合、バックドアに優先順位を付け優先順位の高いバックドア、すなわち、バックドアである可能性が高いコードを検出する必要があるという課題があった。特許文献１及び特許文献２は、これらの課題を解決することは開示していない。

本開示の目的は、上述した課題のいずれかを解決するバックドア検査装置、方法及び非一時的なコンピュータ可読媒体を提供することにある。

本開示に係るバックドア検査装置は、
ソフトウェアの機能と構造とを解析し、バックドアであると推定される推定コードを前記ソフトウェアから特定するバックドア推定手段と、
機密データの前記ソフトウェア内での伝搬状況を解析し、前記機密データを処理する機密コードを前記ソフトウェアから特定するデータフロー解析手段と、
前記推定コードと前記機密コードとに基づいて、前記バックドアである可能性が前記推定コードよりも高いバックドアコードを特定するバックドア判定手段と、
を備える。

本開示に係るバックドア検査装置は、
機密データのソフトウェア内での伝搬状況を解析し、前記機密データを処理する機密コードを前記ソフトウェアから特定するデータフロー解析手段と、
前記機密コードの機能と構造とを解析し、バックドアであると推定される推定コードを前記機密コードから特定するバックドア推定手段と、
前記推定コードを、前記バックドアである可能性が前記機密コードよりも高いバックドアコードとして特定するバックドア判定手段と、
を備える。

本開示に係る方法は、
ソフトウェアの機能と構造とを解析し、バックドアであると推定される推定コードを前記ソフトウェアから特定することと、
機密データの前記ソフトウェア内での伝搬状況を解析し、前記機密データを処理する機密コードを前記ソフトウェアから特定することと、
前記推定コードと前記機密コードとに基づいて、前記バックドアである可能性が前記推定コードよりも高いバックドアコードを特定することと、
を備える。

本開示に係る非一時的なコンピュータ可読媒体は、
ソフトウェアの機能と構造とを解析し、バックドアであると推定される推定コードを前記ソフトウェアから特定することと、
機密データの前記ソフトウェア内での伝搬状況を解析し、前記機密データを処理する機密コードを前記ソフトウェアから特定することと、
前記推定コードと前記機密コードとに基づいて、前記バックドアである可能性が前記推定コードよりも高いバックドアコードを特定することと、
をコンピュータに実行させるプログラムが格納される。

本開示によれば、ソフトウェアからバックドアである可能性の高いコードを検出することが可能なバックドア検査装置、方法及び非一時的なコンピュータ可読媒体を提供することができる。

実施の形態１に係るバックドア検査装置を例示するブロック図である。 実施の形態１に係るバックドア検査装置を例示するブロック図である。 データフロー解析を例示する模式図である。 ソフトウェア内における機密データの伝搬状況を例示する模式図である。 実施の形態１に係るバックドア検査装置の動作を例示するフローチャートである。 実施の形態２に係るバックドア検査装置の動作を例示するフローチャートである。 実施の形態３に係るバックドア検査装置を例示するブロック図である。 実施の形態３に係るバックドア検査装置の動作を例示するフローチャートである。 実施の形態４に係るバックドア検査装置の動作を例示するフローチャートである。

以下、図面を参照して本発明の実施の形態について説明する。各図面において、同一又は対応する要素には同一の符号が付されており、説明の明確化のため、必要に応じて重複説明を省略する。

［実施の形態１］
実施の形態１に係るバックドア検査装置の構成の概要を説明する。
実施の形態１では、データ漏洩、もしくは、データ書換えを起こすタイプのバックドアに本開示を適用することを例に挙げて説明する。
図１は、実施の形態１に係るバックドア検査装置を例示するブロック図である。

図１に示すように、実施の形態１に係るバックドア検査装置１１は、バックドア推定手段１１１と、データフロー解析手段１１２と、バックドア判定手段１１３と、を備える。

バックドア推定手段１１１は、ソフトウェアの機能と構造とを解析し、バックドアであると推定される推定コードをソフトウェアから特定する。機器を使用するユーザが認知していない隠された機能や追加的な機能であって、ソフトウェア内の不正な機能、又は、望まれていない機能のことを、「バックドア」と称する。ソフトウェアの機能と構造とを解析し、バックドアであると推定される推定コードをソフトウェアから特定することを、「バックドア解析」と称することもある。

