ブロックチェーンセキュリティとは？ 完全ガイド
財務記録や医療記録など、機微なデータの管理と守りは、デジタル情報管理において大きな課題となることがあります。
ファイアウォールなどで守られたデータベースにアクセスできる環境は有用ですが、これがブロックチェーン技術の基本となる考え方です。この仕組みは、記録がカードの家のように築かれており、1枚でも変更されると全体が崩れる可能性があると捉えるものです。
しかし、これは暗号通貨の安全性の表面的な部分に過ぎません。プラットフォームに潜むサイバー脅威を認識し、対策を講じることも重要です。本記事では、プライベートデータを守るための仕組みと、セキュリティ強化の方法について解説します。
How Does It Work?
これらは、コンピュータシステム内の各ノードで共通して利用されるフォルダまたは台帳です。デジタルなフォルダとして証拠を蓄えます。Bitcoinのような暗号通貨システムでは、取引記録を守り、分散管理する役割を果たします。信頼できる第三者を介さず、データの正確性とプライバシーを維持します。
ブロックチェーンはデータ構造が通常のデータベースと異なります。データはブロックに格納され、ブロックが満杯になると確定し、前のブロックに連結されることでチェーンを形成します。その後の新たな情報は、新しいブロックにまとめられ、順次チェーンに加えられます。
通常、カタログはデータを表形式に整理しますが、Bitcoinネットワークでは数値が連続的にまとめられます。この形式により、分散しても改変不可能な数値の時系列が形成されます。ブロックが完成すると、その出来事が時系列で永久に記録され、各ブロックには追加時に正確なタイムスタンプが付与されます。
What Is Blockchain Security?
分散型台帳技術（DLT）は、機関への社会的信頼を高めることを目指しています。暗号通貨は、CPUのネットワーク上で取引を記録する分散型台帳システムです。ネットワーク参加者は、暗号化された契約情報を記録・共有・検証することができます。
この技術は、データを「ブロック」として収集・保存し、各ブロックに格納できる情報量は限られています。ブロックが満杯になると、前のブロックに連結され、連続的な記録が形成されます。
ブロックチェーンネットワークの包括的なリスク管理には、詐欺やサイバー攻撃から守るための保証サービス、サイバーセキュリティ基準、ベストプラクティスが含まれます。
暗号技術で用いられるデータ構造は、統合性、暗号化、分散化に基づいており、本質的に安全です。すべてのデータが連結され、いずれかを変更するのは非常に困難です。また、合意プロセス（認可されたユーザー）によって各ブロックの取引が検証・認証されるため、正当性が保たれます。そのため、単一障害点が存在せず、過去の取引の変更は不可能です。
いずれにしても、ブロックチェーンセキュリティ認証による保護は、その基本的な安全構造を超えるものです。
Different Types of Blockchain
従来のデータベースやDLTとは異なり、セキュリティ向上のために3種類のブロックチェーンが存在します。
- Public
パブリックブロックチェーンでは、すべての取引の詳細に誰でもアクセス可能です。代表例として、EthereumやBitcoinがあります。
- Private
プライベートブロックチェーンは、取引データを守り、ネットワークへのアクセスが許可されたメンバーにのみ共有されます。HyperledgerやR3のCordaがその例です。
- Consortium
コンソーシアムブロックチェーンは、プライベートブロックチェーンとは異なり、暗号プロトコルが一社ではなく複数の組織によって運営されます。中央銀行や政府、供給網など、あらゆる組織がメンバーとなる可能性があります。
Blockchain Security Issues
分散型台帳は改ざん不可能とされていますが、実際にはハッキングされる可能性があります。以下に、暗号通貨に関連する潜在的なプライバシー問題や脆弱性、さらにはブロックチェーンが侵入された実例を挙げます。
この攻撃名は、多重人格に苦しむ架空のキャラクター「Sybil」に由来します。大量の無効なログイン試行や盗まれた認証情報を用いて、システムを混乱させる攻撃が行われます。
場合によっては、ハッカーが侵入したブロックチェーンシステムを完全に掌握する恐れがあります。
