信頼できる実行テクノロジー

Intel Trusted Execution Technology ( Intel TXT、旧称LaGrande Technology ) は、次の主な目的を持つコンピュータ ハードウェア テクノロジーです。

• プラットフォームとそのオペレーティング システムの信頼性の証明。
• 本物のオペレーティング システムが信頼できる環境で起動し、信頼できるとみなされることを保証します。
• 実証されていないオペレーティング システムでは利用できない追加のセキュリティ機能を備えた信頼できるオペレーティング システムの提供。

Intel TXT は、Trusted Platform Module (TPM) と暗号化技術を使用してソフトウェアとプラットフォーム コンポーネントの測定値を提供し、システム ソフトウェアやローカルおよびリモート管理アプリケーションがそれらの測定値を使用して信頼性の決定を下せるようにします。これはIntel Management Engine を補完するものです。このテクノロジは、より安全なコンピューティングを推進するためのTrusted Computing Group (TCG)による業界イニシアチブに基づいています。システムまたはBIOSコードを破壊したり、プラットフォームの構成を変更したりし て機密情報を盗むことを目的としたソフトウェアベースの攻撃から防御します。

TCG で規定されているTrusted Platform Module (TPM) は、スプーフィングを防止する方法でシールドされた場所にさまざまな測定値を保持する特別なレジスタ (プラットフォーム構成レジスタ – PCR と呼ばれる) を含む多くのセキュリティ機能を提供します。測定値は、セキュア ハッシュ アルゴリズム(SHA) を使用した暗号化ハッシュで構成されます。TPM v1.0 仕様では、 SHA-1ハッシュ アルゴリズムを使用します。最近の TPM バージョン (v2.0+) では、 SHA-2が要求されます。^{[1] [2]}

暗号ハッシュ アルゴリズムの望ましい特性は、(実用上) 任意の 2 つのモジュールのハッシュ結果 (ハッシュ ダイジェストまたはハッシュと呼ばれる) が、モジュールが同一の場合にのみ同じハッシュ値を生成することです。

測定は、コード、データ構造、構成、情報、またはメモリにロードできるものなら何でもかまいません。TCG では、測定が完了するまでコードが実行されないようにする必要があります。特定の測定シーケンスを保証するために、シーケンス内のハッシュ測定は異なる PCR に書き込まれるのではなく、PCR が測定で「拡張」されます。つまり、TPM は PCR の現在の値と拡張する測定を取得し、それらを一緒にハッシュし、PCR の内容をそのハッシュ結果に置き換えます。その結果、PCR 内の特定の測定に到達する唯一の方法は、まったく同じ測定をまったく同じ順序で拡張することです。したがって、測定対象のモジュールが変更された場合、結果の PCR 測定は異なるものになり、測定されたコード、構成、データなどが変更または破損しているかどうかを簡単に検出できます。PCR 拡張メカニズムは、ソフトウェアのレイヤーで信頼のチェーンを確立するために不可欠です (以下を参照)。

このテクノロジは、静的な信頼チェーンと動的な信頼チェーンの両方をサポートします。静的な信頼チェーンは、プラットフォームの電源がオンになったとき (またはプラットフォームがリセットされたとき) に開始され、すべての PCR がデフォルト値にリセットされます。サーバー プラットフォームの場合、最初の測定はハードウェア (つまりプロセッサ) によって行われ、チップセットメーカーが提供するデジタル署名されたモジュール (認証コード モジュールまたは ACM と呼ばれる) を測定します。プロセッサは、署名されたモジュールを実行する前に、その署名と整合性を検証します。次に、ACM は最初の BIOS コード モジュールを測定し、追加の測定を行うことができます。

ACM および BIOS コード モジュールの測定は PCR0 に拡張され、静的コア ルート オブ トラスト測定 (CRTM) と BIOSトラステッド コンピューティング ベース(TCB) の測定が保持されると言われています。BIOS は、次のように PCR に追加のコンポーネントを測定します。

• PCR0 – CRTM、BIOSコード、およびホストプラットフォーム拡張^[a]
• PCR1 – ホストプラットフォーム構成
• PCR2 –オプション ROMコード
• PCR3 – オプションROM構成とデータ
• PCR4 – IPL (初期プログラム ローダー) コード (通常はマスター ブート レコード(MBR))
• PCR5 – IPL コードの構成とデータ (IPL コードで使用)
• PCR6 – 状態遷移とウェイクイベント
• PCR7 – ホスト プラットフォーム メーカー コントロール

動的信頼チェーンは、オペレーティング システムが特別なセキュリティ命令を呼び出すと開始します。この命令は、動的 PCR (PCR17 ～ 22) をデフォルト値にリセットし、測定された起動を開始します。最初の動的測定はハードウェア (つまり、プロセッサ) によって行われ、別のデジタル署名モジュール (SINIT ACM と呼ばれる) を測定します。このモジュールもチップセット メーカーによって提供され、プロセッサによって署名と整合性が検証されます。これは、動的信頼ルート測定 (DRTM) と呼ばれます。

