NECは3月4日、コンピュータ機器の信頼性と安全性を高める国際業界標準規格を制定する業界団体「Trusted Computing Group」(TCG)が2月に開催したOpen Workshopに、サプライチェーンにおけるサイバーセキュリティ対策として、遠隔からコンピュータ機器の改ざんを検知可能とする「リモート検証基盤」を提供したことを発表した。同社はこの基板を活用し、企業・大学のサーバやノートPC、IoTデバイスなどさまざまな機器について遠隔からの真正性の確認に成功したとしている。

  • 信頼の基点となる情報の書き込み

    信頼の基点となる情報の書き込み

リモート検証基盤の概要

今回のリモート検証基盤は、Internet Engineering Task Forceが標準化を進めているRemote ATtestation ProcedureSの概念を実現したセキュリティ技術で、NECの防衛事業部門とサイバーディフェンス研究所が開発したもの。

TCGで仕様策定し標準化されたハードウェアセキュリティ技術であるTPMを使うことで、メーカに依存せずにシステム上のコンピュータ機器をセキュアに管理し、サプライチェーンにおけるセキュリティ対策のコストを低減できるという。

  • コンピュータ機器の真正性確認の仕組み

    コンピュータ機器の真正性確認の仕組み

同リモート検証基盤では、サーバやノートパソコン、IoTデバイスなどに組み込まれたTPMに信頼の基点となるハードウェア情報とソフトウェア情報を埋め込んだプラットフォーム証明書を格納し、同時に同じ情報を出荷時の正しいデータ(正解値)として検証システムに登録する。

出荷後に構築されたシステムにおいて、プラットフォーム証明書の情報と検証システムに事前登録された正解値と比較することで、改ざんを検知することが可能。ハードウェアレベルでコンピュータ機器の健全性をリモートで確認できるため改ざんが困難となるほか、システム全体の真正性を自動で確認できる。

これにより、ファームウェアレベルのマルウェアや不正なハードウェアの混入など、サプライチェーン上で発生する脅威リスクからシステム全体を保護できるということだ。これは、経済安全保障の背景から求められる、機器などの調達時におけるサプライチェーン上での不正な変更がなされていないかを証明する要求事項に対し、有効な対策になるとしている。

  • サプライチェーンのセキュリティ対策

    サプライチェーンのセキュリティ対策

取り組みの概要

同社は4月から、自社のIAサーバ「Express5800シリーズ」にこのリモート検証基盤を適用し、今後はNECの各種ICT機器にも順次適用する予定だという。この取り組みは、NECが2020年から進めてきた製品のセキュア生産の仕組みを強化し、提供する製品やシステムのセキュリティ性能を向上させるものだとしている。

同社は、このリモート検証基盤と生体認証など本人認証の仕組みを組み合わせることで、ゼロトラストアクセスの実現を目指す。これにより、サイバー攻撃に対する防御力を高め、従来よりも低コストでサイバーキルチェーンに対処できるとしている。

同社はすでに社内での実証実験に成功し、一部の企業に提案を開始している。今後は、ゼロトラストアクセスの取り組みについて技術団体への参画や提言を推進するとともに、自社でのサービス化・プロダクト化を進めて安全・安心な社会の実現に貢献していく考えだ。