フィッシングは、信頼できる情報源を装い個人から機密情報を引き出す社会工学の一種です。古くからあるハッキング手法で、電話、メール、テキストメッセージなどさまざまな手段で行われます。
これらのフィッシング行為は、フィンテック利用者にブロックチェーンネットワークへアクセスするためのリンクをクリックさせたり、ブロックチェーンアカウントに紐づく固有IDの入力を促す場合があります。
- Routing Attacks
ルーティング攻撃には複数の種類がありますが、代表的なものはサービス拒否攻撃と中間者攻撃です。いずれも、ネットワーク（特に脆弱なWi-Fi）上のデータをハッカーが内密に傍受する手法です。
許可されたブロックチェーンユーザーがオンラインの際、攻撃者は脆弱なネットワーク上で待機します。許可されたユーザーは、自身の取引や情報が監視されていることに気付かない場合があり、悪用される恐れがあります。
- 51% Attacks
各ブロックにおける新規取引の正当性を、マイナーが暗号課題の解決により確認するブロックチェーンは、この脆弱性に特に影響を受けやすいです。全体の計算能力の半分以上を掌握されれば、Bitcoinのユーザーがネットワークを制圧する可能性があります。
新たな取引がチェーンに追加されるのを阻止するためには、多くのBitcoinマイナーが同時にこの目的で稼働する必要がありますが、そのような状況は極めて考えにくいものです。
- Code Exploitation
コード悪用とは、台帳の利用者あるいは利用者を装ったハッカーが、暗号コードの脆弱性を発見し、悪用する行為です。
2016年、分散型自律組織と呼ばれるベンチャーキャピタル基金から、ハッカーにより5000万ドル以上が盗まれる事例がありました。
- Stolen Keys
念のため、各ブロックチェーンネットワークの参加者には、IDとして機能するプライベートキーが発行されます。これらの鍵は盗まれる可能性があり、許可されたユーザーの鍵にアクセスできたサイバー犯罪者が、ブロックチェーン内のデータを変更しようとする恐れがあります。
例えば、2021年には暗号通貨ユーザーが1億4000万ドル相当のBitcoinを盗まれた事例があり、調査では鍵の盗難が原因とされています。
- Computer Hackings
一見すると安全に思えますが、分散型台帳技術も他のシステム同様、コンピュータハッキングのリスクがあります。悪意ある人物が、許可されたブロックチェーンネットワークにアクセスする可能性も否定できません。
イングランドに拠点を置く暗号通貨企業Indexed Financeは、2021年10月、ティーンエイジャーのコンピュータ天才によるハッキングで1600万ドルを失いました。
Blockchain Security for The Organization
ビジネス利用向けのブロックチェーンモデルを構築する際は、技術スタック全体のセキュリティ、ネットワーク権限、規制を考慮する必要があります。従来のブロックチェーンセキュリティ監査対策と、ブロックチェーン技術固有の施策を組み合わせることは、どの企業にとっても重要です。企業向けブロックチェーンソリューションには、以下のようなセキュリティ対策が含まれます。
- アイデンティティ管理
- 管理の中核
- データの秘密保持
- 安全な通信
- スマートコントラクトの守り
- 取引の承認
規制要件やセキュリティ基準を満たし、企業目標の達成を補助するソリューションを設計する際は、専門家の協力を得ることも検討してください。希望する暗号通貨ソリューションが、実用段階のプラットフォーム上で構築可能か、オンプレミスまたは選択するクラウド環境で展開できるかを確認しましょう。
Blockchain Penetration Testing
BPT（ブロックチェーンペネトレーションテスト）は、倫理的ハッカーやセキュリティ専門家が実施する、ブロックチェーンベースのアプリやサービスのセキュリティ評価です。
ブロックチェーンソリューションのペネトレーションテストの主な目的は、セキュリティ上の欠陥や設定ミスを発見することにあります。これにより、企業はブロックチェーンセキュリティの現状を把握し、潜在的な脆弱性に対処する機会を得られます。簡単に言えば、3つのフェーズに分けられます。
- Stage 1
このステージの目的は、運用上およびビジネス上の要求を理解・検証することです。この段階では、以下の事項を行います。
