●科学技術ニュース●NEC、システム全体のコンピュータ機器の真正性を遠隔から確認可能とする技術の実証に国内で初めて成功

　NECは、コンピュータ機器の信頼性と安全性を高める国際業界標準規格を制定する業界団体「Trusted Computing Group」(TCG)が、2024年2月に開催したOpen Workshopに、サプライチェーンにおけるサイバーセキュリティ対策として、遠隔からコンピュータ機器の改ざんを検知可能とする「リモート検証基盤」を公開した。

　同リモート検証基盤を活用して、Open Workshopに参加した企業・大学のサーバやノートパソコン、IoTデバイスなどの様々なコンピュータ機器について遠隔からの真正性(コンピュータのハードウェア構成およびソフトウェアが正常な状態であること)の確認に成功した。

　複数メーカの機器が混在するマルチベンダ環境での遠隔からの真正性確認の成功は国内初となる。

　同リモート検証基盤は、Internet Engineering Task Force(IETF：インターネットで利用される各種技術の標準化を推進している国際任意団体)が標準化を進めているRemote ATtestation ProcedureSの概念を実現したセキュリティ技術であり、NECの防衛事業部門と株式会社サイバーディフェンス研究所で開発した。

　TCGで仕様策定し標準化されたハードウェアセキュリティ技術であるTPM(TCGが規格化したセキュリティモジュール。安全な鍵管理、暗号化機能を提供)を使うことで、メーカに依存せずにシステム上のコンピュータ機器をセキュアに管理し、サプライチェーンにおけるセキュリティ対策のコストを低減できる。

　同リモート検証基盤では、サーバやノートパソコン、IoTデバイスなどに組み込まれたTPMに、信頼の基点となるハードウェア情報とソフトウェア情報を埋め込んだプラットフォーム証明書(TCGが規格化したデバイスの構成証明書)を格納し、同時に同じ情報を出荷時の正しいデータ(正解値)として検証システムに登録する。

　出荷後に構築されたシステムにおいて、プラットフォーム証明書の情報と検証システムに事前登録された正解値と比較することで、OSが起動するまでの各ステップの状態を検証し、改ざんを検知することができる。

　ハードウェアレベルでコンピュータ機器の構成全体の健全性をリモートで確認できるため、コンピュータ機器に対する改ざんが極めて困難となる他、システム全体の各コンピュータ機器の真正性を自動で確認することができる。

　これにより、特にファームウェアレベルのマルウェアや不正なハードウェアの混入など、生産時を含むサプライチェーン上で発生する脅威リスクからシステム全体を保護することができる。

　昨今、経済安全保障の背景から日本を含むグローバルで求められている、機器等の調達時におけるサプライチェーン上で不正な変更がなされていないかを証明する要求事項に対して、有効な対策となる。＜NEC＞