データフロー解析手段１１２は、機密データのソフトウェア内での伝搬状況を解析し、機密データを処理する機密コードをソフトウェアから特定する。機密データは、ソフトウェアがインストールされる機器のユーザ情報（個人情報や業務情報）、機器に入力されるパスワード、暗号化に用いる秘密鍵、ソフトウェアや機器の設定情報、及びソフトウェアがインストールされた機器が収集する情報（温度センサであれば温度情報、監視カメラであれば画像データなど）のうち少なくとも１つを含んでもよい。機密データのソフトウェア内での伝搬状況を解析し、機密データを処理する機密コードをソフトウェアから特定することを、「データフロー解析」と称することもある。

バックドア判定手段１１３は、推定コードと機密コードとに基づいて、バックドアである可能性が推定コードよりも高いバックドアコードを特定する。すなわち、バックドア判定手段１１３は、バックドアとして動作する可能性が推定コードよりも高いバックドアコードを特定する。

これにより、バックドアである可能性の高いコードとして特定されたバックドアコードを優先的に検査することができる。その結果、実施の形態１によれば、バックドアである可能性の高いコードを検出することが可能なバックドア検査装置を提供することができる。

尚、コードは、ソースコードでも実行コードでもよい。複数のコードをまとめてコードブロックと称することもある。機密データを、機密情報と称することもある。

実施の形態１に係るバックドア検査装置の構成の詳細を説明する。
図２は、実施の形態１に係るバックドア検査装置を例示するブロック図である。
図２は、図１の詳細を示す。

図２に示すように、バックドア検査装置１１のバックドア推定手段１１１は、機能推定手段１１１１と構造解析手段１１１２と分析手段１１１３とを有する。

機能推定手段１１１１は、ソフトウェア内のインターフェース機能、認証機能、コマンドパーサ機能等の特定機能を推定する。

構造解析手段１１１２は、推定した特定機能を起点として、制御フローに基づいて、ソフトウェア全体の構造を明らかにする。具体的には、構造解析手段１１１２は、制御フローに含まれる複数の機能を抽出し、各機能の推定を行う。構造解析手段１１１２は、推定した各機能をタイプ毎に分離する。

分析手段１１１３は、バックドアのタイプ毎の分析手段を有する。分析手段１１１３は、バックドアのタイプ毎の分析手段を使用して、分離した機能と該機能に対応するバックドアとをタイプ毎に比較する。分析手段１１１３は、比較の結果、機能がバックドアであるか否かを推定し、バックドアであると推定された推定コードをソフトウェアから特定する。

ここで、データフロー解析について説明する。
図３は、データフロー解析を例示する模式図である。
図４は、ソフトウェア内における機密データの伝搬状況を例示する模式図である。

データフロー解析とは、ＣＦＧ（Control Flow Graph）などを使用して、特定の変数の値がどのコードブロックで操作されるか、又は、伝搬するかを解析することである。例えば、図３に示すように、ソフトウェアの０００１行目においてＡに機密データが代入される（Ａ＝機密データ）。０００２行目においてＢにＡが代入される（Ｂ＝Ａ）。０００３行目においてＣにＢが代入される（Ｃ＝Ｂ）。このようにして、機密データは、ソフトウェア内をＡからＣに伝搬する。

図４に示すように、バックドア推定手段１１１は、バックドアの可能性のあるコードＣ１０１とコードＣ１０２とコードＣ１０３とを推定する。データフロー解析手段１１２は、図３で示したようにして機密データの伝搬経路を求め、機密データのソフトウェア内での伝搬経路に基づいて、機密データを処理する機密コードを特定する。

バックドアは、重要なデータである機密データに対してデータ漏洩やデータ書換えを行う可能性が高い。従って、図４において、バックドアの可能性のあるコード（推定コード）と、機密コードと、の共通部分のコードがバックドアである可能性が高いコードである。具体的には、図４では、コードＣ１０３が推定コードと機密コードとが重なっており共通部分が有るので、バックドアである可能性がコードＣ１０１やコードＣ１０２よりも高いと考えられる。