- ブロックチェーン内部の仕組みを学ぶ。
- 社内の潜在的な攻撃ポイントを特定する。
- 公開情報から脆弱性に関する情報を集める。
- スマートコントラクト取引の背景を検証する。
- セキュリティテストの目的を設定する。
- テスト計画を作成する。
- コンプライアンス準備状況を確認する。
- テスト環境を整備する。
- テスト用データを生成する。
- Stage 2
このフェーズでは、前段階で収集した情報を基に、業界のベストプラクティスや要求と比較しながら、ブロックチェーンの成熟度を評価するための実際のテストを行います。
この段階には、以下の要素が含まれます。
- APIの安全性を検証する。
- 機能の確認を行う。
- ブロックチェーンのセキュリティ解析。
- 静的テストと動的テストの実施。
- ネットワークの脆弱性評価。
- プログラムの脆弱性評価。
- ブロックチェーンの有効性テスト。
- テスト結果の記録。
- Stage 3
ディスカバリーフェーズで発見された脆弱性やセキュリティ欠陥は、エクスプロイト段階で実際に試されます。誤検知を避けるため、多くの場合手作業で行われ、対象からの情報抽出や耐性の監視も実施されます。
このフェーズは、以下の項目で構成されます。
- セキュリティ脆弱性の確認。
- セキュリティ欠陥の突き止め。
- ネットワークのペネトレーションテスト。
- Webアプリのペンテスト。
- ソーシャルエンジニアリング攻撃のテスト。
- 結果の分析と記録。
Blockchain Security Best Practices
- 企業契約の法的枠組みを採用し、検証契約を明示・適用する。
- IAM管理で、ブロックチェーン内のどのデータに誰がアクセスできるかを制御する。
- OAUTH、OIDC、SAML2などの適切なトークンを使用し、利用者の認証・確認・承認を行う。
- 識別用鍵は安全な場所に保管する。
- 適切な業務ロジックを適用後、特権アクセス管理（PAM）ソリューションで暗号通貨台帳のエントリーを守る。
- APIのベストプラクティスを用い、API取引の安全を保持する。
- 分類戦略により機微な情報やユーザー情報を守る。
- 暗号化ツールで個人データを守る。
- 他システムとのデータ交換には共通TLSを適用する。
- 複数の認証方法を採用する。
- 暗号鍵管理の安全な体制を維持する。
- セキュリティインシデントおよびイベント管理（SIEM）を備えたハードウェアセキュリティモジュール（HSM）を利用する。
- 信頼性のある脆弱性分析およびペネトレーションテスト（VAPT）を実施する。
- ブロックチェーン系アプリにおけるデータ損失や盗難を防ぐため、セキュリティのギャップを埋める。
- ブロックチェーンソリューションを認証し、できる限り安全な状態にする。
- ソリューションのプライバシーと適合性の制御を実施する。
Transaction Protection Based on API From Wallarm
ブロックチェーンは安全でしょうか。Wallarmの信頼できる包括的なAPIセキュリティツールを利用すれば、貴社のウェブサイト、マイクロサービス、APIをOWASP API Top 10やボット、不正なアプリ利用といった脅威から迅速に守ることが可能です。
Wallarmの自動ルール設定不要と極めて低い偽陽性率は大きな特徴です。信頼できる即時のAPIセキュリティ欠陥解析と、実行可能な対策が提供されます。無料デモとトライアル期間で、その性能を実際にお試しいただけます。RESTfulやSOAPベースのAPIなど、多様なAPIを守ることができます。
WallarmのAPIセキュリティチームは、あらゆる環境でAPIを守る体制が整っています。どのような展開方法でも、WallarmはAWS、GCP、Azure、IBM Cloudなど各クラウド環境でのAPIセキュリティの知見を提供します。
Conclusion
Bitcoinや暗号通貨の普及により、ブロックチェーンは多彩な活用が期待され、人気を博しました。サイバーセキュリティ分野におけるブロックチェーンは、企業や政府の業務をより正確かつ効率的に、仲介者を減らして安全かつコスト効果の高いものにする可能性を秘めています。
ブロックチェーンが3つの十年を迎える中、従来型組織もいずれは採用するでしょう。NFTや資産のトークン化は着実に成長しており、今後も発展が続くと見込まれます。
FAQ
参考資料
最新情報を購読
