Loading article…
改ざん防止とは、デバイスへの不正アクセスやセキュリティ システムの回避を阻止、阻止、または検出するために使用される手法です。十分な知識、設備、時間があれば、どのようなデバイスやシステムでも阻止できるため、改ざんする側のリソースに何らかの制限があることが明示されているか想定されていない限り、「改ざん防止」という用語は誤った名称です。
改ざん防止とは、製品、パッケージ、システムの通常のユーザー、または物理的にアクセスできる他のユーザーによる 意図的な誤動作や破壊行為に対する耐性です。
改ざん防止機能は、特殊なドライブと改ざん防止シールを備えたネジなどの単純な機能から、操作不能にしたり、個々のチップ間のすべてのデータ転送を暗号化したりするより複雑なデバイス、特殊なツールと知識を必要とする材料の使用まで多岐にわたります。改ざん防止デバイスまたは機能は、パッケージまたは製品の改ざんを阻止したり、改ざんを検出したりするためにパッケージによく使用されます。
改ざん防止デバイスには、改ざん耐性、改ざん検出、改ざん応答、改ざん証拠の1つ以上のコンポーネントがあります。[1]一部のアプリケーションでは、デバイスは改ざん耐性ではなく、 改ざん証拠のみを備えています。
改ざん
改ざんとは、製品、パッケージ、またはシステムを故意に変更または混入することです。解決策には、製品の製造、パッケージング、流通、物流、販売、使用のすべての段階が含まれます。単一の解決策を「改ざん防止」と見なすことはできません。多くの場合、改ざんのリスクを軽減するために、複数のレベルのセキュリティに対処する必要があります。[2]
考慮すべき事項としては次のようなものがあります。
- 潜在的な改ざん者が誰であるかを特定します。一般ユーザー、子供、医療を受けている人、誤った考えを持つジョーカー、囚人、破壊工作員、組織犯罪者、テロリスト、腐敗した政府などです。改ざん者はどの程度の知識、材料、ツールなどを持っている可能性がありますか?
- 製品、パッケージ、またはシステムへの不正アクセスの可能性のあるすべての方法を特定します。主要な侵入手段に加えて、二次的な方法、つまり「バックドア」の方法も考慮します。
- 関心のある製品またはシステムへのアクセスを制御または制限します。
- 改ざん耐性を向上させて、改ざんをより困難にし、改ざんに時間がかかるようにします。
- 改ざんの存在を示すのに役立つ改ざん防止機能を追加します。
- 改ざんの証拠に注意するよう人々を教育します。
方法
機械
一部のデバイスには、アクセスを阻止するために非標準のネジやボルトが使用されています。例としては、電話交換キャビネット (六角ソケットが適合する三角形のボルト ヘッドを持つ) や、屋外の配電変圧器のドアを固定するために使用される 5 面ヘッドのボルトがあります。標準のTorxネジ ヘッドは、中央にピンがある不正開封防止形状で作ることができますが、標準の Torx ドライバーは使用できなくなります。家電製品などのデバイスの内部への偶発的なアクセスを阻止するために、その他のさまざまなセキュリティ ネジ ヘッドが考案されています 。
電気
このタイプの耐タンパー性は、防犯アラームで最も一般的に使用されています。ほとんどのトリップ デバイス (圧力パッド、パッシブ赤外線センサー(モーション ディテクター)、ドア スイッチなど) は、構成に応じて、通常開または通常閉の2 本の信号線を使用します。センサーには電源が必要な場合があるため、ケーブル配線を簡素化するために多芯ケーブルが使用されます。電源を必要とするデバイスには通常 4 芯で十分ですが (不要なデバイス用に 2 本は予備として残します)、追加の芯を持つケーブルを使用することもできます。これらの追加の芯は、アラーム システム内の特殊ないわゆる「タンパー回路」に配線できます。タンパー回路はシステムによって監視され、デバイスまたは配線の障害が検出されるとアラームが発せられます。デバイスおよびコントロール パネルのエンクロージャーには、耐タンパー スイッチを取り付けることができます。侵入者は、特定のデバイスを回避しようとしてアラームをトリガーするリスクがあります。