そこで、バックドア検査装置１１のバックドア判定手段１１３は、推定コードと機密コードとの共通部分を、バックドアコードとして特定する。

一方、コードＣ１０１やコードＣ１０２は、バックドアである可能性が、バックドアではないコードＣ１００よりも高く、コードＣ１０３よりも低いと考えられる。

尚、バックドア検査装置１１は、機密データを外部から取得する取得手段（図示せず）と、機密データを記憶する記憶手段（図示せず）と、をさらに備えてもよい。

また、バックドア検査装置１１は、ソフトウェアを解析する一般的なソフトウェア解析装置に含めてもよい。その場合、バックドア検査装置を、ソフトウェア解析装置と称することもある。

ここで、実施の形態１の方法の特徴を記載する。
・バックドア検査装置１１は、個人情報やパスワード等を含む機密データを外部の解析者から取得する。このとき、機密データに関する情報、例えば、機密データの保存箇所の情報を取得してもよい。具体的には、解析対象がソースコードの場合、機密データが保存されている変数を取得してもよい。また、解析対象が実行コードの場合、機密データが保存されているレジスタやメモリ番地等の情報を取得してもよい。
・バックドア検査装置１１は、バックドア解析を行い、バックドアであると推定される推定コードを特定する。
・バックドア検査装置１１は、データフロー解析を行い、機密データのソフトウェア内での伝搬状況を解析する。
・バックドア検査装置１１は、バックドア解析の結果、バックドアであると判断された推定コードと、データフロー解析の結果、機密データを処理すると判断された機密コードと、の共通部分を求める。
・バックドア検査装置１１は、求めた共通部分を、バックドアコードとして特定する。

実施の形態１に係るバックドア検査装置の動作を説明する。
図５は、実施の形態１に係るバックドア検査装置の動作を例示するフローチャートである。

図５に示すように、バックドア検査装置１１は、機器のソフトウェアに対してバックドア解析を行う（ステップＳ１０１）。

バックドア検査装置１１は、ステップＳ１０１の結果、不正な機能、すなわち、バックドアであると推定（判断）されたコードブロック（推定コード）をソフトウェアから特定する。

バックドア検査装置１１は、ソフトウェアと機密データに関する情報とに基づいてデータフロー解析を行う（ステップＳ１０２）。

バックドア検査装置１１は、データフロー解析の結果、機密データを処理するコードブロック（機密コード）を特定する（ステップＳ１０３）。

バックドア検査装置１１は、バックドア（不正な機能）であると推定されたコードブロック、及び、機密データを処理するコードブロックという２つのコードブロックの共通部分を算出する（ステップＳ１０４）。

バックドア検査装置１１は、２つのコードブロックの共通部分がバックドアである可能性がより高いので、該共通部分をバックドアコードとして特定する。すなわち、バックドア検査装置１１は、バックドア解析の結果、特定したバックドアの可能性が高い推定コードのうち、機密データを処理する機密コードとの共通部分を、よりバックドアである可能性が高いコードとし、これをバックドアコードとして特定する。

［実施の形態２］
バックドアは、バックドアを発動するための発動条件を設定しないと実行されず、そのため、データフロー解析ができない場合がある。このような場合でも、バックドアである可能性の高いコードを検出することができるようにしたものを、実施の形態２として説明する。
図６は、実施の形態２に係るバックドア検査装置の動作を例示するフローチャートである。

図６に示すように、実施の形態２に係るバックドア検査装置は、実施の形態１に係るバックドア検査装置１１と比べて、バックドア解析においてバックドアの発動条件を使用する点が異なる。発動条件をトリガ条件と称することもある。

実施の形態２に係るバックドア検査装置は、バックドア解析（ステップＳ１０１）により、特定の入力値を得る。特定の入力値は、バックドアの発動条件に関する発動コードである。すなわち、バックドア検査装置は、ソフトウェアからバックドアの発動条件に関する発動コードを特定する。

バックドア検査装置は、ステップＳ１０２のデータフロー解析において、発動コードを設定してバックドアを実行させ、バックドアの実行中に機密コードを特定する。すなわち、バックドア検査装置は、バックドアが実行される条件下でデータフロー解析を行う。

実施の形態２に係るバックドア検査装置の動作において、上記以外の動作は、実施の形態１に係るバックドア検査装置１１の動作と同じである。

バックドアは、発動コードを設定しないと実行されず、データフロー解析ができない場合がある。このような場合でも、実施の形態２に係るバックドア検査装置は、発動コードを設定してバックドアを実行させてデータフロー解析を行うので、バックドアである可能性の高いバックドアコードを検出することができる。

