はじめに

組込み機器のコネクテッド化に伴い、セキュリティ対策の実装が求められつつあります。日々のハッカーの攻撃手法の進歩に対し、機器メーカーの対策は遅れているのではないでしょうか?セキュアエレメントやハイエンドのシステムオンチップ(SoC)など、高度な暗号化、セキュアなオンチップのキーストレージ、電力解析攻撃対策、その他セキュリティ機能を実装する専用コンポーネントは簡単に見つけることができます。システム設計に適切に統合されたこれらのコンポーネントは、それらをホストするデバイスに強力な防御を提供します。

では、セキュリティコンポーネントが容易に利用できるのであれば、なぜコネクテッドな組み込みデバイスに対する攻撃が日常的に成功しているのでしょうか。結局のところ、電子システムに対するサイバー攻撃の事例は数えきれません。ある独立調査によると、米国のIoTデバイスに対するサイバー攻撃件数は、2019年に前年比300%と急増しています。同時に、米国では約57%IoTデバイスが中~高重大度の攻撃に対して脆弱であり、IoTエンドポイントのセキュリティ侵害1件あたりの被害額は平均900万ドルに上ると推定されています。

サイバー攻撃が成功した場合の被害額は、サービス停止による収益の損失だけではありません。その他の被害として、製品メーカーのブランドイメージダウンや、セキュリティ規制違反に対する政府当局からの懲罰の可能性、開発にかけていた高スキルかつ高価な技術リソースを緊急の復旧・修理に回さなければならない、などが挙げられます。この分野の規制も引き続き厳格化されており、IoTデバイスメーカーはコンプライアンス要件に注意を払う必要があります。EUのサイバーセキュリティ法と中国のサイバーセキュリティ法では、デバイス脆弱性の独立機関による実証を要求する幅広い要件が課されており、またカリフォルニア州の消費者プライバシー法では違反をした企業に対して1回につき2,500ドルの罰金が課されています。

しかし、これらのコストや規則にもかかわらず、侵害を受けたエンドポイントは依然として脆弱なままです。また、セキュアエレメントやセキュアSoCを超えたシステムの一部に脆弱性があることが原因となる場合もあります。このような脆弱性は、重要なコードやデータを格納している標準的な外部フラッシュメモリーにある場合が最も一般的です。

他のケースとして、システムにセキュアエレメントまたはセキュアSoCがなく、高度な保護が欠落しているために、デバイスがサイバー攻撃にさらされてしまうこともあります。

いずれの場合も、ハードウェアレベルのセキュリティを導入する際の障壁は、通常、投資コストと難易度にあります。また、決済端末や携帯電話など、金融製品を対象とした高度な決済グレードのセキュリティコンポーネントは技術的に複雑で、セキュリティ専門家ではない技術者による実装が困難であることも事実です。

しかし現在、新世代のセキュアなフラッシュメモリ製品が市場に登場し、電子決済程のセキュリティグレードの保護を必要としない組み込み機器にセキュアなハードウェア基盤を提供しています。一般的に使用される標準的なフラッシュメモリーパッケージのフットプリントとピンアウトを採用し、標準のSPI NORフラッシュ命令セットで制御されるこれらのセキュアフラッシュメモリーは、一般的な組み込み機器の設計者にとって実装が容易であるだけでなく、システムの整合性やデータプライバシーに対する攻撃から接続された機器を保護する包括的なセキュリティ機能を提供します。

メモリーデバイスにセキュリティを実装する理由

従来、不揮発性メモリはシンプルなデバイスと考えられてきました。ビットが書き込まれ、その後同じビットが読み出されます。通常、プロセッサーではなくストレージとして考えられています。

実際、コードやアプリケーションデータ用ストレージに使用されるすべてのNORフラッシュメモリーには、当然、シリアルペリフェラルインターフェースを介してメモリー操作やホストとの通信を制御するロジックが含まれています。セキュアフラッシュデバイスはこのロジックブロックの上に構築かつ拡張され、メモリー制御機能のほかにセキュリティ機能を提供します。

ウィンボンドを始めとするフラッシュメモリーメーカーは、マイクロコントローラー(MCU)やSoCにおけるフラッシュメモリーテクノロジー混載の制限を理由に、この新世代セキュアフラッシュ製品を開発しました。高度なマイクロコントローラーやSoC20nm未満のノードでのウェハ製造プロセスに移行していますが、組み込みNORフラッシュのスケーリングはそれを追随していません。これは、最新のMCUSoCではフローティングゲートフラッシュのプロセスの混載ができず、実行のための重要なソフトウェアコードの格納に十分な容量がないことを意味しています。

そのため、今日の組み込みデバイスの設計では、一般的にアプリケーションコードが外部フラッシュメモリーデバイスに保存されます。しかし、デバイスがコネクテッドな環境の、特にインターネットに接続されるIoTデバイスの場合、外部フラッシュに保存されたブートコードは攻撃を受けやすく、メモリーデバイス自体が包括的なセキュリティ機能で保護されていない限り、盗難や侵入の危険性があります。これこそが、SoC/MCUのセキュリティを補完する、セキュアなフラッシュデバイスの価値です。

