クラウドサービスの浸透、テレワークの普及、エッジ(端末)におけるデバイスの増加に伴い、PCやモバイル端末といったエンドポイントの重要性は急激に高まっています。これに比例するように、企業のITインフラが直面するリスクも急増しています。→過去の「デバイスをライフサイクル全体で保護 - デバイスセキュリティという考え方」の回はこちらを参照。
特に懸念されているのが、製造・輸送・保管などのサプライチェーンを狙った攻撃です。従来のセキュリティは主にOSやアプリケーション、ネットワーク層に焦点が当てられてきましたが、近年は検知が困難なファームウェアやハードウェア層を標的とした高度な攻撃が増加しています。
NIST SPECIAL PUBLICATION 1800-34B～Validating the Integrity of Computing Devicesでは、Supply Chain Riskについて下記のように記載されています。
-
NISTによるSupply Chain Riskの考え方
このような背景のもと注目されているのが、「プラットフォーム証明書(Platform Certificate)」という技術です。これは、デバイスの構成と状態を暗号的に証明・検証する仕組みであり、導入前にデバイスの真正性を保証するための重要な基盤技術です。今回はその基本と導入効果を説明し、本連載を締めくくりたいと思います。
プラットフォーム証明書とは？
プラットフォーム証明書とは、PCやサーバなどを工場から出荷する際に、ハードウェア構成とセキュリティ状態を記録し、それが正規の状態であることを暗号的に保存・保証する電子証明書です。証明書は製造時に生成され、IT管理者が後からその真正性を検証することが可能になります。
プラットフォーム証明書には以下の情報が含まれます。 - プロセッサ、メモリ、ストレージなどの構成情報 - BIOS/UEFIファームウェアのバージョンとハッシュ値 - TPM(Trusted Platform Module)やセキュリティチップの有無 - 製造番号、工場コード、ロット番号 - デジタル署名による改ざん検知機構
これにより、IT部門は手元に届いた「端末が本当に正規のものか」、自社に「導入前に改ざんされていないか」を工場出荷時と比較して、客観的に判断することができます。
Ankerモバイルバッテリーがリコール
