PSA は IoT セキュリティの救世主になり得るか

2017.11.06

業界に影響力を持つ企業が、脆弱な IoT (モノのインターネット) セキュリティに秩序をもたらす時がようやく訪れるかもしれません。



その待望の救世主とは、ARM TechCon 2017 で 2018 年初頭にリリースされることが発表された同社のオープンソースアーキテクチャー Platform Security Architecture(PSA)(リンク先:英語) です。



「アーキテクチャー」、「フレームワーク」、「プラットフォーム」といった用語は抽象的ではありますが、ARM のハードウェアを使用して独自の IoT 製品やサービスを開発したいと願う企業にとっては、PSA を導入することで地道で大変な作業の大部分を省略できるようになります。



ARM のエンジニアは、実際の設計に入る前にさまざまな種類の IoT デバイスに対する攻撃のモデリングを実行してから、IoT デバイスを保護する方法を編み出しました。

たとえば、スマートメーターはリモートからの攻撃に対して脆弱な IoT デバイスです。これを保護するためには、(信頼できるアーキテクチャーによって管理される強力な暗号化をベースにした) ブートアーキテクチャーで包み込み、ファームウェアの改ざんを阻止するしか方法はない、と ARM は結論付けました。



そして考え出されたのが、ARMv8-M プロセッサアーキテクチャと連携するように設計されたオープンソースの「Trusted Firmware-M」です。これを使用することで、以下が実現します。



  • ・適切な Root of Trust (RoT: 信頼の起点)
  • ・暗号化キーストアの保護
  • ・信頼できるプロセスと信頼できないプロセス間のソフトウェア分離
  • ・ファームウェアの安全な更新
  • ・チップレベルまでの簡単なデバッグ
  • ・信頼性の高い暗号乱数生成器
  • ・暗号化を円滑に実行するオンチップアクセラレーション


スマートメーターの開発者がこれと同じものを独自に開発しようとすると、技術的に複雑すぎたり、コストが大きすぎたりします。IoT 業界がさまざまなセキュリティ上の問題を抱えているのはこのためです。



そうしたセキュリティ問題が原因で起こり得る最悪の例が、昨年発生した Mirai ボットネット (ルーターや Web カメラなど、セキュリティが脆弱な IoT デバイスが乗っ取られ、構築されたボットネット) による攻撃です。



安全ではない Web カメラが 1 台であれば、それは所有者の問題です。しかし、数千台の安全ではない Web カメラが悪用され、主要なインターネットサービスに対して破壊的な DDoS 攻撃が仕掛けられた場合、それは私たち全員の問題です。


状況は非常に悪化しており、米国議会が手遅れになる前にデバイスとゲートウェイのメーカーに対して基準を課す一手段として、「Internet of Things Cybersecurity Improvement Act」(IoT サイバーセキュリティ向上法) という法案を提出するまでに至っています。義務化は難しいため、IoT デバイスにラベル付けをするラベリング制度を導入して、良いものと悪いものを選別する(リンク先:英語)必要があるかもしれません。

PSA の登場によって、状況は好転するのでしょうか?



Google の Cloud、Microsoft Azure、Cisco、Vodafone などの大手の他にも、すでに ARM キットを使用していると思われるデバイスメーカーも PSA を支援しています。増加する IoT デバイス向けのプラットフォームを提供する (もしくは提供を希望する) のは大手企業であるため、そうした大企業から推薦を受けることには大きな意味があります。

また、デバイスメーカーにとっては、これまで過小評価してきた複雑なセキュリティ問題が PSA によって解決されるため、IoT 開発でのセキュリティ強化が容易になり、コストが削減されるというメリットもあります。


なお、ARM は PSA によく似た Mbed OS (および Mbed Cloud) を 2014年に発表済みですが、こちらは ARMv7-M アーキテクチャー上で実行されます。PSA は ARMv7-M には対応していませんが、将来的には対応するものと思われます。



PSA が登場したことで、IoT のセキュリティ強化にはコストと時間がかかることが広く認識されるようになりました。


このリファレンスアーキテクチャーがオープンソースであることは事実ですが、実装できるかどうかは、(おそらく ARM が有料で提供するであろう) 証明書ベースの認証などの追加レイヤーによって決まります。



IoT セキュリティを改善するためには、IoT デバイスのすさまじい増加を可能にしてきた一方で無秩序なままのビジネスモデルを抜本的に改革しなればならないことを、デバイスメーカーおよびユーザーは肝に銘じておく必要があります。

引用元

おすすめの記事はこちら