OpenBSD 暗号化フレームワーク

OpenBSD暗号化フレームワーク( OCF ) は、オペレーティングシステムによる暗号化ハードウェアの統一管理のためのサービス仮想化レイヤーです。これはOpenBSDプロジェクトの一部であり、OpenBSD 2.8 (2000 年 12 月) 以降オペレーティングシステムに組み込まれています。OpenSSHなどの他の OpenBSD プロジェクトと同様に、FreeBSDやNetBSDなどのBerkeley Unixベースの他のシステムや、SolarisやLinuxに移植されています。^{[1] [2]} Linux ポートの 1 つは、Intelによってサポートされており、独自の暗号化ソフトウェアおよびハードウェアとともに使用して、オープンソースのApache HTTP ServerにハードウェアアクセラレーションによるSSL暗号化を提供しています。^[3]

暗号化は計算集約型であり、さまざまな状況で使用されます。ソフトウェア実装は、多くの場合、情報フローのボトルネックになったり、ネットワークの待ち時間を増やしたりします。暗号化アクセラレータなどの専門ハードウェアは、並列処理を導入することでボトルネックの問題を軽減できます。特定の種類のハードウェア、ハードウェア乱数ジェネレーターは、自然現象のエントロピーを利用することで、疑似乱数ソフトウェアアルゴリズムよりも信頼性の高い乱数を生成することもできます。^{[引用が必要]}

ゲームやフィルム処理などのグラフィック アプリケーションでは、同様のハードウェア アクセラレータが一般的に使用されており、強力なオペレーティング システム サポートも備えていますが、暗号化におけるハードウェアの使用は、比較的普及が進んでいません。^[要出典] 1990 年代後半には、暗号化ハードウェアとそれを使用するアプリケーション ソフトウェアの間を仲介する統一されたオペレーティング システム レイヤーが必要になりました。このレイヤーがなかったため、1 つまたは非常に限られた範囲の暗号化アクセラレータで動作するようにハードコードされたアプリケーションが作られるようになりました。

強力で慎重に監査された暗号化をオペレーティング システムのコアに統合してきた実績を持つ OpenBSD プロジェクトは、暗号化ハードウェア アクセラレーションをオペレーティング システム サービスとして提供するためのフレームワークを作成しました。

アプリケーションレベルのサポートは、標準のioctlインターフェースを介してハードウェアドライバーへのアクセスを提供する擬似デバイス/dev/cryptoを通じて提供されます。これにより、アプリケーションの作成が簡素化され、アプリケーションプログラマーが実際に使用されるハードウェアの動作の詳細を理解する必要がなくなります。^[4] /dev/cryptoはOpenBSD 5.7で削除され、 crypto_システムコールスイートに置き換えられました。

パケットレベルの暗号化プロトコルであるIPsecの OpenBSD 実装は、パケットをバッチでデコードできるように変更され、スループットが向上しました。この理由の 1 つは、ハードウェアの使用効率を最大化することです (バッチが大きいほどバス転送のオーバーヘッドが削減されます)。しかし、実際には、この戦略によりソフトウェア実装の効率も向上することを IPsec 開発者は発見しました。

i386マザーボード上の多くの Intel ファームウェア ハブはハードウェア乱数ジェネレーターを提供しており、可能な場合はこの機能を使用して IPsec にエントロピーを提供します。

OpenSSL はOCF を使用するため、 RSA、DH、またはDSA暗号化プロトコルをサポートするハードウェアを搭載したシステムでは、ソフトウェアを変更することなく自動的にハードウェアが使用されます。

2010 年 12 月 11 日、元政府請負業者のグレゴリー・ペリーが OpenBSD プロジェクト リーダーのテオ・デ・ラートに電子メールを送り、FBIが10 年前に OpenBSD の元開発者数名に金銭を支払ってシステムのセキュリティを侵害し、「OCF に多数のバックドアとサイド チャネル キー漏洩メカニズム」を挿入したと主張した。テオ・デ・ラートは 12 月 14 日にこの電子メールを openbsd-tech メーリング リストに転送して公開し、IPsecコードベースの監査を提案した。^{[5] [6]}デ・ラートの回答は報告書に懐疑的で、すべての開発者に関連コードを個別にレビューするよう求めた。その後数週間でバグは修正されたが、バックドアの証拠は見つからなかった。^[7]

Oracleの独自オペレーティング システムSolaris (元々はSunによって開発) には、暗号化アルゴリズムとハードウェアのプラグイン システムである Solaris Cryptographic Framework と呼ばれる無関係な製品が含まれています。

• OpenBSDのセキュリティ機能
• 暗号 API (Linux)
• Microsoft 暗号化 API

• OpenBSD の暗号化、OpenBSD プロジェクトが提供する概要ドキュメント。
• OCF Linux プロジェクト。