次に、SINIT ACM は最初のオペレーティング システム コード モジュール (測定された起動環境 (MLE) と呼ばれる) を測定します。MLE の実行が許可される前に、SINIT ACM はプラットフォームがプラットフォーム所有者によって設定された起動制御ポリシー (LCP) の要件を満たしていることを確認します。LCP は 3 つの部分で構成されます。

1. SINITバージョンが指定された値と同じかそれより新しいことを確認します
2. PCR0～7を既知の良好な値と比較して、プラットフォーム構成（PCONF）が有効であることを確認します（プラットフォーム所有者がどのPCRを含めるかを決定します）
3. MLE の測定値を既知の良好な測定値のリストと比較して、MLE が有効であることを確認します。

LCP とその既知の良好な測定値のリストの整合性は、プラットフォーム所有者だけが変更できる保護された不揮発性の場所に TPM のポリシーのハッシュ測定値を保存することによって保護されます。

LCP が満たされると、SINIT ACM は、特別なセキュリティ レジスタへのアクセスと TPM ローカリティ 2 レベルのアクセスを有効にすることで、MLE が Trusted OS として実行できるようにします。これで、MLE は動的 PCR に対して追加の測定を行うことができます。動的 PCR には、次の測定が含まれます。

• PCR17 – DRTMと発射制御ポリシー
• PCR18 – 信頼できる OS 起動コード (MLE)
• PCR19 – 信頼できる OS (OS 構成など)
• PCR20 – 信頼できる OS (OS カーネルやその他のコードなど)
• PCR21 – Trusted OSの定義による
• PCR22 – Trusted OSの定義による

この技術は、オペレーティング システムがプラットフォームを初期化するためのより安全な方法も提供します。通常のプロセッサ初期化 (ブートストラップ プロセッサ (BSP) が各アプリケーション プロセッサにスタートアップ インタープロセッサ割り込み (SIPI) を送信し、各プロセッサを「リアル モード」で起動してから「仮想モード」に移行し、最終的に「保護モード」に移行する) とは対照的に、オペレーティング システムは、アプリケーション プロセッサを特別なスリープ状態にする安全な起動 (測定起動とも呼ばれます) を実行することで、この脆弱性を回避します。この起動では、アプリケーション プロセッサが特別なスリープ状態になり、そこからページングがオンの保護モードで直接起動され、この状態から抜け出すことはできません。^[3]

PCR 値は、ローカルとリモートの両方で使用できます。さらに、TPM には PCR 値 (PCR クォート) にデジタル署名する機能があるため、どのエンティティでも、測定値が TPM からのものであり、TPM によって保護されていることを検証できます。これにより、リモート認証によって改ざん、破損、悪意のあるソフトウェアを検出できます。さらに、これらの値を使用して実行環境 (特定の BIOS バージョン、OS レベル、構成など) を識別し、既知の適切な値のリストと比較して、プラットフォームをさらに分類できます。プラットフォームを評価して信頼レベルを割り当てるこの機能は、信頼できるコンピューティング プールと呼ばれます。

Trusted Compute Pools の使用方法の例をいくつか示します。

• 分離 – 信頼レベルまたは起動制御ポリシーの合格失敗に基づいて、プラットフォームが実稼働ネットワークに接続するか隔離されるかを制御する機能。
• 信頼ベースのポリシー – 重要なアプリを、指定された信頼レベルを満たすプラットフォームでのみ実行するように制限するなど
• コンプライアンスと監査 – 重要なデータ、個人情報、機密データが信頼要件を満たすプラットフォームでのみ処理されていることを実証する

多くのサーバープラットフォームにはIntel TXTが組み込まれており、TXT機能はHyTrust、PrivateCore、Citrix、VMwareなどのソフトウェアベンダーによって活用されています。 オープンソースプロジェクトもTXT機能を活用しています。たとえば、tbootはLinuxカーネルとXenハイパーバイザーにTXTベースの整合性システムを提供しています。^{[4] [5]}

PCR7バインディングを搭載したWindows 10 PCでは、完全なデバイス暗号化を有効または無効にすることができます。^[6]

• インテル vPro
• 次世代セキュアコンピューティング基盤
• インテル マネジメント エンジン
• 信頼できるコンピューティング

• 「信頼できる実行」、テクノロジー、Intel。
• 「Trusted Execution」、テクノロジー(PDF) (概要)、Intel。
• 「Trusted Execution」、テクノロジー(PDF) (アーキテクチャ概要)、Intel。
• Intel トラステッド・エグゼキューション・テクノロジー ソフトウェア開発ガイド(PDF)、Intel。
• 「仮想化」、テクノロジー、Intel。
• Intel TXT の概要、 Linux カーネルドキュメントの一部、2014 年 12 月 1 日
• Intel TXT を使用した整合性管理、LWN.net、2009 年 4 月 1 日、Jake Edge 著
• Intel Trusted Execution Technology への攻撃、Black Hat Briefings、2009 年 2 月、Rafal Wojtczuk および Joanna Rutkowska 著
• 信頼できるコンピューティング技術、Intel Trusted Execution Technology、サンディア国立研究所、2011 年 1 月、Jeremy Daniel Wendt および Max Joseph Guise 著