一部の盗難警報装置に使用されている動き検出器、傾斜検出器、気圧センサー、光センサーなどのセンサーは、爆弾の解体を妨害するためにも使用される可能性があります。
安全性
ほぼすべての電化製品や付属品は、工具を使わないと開けられません。これは、通電部分や高温部分に偶然または偶然に触れたり、機器を損傷したりすることを防ぐためです。メーカーは、一般的な工具では外せない、いたずら防止ネジを使用する場合があります。多くの公共施設の電気設備には、他人に危険を及ぼす可能性のあるいたずらや破壊行為を減らすために、いたずら防止ネジが使用されています。
保証とサポート
メーカーが意図していない方法で機器を改造して壊したユーザーは、保証を請求するために、または（主に PC の場合）ヘルプデスクに電話して修理を依頼するために、改造を否定するかもしれません。 改ざん防止シールがあれば、この問題には十分対処できるかもしれません。しかし、これらのシールはリモートで簡単に確認することはできず、多くの国では法定保証条件があり、メーカーが機器の修理を行わなければならない場合があります。改ざん防止ネジがあれば、一般ユーザーのほとんどはそもそも改ざんをしません。米国では、マグナソン・モス保証法により、メーカーが改ざんのみを理由に保証を無効にすることを禁止しています。[要出典] 保証が無効になるのは、改ざんが実際に故障した部品に影響を及ぼし、故障の原因となった可能性がある場合のみです。
チップス
改ざん防止マイクロプロセッサは、秘密鍵や電子マネークレジットなどの個人情報や機密情報を保存および処理するために使用されます。攻撃者が情報を取得または変更するのを防ぐために、チップは外部手段では情報にアクセスできず、適切なセキュリティ対策が講じられた組み込みソフトウェアによってのみアクセスできるよう設計されています。
改ざん防止チップの例としては、IBM 4758などのすべてのセキュア暗号プロセッサ、スマートカードで使用されるチップ、およびClipper チップなどがあります。
次のようなさまざまな攻撃が可能であるため、単純な電子機器を改ざんから保護することは非常に難しいと主張されてきました。
- さまざまな形態の物理的攻撃（マイクロプロービング、ドリル、ヤスリ、溶剤など）
- デバイスをフリーズする
- 規格外の電圧や電力サージを印加する
- 異常なクロック信号を適用する
- 放射線（例：マイクロ波や電離放射線）を使用してソフトウェアエラーを誘発する
- 特定の操作の正確な時間と電力要件を測定する（電力分析を参照）
改ざん防止チップは、セキュリティ カプセルの侵入や環境パラメータの仕様外が検出された場合、機密データ (特に暗号キー) をゼロ化するように設計されている場合があります。チップは、電源が機能しなくなった後でも自らゼロ化できる「コールド ゼロ化」に対応している場合もあります。さらに、一部の暗号化製品で使用されるチップに使用されているカスタムメイドのカプセル化方法は、内部にプレストレスがかかっているように設計されている可能性があり、干渉されるとチップが破損します。[引用が必要]
しかし、攻撃者がデバイスを好きなだけ所有し、テストや練習のために多数の他のサンプルを入手する可能性があるという事実は、十分な動機を持つ敵による改ざんを完全に排除することは不可能であることを意味します。このため、システムを保護するための最も重要な要素の 1 つは、全体的なシステム設計です。特に、改ざん防止システムは、1 つのデバイスの侵害によってシステム全体が侵害されないようにすることで、「適切に機能しなくなる」必要があります。このようにして、攻撃者は、1 つのデバイスを侵害することで予想される利益よりもコストがかかる攻撃に実質的に制限されます。最も洗練された攻撃を実行するには数十万ドルのコストがかかると推定されているため、慎重に設計されたシステムは実際には無敵である可能性があります。
米国では、購入仕様書に軍用電子システムに対する改ざん防止（AT）機能が要求されている。[1]
デジタル著作権管理