［実施の形態３］
図７は、実施の形態３に係るバックドア検査装置を例示するブロック図である。

図７に示すように、実施の形態３に係るバックドア検査装置３１は、データフロー解析手段３１２と、バックドア推定手段３１１と、バックドア判定手段３１３と、を備える。

データフロー解析手段３１２は、機密データのソフトウェア内での伝搬状況を解析し、機密データを処理する機密コードをソフトウェアから特定する。

バックドア推定手段３１１は、機密コードの機能と構造とを解析し、バックドアであると推定される推定コードを機密コードから特定する。

バックドア判定手段３１３は、推定コードを、バックドアである可能性が機密コードよりも高いバックドアコードとして特定する。

図８は、実施の形態３に係るバックドア検査装置の動作を例示するフローチャートである。

図８に示すように、実施の形態３に係るバックドア検査装置３１は、ソフトウェアと機密データに関する情報とに基づいてデータフロー解析を行う（ステップＳ３０１）。

バックドア検査装置３１は、データフロー解析の結果、機密データを処理するコードブロック（機密コード）を特定する（ステップＳ３０２）。

バックドア検査装置３１は、機密データを処理する機密コードであると特定されたコードブロックに対してバックドア解析を行い、バックドアである可能性が高いコードブロックを特定する（ステップＳ３０３）。

実施の形態３に係るバックドア検査装置３１は、ソフトウェアの全てに対してバックドア解析（検査）せず、機密コードであると特定されたコードブロックに対してのみバックドア解析を行う。これにより、ソフトウェアの全てに対してバックドア解析を行う場合と比べて、バックドアである可能性が高いコードブロックを特定する時間を短縮することができる。

［実施の形態４］
図９は、実施の形態４に係るバックドア検査装置の動作を例示するフローチャートである。

図９に示すように、実施の形態４に係るバックドア検査装置は、実施の形態３に係るバックドア検査装置３１と比べて、バックドア解析においてバックドアの発動条件を使用する点が異なる。

実施の形態４に係るバックドア検査装置は、バックドア解析（ステップＳ４０１）により、特定の入力値を得る。特定の入力値は、バックドアの発動条件に関する発動コードである。すなわち、バックドア検査装置は、ソフトウェアからバックドアの発動条件に関する発動コードを特定する。

バックドア検査装置は、ステップＳ３０１のデータフロー解析において、発動コードを設定してバックドアを実行させ、バックドアの実行中に機密コードを特定する。すなわち、バックドア検査装置は、バックドアが実行される条件下でデータフロー解析を行う。

実施の形態４に係るバックドア検査装置の動作において、上記以外の動作は、実施の形態３に係るバックドア検査装置３１の動作と同じである。

バックドアは、発動コードを設定しないと実行されず、データフロー解析ができない場合がある。このような場合でも、実施の形態４に係るバックドア検査装置は、発動コードを設定してバックドアを実行させてデータフロー解析を行うので、バックドアである可能性の高いバックドアコードを検出することができる。

尚、上記の実施の形態では、本発明をハードウェアの構成として説明したが、本発明はこれに限定されるものではない。本発明は、各構成要素の処理を、ＣＰＵ（Central Processing Unit）にコンピュータプログラムを実行させることにより実現することも可能である。

上記の実施の形態において、プログラムは、様々なタイプの非一時的なコンピュータ可読媒体（non-transitory computer readable medium）を用いて格納され、コンピュータに供給することができる。非一時的なコンピュータ可読媒体は、様々なタイプの実態のある記録媒体(tangible storage medium)を含む。非一時的なコンピュータ可読媒体の例は、磁気記録媒体（具体的にはフレキシブルディスク、磁気テープ、ハードディスクドライブ）、光磁気記録媒体（具体的には光磁気ディスク）、ＣＤ－ＲＯＭ（Read Only Memory）、ＣＤ－Ｒ、ＣＤ－Ｒ／Ｗ、半導体メモリ（具体的には、マスクＲＯＭ、ＰＲＯＭ（Programmable ROM）、ＥＰＲＯＭ(Erasable PROM)）、フラッシュＲＯＭ、ＲＡＭ(Random Access Memory)を含む。また、プログラムは、様々なタイプの一時的なコンピュータ可読媒体（transitory computer readable medium）によってコンピュータに供給されてもよい。一時的なコンピュータ可読媒体の例は、電気信号、光信号、及び電磁波を含む。一時的なコンピュータ可読媒体は、電線及び光ファイバ等の有線通信路、又は無線通信路を介して、プログラムをコンピュータに供給できる。

