「ゼロトラスト」時代にHPEが提言、新たなファームウェアセキュリティのかたちとは

6月12日から14日にかけての3日間、「Interop Tokyo 2019」が幕張メッセにて開催された。14日には、「新たな脅威のトレンドに対応する、ファームウェア視点のセキュリティ対策」と題して、日本ヒューレット・パッカードハイブリッドIT技術本部ソリューションセンターの崔容準氏がセッションを行った。

日本ヒューレット・パッカードハイブリッドIT技術本部ソリューションセンター崔容準（チェヨンジュン）氏

世界中でサイバー攻撃の脅威が増大しているのを受けて、アメリカ国立標準技術研究所（NIST）が示す「NIST800-171」に代表されるような、新たな情報保護のための指針に注目が集まっている。また、サプライチェーンリスクをはじめ、サイバー攻撃の標的としてハードウェアが狙われるようになってきており対策が急務となっている。崔氏のセッションでは、これらの新たな脅威に対抗するための、ハードウェア選定に求められる新標準のあり方などについて語られた。

新たな攻撃対象はハードウェアやファームウェアに

冒頭で崔氏は、ネットワークセキュリティアーキテクチャの新しい概念として最近よく目にする「ゼロトラスト」について言及した。ゼロトラストとは、「外からの攻撃は防御し、ファイアウォール内はすべて信頼する」という、従来の境界防御に対する考え方の弱点を受けて登場した概念で、ファイアウォールの内側であっても信頼せず、常に検証を繰り返し続けることで安全性を確保するというものである。

ゼロトラストとは

崔氏は言う。「従来の境界防御では、従業員が意図的に穴を開けたり、データセンター内の物理的な侵入を許してしまうといった、ファイアウォール内に一度入られてしまうと攻撃を防ぐのが難しい状況となっています。そこでいま、ゼロトラストに注目が集まっているわけですが、日本ヒューレット・パッカード（HPE）では、更にハードウェアを内側から守る“ハードウェアのゼロトラスト”を提唱しています。内側から信頼を広げることで、サプライチェーンやエッジにあるサーバーなどのリスクを抑えることができるためです」

ここで着目したいのが「攻撃者の視点」だ。攻撃者が狙う場合、なるべくセキュリティ対策が行き届いていない、つまり攻撃コストが少なくすみ、見つかりにくいところを狙う。

「その狙われやすい領域が、ハードウェアやファームウェアに移ってきているのです。企業側のこれまでの視点はファイアウォールなどネットワークに向けられていましたが、いまや攻撃者にとってセキュリティ対策の手薄なハードウェアやファームウェアというのは、うってつけの対象と言っていいのです」（崔氏）

そもそもファームウェアとは、コンピューター（ハードウェア）を制御するために必須のプログラムであるが、なぜファームウェアが攻撃者にとって“魅力的”なのだろうか。――その理由としては、悪意あるコードを埋め込む場所として理想的であることが挙げられる。

なぜならば、OSの起動前に実行されるためコントロールがしやすく、システムボード上のチップや、組込装置上で実行可能であるうえ、検知が非常に困難であるためだ。そして一度攻撃を受ければ、マザーボードを交換しなければいけないといった、ハードウェアのメンテナンス作業が必要になることがほとんどだ。

このような背景を受けて、最新OSである「Windows Server 2019」もセキュリティ機能に注力しており、ゼロトラストベースのセキュリティ設計がなされている。しかしながら、全体から見た際に、ハードウェアやファームウェアには十分な対策がされておらず、こうしたインフラストラクチャのセキュリティがリスク要因となってしまっているのだ。

そこで、先行した動きを見せているのがアメリカ当局である。NISTが示す「SP800シリーズ（米国の政府機関がセキュリティ対策を実施する際に利用することを前提としてまとめられた文書）」における「NIST SP 800-147/800-193」は、それぞれサーバーに対するBIOS保護のガイドラインとプラットフォーム・ファームウェアの復旧能力についてのガイドラインとなっているのだ。

「NISTの提言こそがグローバルのセキュリティスタンダードであると、HPEとしては考えています。そのため当社では、アメリカ連邦捜査局（FBI）とも協力して新しいセキュリティ機能も開発しています」と崔氏は強調した。

講演会場の様子

“シリコンレベル”の信頼性を実現するHPEのアプローチ

プラットフォーム・ファームウェアの復元ガイドラインである「NIST SP 800-193」では、「ファームウェアの『保護』から破損・改ざんの『検知』、『復旧』までを行えないといけない」とされている。このガイドラインへの準拠を考慮して設計されたのが、「HPE ProLiant Gen10 サーバープラットフォーム」だ。

HPE ProLiant Gen10 サーバープラットフォーム

その高いセキュリティの秘密は「iLO(Integrated Lights-Out)」にある。これは、HPE ProLiant Gen10 サーバープラットフォームに内蔵されている“小型コンピューター”で、サーバー自身のリソース(CPU、メモリ、ストレージ、ネットワーク)とは独立した専用ASIC（集積回路）となっている。このiLOが、リモート操作はもちろん、サーバーの導入から解析までのライフサイクル全般をカバーするのだ。

「防御・検知・復旧まで全ライフサイクルにわたって保護するというのが『HPE Secure Compute Lifecycle』のコンセプトであり、自社シリコンチップ『iLO 5』にRoot of Trustを埋め込むことで『HPE Silicon Root of Trust（シリコンレベルの信頼性）』を実現しています」と崔氏は解説した。

他社のRoot of Trustでは、電源が入ったと同時にファームウェアが起動してBIOS、OSを立ち上げていくというブートシーケンスを採用している。これに対しHPE Silicon Root of Trustでは、まず管理チップ自身のファームウェアの正当性を検証して、それが正しければBIOSやブートローダーを検証していくといったように、すべての安全を検証するゼロトラストの思想に基づいたシーケンスがとられているのである。その高い信頼性は、外部機関によるペネトレーションテストでHPE ProLiant Gen10サーバープラットフォームが他社と比べて優位な評価を獲得No.1を獲得するほどだという。

HPE Silicon Root of Trust：他社のRoot of Trustとの違い

HPEは、HPE Silicon Root of Trustを実現するに当たり、自社設計・管理の重要性に重きを置いているという。自社で設計・管理している管理チップ内に、ファームウェアの正常性確認ロジックを製造段階で物理的に組み込むため、ロジック自身の改ざんは不可能となっている。また、サーバー起動時にはASICが起点となり、その後に続くファームウェアの改ざんがないことを確認してから起動するなど、OSレベル以上の対策では検知のできないファームウェアレベルの脅威を排除することに成功している。

最後に崔氏は、「サーバーとそのファームウェアはシステムの根幹と言えます。こうした深奥部へのサイバー攻撃の脅威に対し今から備える必要があります。サプライチェーンリスクが叫ばれる昨今、透過的なファームウェアセキュリティの仕組みによって高いセキュリティをぜひ実現していただきたいです」と訴えてセッションを締めくくった。

Interop Tokyo 2019の会場内全域をカバーする独自のネットワーク「ShowNet」でも、HPE ProLiant Gen10 サーバープラットフォームがセキュアに運用されている。ファームウェアの安全性がシステム運用中も自動的に検査される。また、エッジコンピューティングに対応した、HPE Edgeline EL300コンバージドエッジシステムが、会議棟の無線LANシステムの品質測定システムとして運用された。写真は、ShowNet出展に関する責任者のHPE 杉渕泰史氏