セキュアフラッシュの主な機能

IoTエンドポイントで標準的な外部NORフラッシュをセキュアフラッシュに置き換える理由は、ブートコードとアプリケーションデータの完全性を保護するためです。市販されているさまざまなセキュアフラッシュデバイスは、何らかの形態のセキュアストレージを提供しています。最も基本的なこととして、このセキュリティ機能は安全で暗号化された認証を提供します。つまり、フラッシュデバイスは許可されたホストのみに読み出しと書き込みの操作を許可し、ホストSoC以外のデバイスからデータにアクセスされないように保護します。

1W77Qは、ホストSoCが侵害を受けた場合でも、クラウド上のリモート認証サービスとのセキュアなチャネルを確立し、ワイヤレスでソフトウェアを更新することができる(画像提供:ウィンボンド)

しかし、これでは限られた形のセキュリティ保護しか提供できません。多様なサイバー攻撃から保護し、EUサイバーセキュリティ法の基本的レベルおよび十分レベルのセキュリティ機能などの規制に準拠するため、ウィンボンドは、セキュアフラッシュ製品のTrustME®ファミリーに多機能なセキュアNORフラッシュメモリー、W77Qを開発・追加しました。安全な認証に加えて、W77Qは以下の機能を提供します。

 ● 耐障害性(レジリエンシー):保護、検出、回復を通じて、サイバー攻撃による無効化の試み後でも、
   IoTデバイスが既知の安全なコードに自動的に再起動できるようする
 ● 信頼の基点(ルートオブトラスト)により、ホストSoCやクラウドコンピューティングサービスなどの
   外部システムとの間で認証済み通信を可能にする
 ● セキュアなデータストレージ
 ● フラッシュメモリとクラウド上のトラストなリモート認証サービス間のセキュアなチャネルを通じて、
   ワイヤレスでのファームウェアアップデートが可能。このチャネルは、SoC自体が侵害を受けた場合でも、
   SoCから独立して、メモリが新しいバージョンのブートコードにアップデートできることを意味する(図1参照)

また、W77Qは、外部の認定ラボによって評価されています。EUGDPRプライバシー法の要件に準拠しており、EUのサイバーセキュリティ法で指定された「十分」レベルの保護を提供します。CC EAL2VAN.2)、IEC62443SESIP、およびArm Platform Security ArchitecturePSA)認証などのセキュリティ認証を取得済みです。

耐障害性(レジリエンシー)はIoTデバイスにとって特に重要であり、市場のほとんどのセキュアフラッシュ製品に欠けている機能です。公共料金のメーターなど、一部のデバイスでは物理的な侵入(改ざん)が一般的な攻撃形態であり、それに対する保護が必要とされています。発電所や軍の基地など大規模で非常に価値の高い資産は、ローカルエリアネットワークへの物理的侵入の対象となる可能性があります。

しかし、IoTデバイスの場合、主な脅威はインターネット経由のリモート接続を悪用し、インストールされているデバイス全体を攻撃するスケーラブルなサイバー攻撃です。アメリカ国立標準技術研究所(NIST)のSP 800-193規格は、このような攻撃からファームウェアや構成データを保護し、攻撃の成功を検出して回復するメカニズムを指定しています。W77Qはこの規格の準拠に必要な耐障害機能を備えています。耐障害性には3つの要素があります。攻撃からの保護、攻撃の検知、そして攻撃からの回復です(図2参照)。

2W77Qは保護と検知、回復によって、プラットフォーム健全性を常に維持する(画像提供:ウィンボンド)

不正なデバイスによるデータへのアクセスを阻止する暗号化認証などの機能により、IoTデバイスを攻撃から保護することができます。しかし、ホスト側のSoCでは攻撃が成功する可能性があるため、W77Qは攻撃が発生したことを検知する機能を持っています。例えば、コードが更新されたりアクセスされたりするたび、格納されているコードが破損していないかを自動的にチェックします。また、ホストデバイスの命令でコードをスキャンすることもできます。

攻撃が成功し、例えば、侵入を受けた認証済みのSoCがそのブートコードを破損したことをW77Qが検知した場合、自身で自動的に適切な検証を行いプラットフォームのファームウェアを回復します。これは既知の安全なバージョンにブートコードを復元する「セーフフォールバック」機能を介して行われます。このセーフフォールバック機能は、認証ウォッチドッグタイマーによってサポートされており、既知のセーフコードを使用してホストSoCを強制的にクリーンブートさせることができます。

すべての人が利用できるセキュリティ機能

ウィンボンドはW77Qの開発において、顧客が容易に導入できる、既製の多層セキュリティ機能セットを提供することを目指しました(図3参照)。W77Qでウィンボンドは以下を提供します。

 ● 事前のセキュリティ専門知識を必要としない、エンドツーエンドのすぐに使えるセキュリティ
 ● 迅速な導入
 ● セキュリティソフトウェアパートナーが提供する製品と組み合わせたトータルソリューションの構築が可能
 ● シンプルなセキュリティ認証
 ● 手頃な価格

ウィンボンドは、標準的なフットプリントの使い慣れたSPI NORフラッシュパッケージにてこの包括的なセキュリティ機能セットを提供することで、サイバー攻撃未対策のIoTデバイスが市場に出回ることのないよう貢献して参ります。

3:サイバー攻撃に対する包括的な保護には、幾重ものセキュリティ機能を実装することが必要(画像提供:ウィンボンド)

お問い合わせ / お見積もり

本製品に関してご質問、サンプル、見積もりなどの希望がある方は以下より問い合わせください。

Winbond メーカー情報Topに戻る

Winbondのメーカー情報Top ページに戻りたい方は以下をクリックください。