以上、実施の形態を参照して本願発明を説明したが、本願発明は上記によって限定されるものではない。本願発明の構成や詳細には、発明のスコープ内で当業者が理解し得る様々な変更をすることができる。

尚、本発明は上記実施の形態に限られたものではなく、趣旨を逸脱しない範囲で適宜変更することが可能である。

１１、３１：バックドア検査装置
１１１、３１１：バックドア推定手段
１１１１：機能推定手段
１１１２：構造解析手段
１１１３：分析手段
１１２、３１２：データフロー解析手段
１１３、３１３：バックドア判定手段
Ｃ１００、Ｃ１０１、Ｃ１０２、Ｃ１０３：コード

Claims (10)

1. ソフトウェアの機能と構造とを解析し、バックドアであると推定される推定コードを前記ソフトウェアから特定するバックドア推定手段と、
   機密データの前記ソフトウェア内での伝搬状況を解析し、前記機密データを処理する機密コードを前記ソフトウェアから特定するデータフロー解析手段と、
   前記推定コードと前記機密コードとに基づいて、前記バックドアである可能性が前記推定コードよりも高いバックドアコードを特定するバックドア判定手段と、
   を備えるバックドア検査装置。
2. 前記バックドア判定手段は、前記推定コードと前記機密コードとの共通部分を、前記バックドアコードとして特定する、
   請求項１に記載のバックドア検査装置。
3. バックドア推定手段は、前記ソフトウェアから前記バックドアの発動条件に関する発動コードを特定し、
   前記データフロー解析手段は、前記発動コードを設定して前記バックドアを実行させ、前記バックドアの実行中に前記機密コードを特定する、
   請求項１又は２に記載のバックドア検査装置。
4. 前記機密データを外部から取得する取得手段と、
   前記機密データを記憶する記憶手段と、
   をさらに備える、
   請求項１から３のいずれか１つに記載のバックドア検査装置。
5. 前記機密データは、前記ソフトウェアがインストールされる機器のユーザ情報、及び前記機器に入力されるパスワードのうち少なくとも１つを含む、
   請求項１から４のいずれか１つに記載のバックドア検査装置。
6. 前記データフロー解析手段は、前記機密データの前記ソフトウェア内での伝搬経路に基づいて前記機密コードを特定する、
   請求項１から５のいずれか１つに記載のバックドア検査装置。
7. 機密データのソフトウェア内での伝搬状況を解析し、前記機密データを処理する機密コードを前記ソフトウェアから特定するデータフロー解析手段と、
   前記機密コードの機能と構造とを解析し、バックドアであると推定される推定コードを前記機密コードから特定するバックドア推定手段と、
   前記推定コードを、前記バックドアである可能性が前記機密コードよりも高いバックドアコードとして特定するバックドア判定手段と、
   を備えるバックドア検査装置。
8. バックドア推定手段は、前記ソフトウェアから前記バックドアの発動条件に関する発動コードを特定し、
   前記データフロー解析手段は、前記発動コードを設定して前記バックドアを実行させ、前記バックドアの実行中に前記機密コードを特定する、
   請求項７に記載のバックドア検査装置。
9. バックドア検査装置が、ソフトウェアの機能と構造とを解析し、バックドアであると推定される推定コードを前記ソフトウェアから特定することと、
   前記バックドア検査装置が、機密データの前記ソフトウェア内での伝搬状況を解析し、前記機密データを処理する機密コードを前記ソフトウェアから特定することと、
   前記バックドア検査装置が、前記推定コードと前記機密コードとに基づいて、前記バックドアである可能性が前記推定コードよりも高いバックドアコードを特定することと、
   を備えるバックドア検査装置の方法。
10. ソフトウェアの機能と構造とを解析し、バックドアであると推定される推定コードを前記ソフトウェアから特定することと、
    機密データの前記ソフトウェア内での伝搬状況を解析し、前記機密データを処理する機密コードを前記ソフトウェアから特定することと、
    前記推定コードと前記機密コードとに基づいて、前記バックドアである可能性が前記推定コードよりも高いバックドアコードを特定することと、
    をコンピュータに実行させるプログラム。

Images