耐タンパー性は、スマート カード、セットトップ ボックス、およびデジタル著作権管理(DRM)を使用するその他のデバイスで応用されています。この場合、問題は、ユーザーが機器を壊したり、自分自身を傷つけたりすることを防ぐことではなく、コードを抽出したり、デコードされたビットストリームを取得して保存したりすることを防ぐことです。これは通常、各チップ内に多くのサブシステム機能を埋め込むことで実現され (内部信号と状態にアクセスできないようにする)、チップ間のバスが暗号化されていることを確認します。[引用が必要]
DRM メカニズムでは、多くの場合、証明書と非対称キー暗号化も使用されます。このようなすべてのケースにおいて、改ざん防止とは、デバイス ユーザーが有効なデバイス証明書またはデバイスの公開キーと秘密キーにアクセスできないようにすることを意味します。ソフトウェアを改ざん攻撃に対して堅牢にするプロセスは、「ソフトウェア改ざん防止」と呼ばれます。
パッケージ
パッケージングでは改ざん防止が必要な場合があります。次に例を示します。
- 一部の医薬品については規制により義務付けられています。
- 高価な商品は盗難の対象となる可能性があります。
- 法的手続きの可能性に備えて、証拠は変更されないままである必要があります。
改ざんに対する耐性は、包装に組み込むことも、追加することもできます。[3] 例としては、次のようなものがあります。
ソフトウェア
ソフトウェアは、リバースエンジニアリングを困難にする対策や、ユーザーがメーカーの意に反してソフトウェアを変更することを防ぐ対策（使用方法の制限を解除するなど）が含まれている場合にも、耐改ざん性があると言われます。よく使用される方法の 1 つは、コードの難読化です。
ただし、ソフトウェア環境はエミュレーションの使用によってほぼ任意の範囲で操作できるため、ソフトウェアでの効果的な改ざん防止はハードウェアよりもはるかに困難です。
トラステッドコンピューティングが実装されれば、保護されたプログラムのソフトウェア改ざんは、少なくともハードウェア改ざんと同じくらい困難になります。これは、ユーザーがリモート認証と密封されたストレージを回避するために、トラストチップをハッキングして偽の証明書を発行する必要があるためです。ただし、現在の仕様では、チップが合理的に高度な物理的攻撃に対して改ざん防止であるとは想定されていないことが明確にされています。 [4]つまり、改ざん防止デバイスほど安全になることは意図されていません。
これには、ソフトウェアの更新を検証する必要があるためソフトウェアのメンテナンスがより複雑になるという副作用があり、アップグレード プロセスでのエラーにより保護メカニズムが誤検知でトリガーされる可能性があります。
参照
参考文献
- ^ ab Altera. 「FPGA 設計における改ざん防止機能」p. 1.
- ^ Johnston, RG (1997). 「物理的セキュリティと改ざん表示デバイス」。LA -UR-96-3827。脆弱性評価チーム、ロスアラモス国立研究所。 2019年8月30日閲覧。
- ^ Rosette, JL (2009)、「Tamper-Evident Packaging」、Yam, KL (ed.)、Encyclopedia of Packaging Technology、Wiley (2010年出版)、ISBN 978-0-470-08704-6
- ^ Microsoft Word – TPM 1_2 変更点 final.doc
文献
- スミス、ショーン; ウェインガート、スティーブ( 1999)。「高性能でプログラム可能なセキュアコプロセッサの構築」。コンピュータネットワーク。31 ( 9): 831–860。CiteSeerX 10.1.1.22.8659。doi :10.1016/S1389-1286(98)00019-X 。
- ロゼット、ジャック L (1992)。不正開封防止包装の改善: 問題、テスト、および解決策。ISBN 978-0877629061。
外部リンク
- 改ざん防止 – 注意事項
- 改ざん防止スマートカードプロセッサの設計原則
- 耐タンパーデバイスに対する低コストの攻撃