特許ウォッチ

公開番号2024091158
公報種別公開特許公報(A)
公開日2024-07-04
出願番号2022207655
出願日2022-12-23
発明の名称電子制御装置、プログラム、及びプログラム生成方法
出願人株式会社デンソー
代理人個人,個人
主分類G06F 21/55 20130101AFI20240627BHJP(計算;計数)
要約【課題】
DFI技術を用いてバッファオーバーフロー攻撃を検知しながら、プログラム実行時のオーバーヘッドを抑制する。
【解決手段】
メモリ101と、前記メモリの特定領域に、特定データを書き込むことを予定している第1のプログラムコードと、前記特定領域から前記特定データを読み出すことを予定している第2のプログラムコードと、を含むプログラムを実行する演算部103と、を有する電子制御装置100において、前記特定データが所定の重要度以上である場合、前記プログラムは、前記特定領域にデータが書き込まれた際に用いられたプログラムコードを示すコード情報を保存する第1の工程と、前記コード情報が前記第1のプログラムコードに含まれるか否かを判定する第2の工程と、前記コード情報が前記第1のプログラムコードに含まれる場合に前記第2のプログラムコードを実行する第3の工程と、を有する。
【選択図】図2
特許請求の範囲【請求項１】
メモリ（１０１）と、
前記メモリの特定領域に特定データを書き込むことを予定している第１のプログラムコードと、前記特定領域から前記特定データを読み出すことを予定している第２のプログラムコードと、を含むプログラムを実行する演算部（１０３）と、
を有する電子制御装置（１００）であって、
前記特定データが所定の重要度以上である場合、前記プログラムは、
前記特定領域にデータが書き込まれた際に用いられたプログラムコードを示すコード情報を保存する第１の工程と、
前記コード情報が前記第１のプログラムコードに含まれるか否かを判定する第２の工程と、
前記コード情報が前記第１のプログラムコードに含まれる場合に前記第２のプログラムコードを実行する第３の工程と、を有する、
電子制御装置。
続きを表示（約 1,200 文字）【請求項２】
前記特定データが所定の重要度以下である場合、前記プログラムは、
前記第１の工程及び前記第２の工程を経ずに前記第２のプログラムコードを実行する第４の工程を有する、
請求項１記載の電子制御装置。
【請求項３】
前記第１の工程は、前記第１のプログラムコード、及び／又は前記特定領域である第１の領域外の第２の領域に他のデータを書き込むこと予定している第３のプログラムコード、を実行する第５の工程後に行われる、
請求項１記載の電子制御装置。
【請求項４】
前記他のデータは、前記所定の重要度以上のデータである、
請求項３記載の電子制御装置。
【請求項５】
前記特定データは前記所定の重要度以上のデータであり、
前記メモリはさらに、前記特定領域である第１の領域外に、前記所定の重要度以下のデータを保存する第２の領域を有し、
前記第２の領域内でアドレスが小さい方から大きい方へと順にデータが格納される場合、前記第１の領域を示すアドレスは前記第２の領域を示すアドレスよりも小さく、
前記第２の領域内でアドレスが大きい方から小さい方へと順にデータが格納される場合、前記第１の領域を示すアドレスは前記第２の領域を示すアドレスよりも大きい、
請求項１記載の電子制御装置。
【請求項６】
前記特定データは前記所定の重要度以上のデータであり、
前記メモリはさらに、前記特定領域である第１の領域外に、前記コード情報を保存するコード情報領域を有し、
前記第１の領域内でアドレスが小さい方から大きい方へと順にデータが格納される場合、前記コード情報領域を示すアドレスは前記第１の領域を示すアドレスよりも小さく、
前記第１の領域内でアドレスが大きい方から小さい方へと順にデータが格納される場合、前記コード情報領域を示すアドレスは前記第１の領域を示すアドレスよりも大きい、
請求項１記載の電子制御装置。
【請求項７】
前記コード情報が前記第１のプログラムコードに含まれない場合、前記演算部は前記第２のプログラムコードを実行しない、
請求項１記載の電子制御装置。
【請求項８】
前記コード情報が前記第１のプログラムコードに含まれない場合、前記演算部は前記プログラムの実行を停止する、
請求項１記載の電子制御装置。
【請求項９】
当該電子制御装置は移動体に搭載されており、
前記特定データの重要度は、前記移動体の安全性に応じて定められるものである、
請求項１記載の電子制御装置。
【請求項１０】
前記特定データの重要度は前記移動体の状態に応じて変化する、
請求項９記載の電子制御装置。
（【請求項１１】以降は省略されています）
発明の詳細な説明【技術分野】
【０００１】
本発明は、主として自動車に搭載される電子制御装置であって、バッファオーバーフロー攻撃に対して耐性を有するプログラムを搭載する電子制御装置、当該電子制御装置に搭載されたプログラム、及び、プログラムの生成方法に関する。
続きを表示（約 2,100 文字）【背景技術】
【０００２】
近年、車車間通信や路車間通信のようなＶ２Ｘをはじめ、運転支援や自動運転制御を行う技術が注目されている。これに伴い、車両が通信機能を備えるようになり、いわゆる車両のコネクティッド化が進んでいる。この結果、車両が不正アクセスといったサイバー攻撃を受ける可能性が増加している。そのため、車両に対するサイバー攻撃を受けた場合には攻撃を受けたことを検知する、といった対応策を講じることが必要とされている。
【０００３】
車両が外部から受ける攻撃の一つとして、バッファオーバーフロー攻撃が知られている。バッファオーバーフロー攻撃は、攻撃者によって大量のデータが送信され、入力されることにより、メモリ領域内のバッファがオーバーフローするとともに、予め用意された領域を超えてデータが書き込まれることで、プログラムに誤動作を発生させる攻撃として知られている。例えば、バッファオーバーフロー攻撃によってスタックに保存されたリターンアドレスを格納するメモリ内のデータが変更され、変更後のリターンアドレスによって攻撃者が送り込んだプログラムに制御が移ることにより、コンピュータの制御が奪われてしまうことが起こりうる。
【０００４】
バッファオーバーフロー攻撃に対しては様々な解決策が提案されている。その一つに、攻撃者がリターンアドレスを変更することを許容するが、損害が生じる前に攻撃によるリターンアドレスの変更を検知する、制御フローインテグリティ（ＣＦＩ）と呼ばれる技術がある。このＣＦＩ技術では、プログラムコードにおいて関数から別の関数へとコール又はリターンする際に、コール先又はリターン先の関数のＩＤをチェックし、コール先又はリターン先の関数のＩＤが許可されている場合にコール／リターン処理を実行するものである。
【０００５】
上述したように、ＣＦＩ技術はコール／リターン関係である制御フローを監視する手法であるため、正規の制御フローに従ったバッファオーバーフロー攻撃が行われた場合、攻撃によってデータが変更されたことを検知することはできない。そこで、特許文献１には、正規の制御フローに従ってデータが変更されたことを検知する手法として、データフローインテグリティ（ＤＦＩ）技術が開示されている。
【先行技術文献】
【特許文献】
【０００６】
米国特許公開２００９／０２８２３９３号公報
【発明の概要】
【発明が解決しようとする課題】
【０００７】
ＤＦＩ技術では、プログラムコードに含まれるデータの読み書きの流れであるデータフローを監視することによって、バッファオーバーフロー攻撃によって、メモリの領域内に本来予定されていないデータが書き込まれたことを検知する。そのため、正規の制御フローに従っていない攻撃はもちろん、正規の制御フローに従った攻撃によってデータが書き換えられたことも検知することができる。
【０００８】
ところが、ＤＦＩ技術は、ＣＦＩ技術と比較して、実施に伴うオーバーヘッドの増加が著しい。そこで、本発明の目的は、ＤＦＩ技術を用いてプログラム実行中のデータフローを監視し、バッファオーバーフロー攻撃によってデータが不正に書き換えられたことを検知するとともに、プログラム実行時のオーバーヘッドの増加を抑制することにある。
【課題を解決するための手段】
【０００９】
本開示の一態様による電子制御装置は、メモリ（１０１）と、前記メモリの特定領域に、特定データを書き込むことを予定している第１のプログラムコードと、前記特定領域から前記特定データを読み出すことを予定している第２のプログラムコードと、を含むプログラムを実行する演算部（１０３）と、を有する電子制御装置（１００）であって、前記特定データが所定の重要度以上である場合、前記プログラムは、前記特定領域にデータが書き込まれた際に用いられたプログラムコードを示すコード情報を保存する第１の工程と、前記コード情報が前記第１のプログラムコードに含まれるか否かを判定する第２の工程と、前記コード情報が前記第１のプログラムコードに含まれる場合に前記第２のプログラムコードを実行する第３の工程と、を有する。
【００１０】
本開示の他の態様によるプログラムは、メモリの特定領域に、特定データを書き込むことを予定している第１のプログラムコードと、前記特定領域から前記特定データを読み出すことを予定している第２のプログラムコードと、を含むプログラムであって、前記特定データが所定の重要度以上である場合、当該プログラムは、前記特定領域にデータが書き込まれた際に用いられたプログラムコードを示すコード情報を保存する第１の工程と、前記コード情報が前記第１のプログラムコードに含まれるか否かを判定する第２の工程と、前記コード情報が前記第１のプログラムコードに含まれる場合に前記第２のプログラムコードを実行する第３の工程と、を有する。
（【００１１】以降は省略されています）

関連特許