忙しい人のためのセキュリティ・インテリジェンス No.28 - 2021/04/05

#2021041st #20210405 #忙しい人のためのセキュリティ・インテリジェンス_バックナンバー

今週のおすすめ/一言所管

Confidential Computing

Announcing the Android Ready SE Alliance

2018年に耐タンパ性ハードウェアenclave「Titan M」をPixerlのRoTとしてリリース

上記は同時にStrong Boxを使った耐タンパ性のキーストレージも組み込んだ

デジタルキー（家の鍵とか）、運転免許証（mDL）、National ID、Walletなどのユースケースを想定

この普及を加速するために、Android Ready SE Alliance　を設立

Secure Elementベンダーが主に参加

今後Androidha は、デジタル車向けの鍵や、mDL・アイデンティティクレデンシャル機能をリリースする

Next-Generation Networks Rely on Security Improvements

With networks pivotal to the operation of a broad range of devices and services, preserving the integrity of network services and security of routers, switches, and firewalls, is essential.

l2/fw/ルーターは大事よね

5Gのロールアウトともに次世代ネットワークの市場価格は$32.81 billionにもなるよ

スマートシティやIoTなどの様々な用途に５Gを柔軟に・アジャイルに普及（スケール）させたいよ（ポテンシャルをあますことなく発揮させたいよ）

だから、世界標準で相互互換性のある技術を垂直統合したいよ

だから、ちゃんと意図したとおりTrusted Systemでないといけないよ。Integrity（完全性）がないとIntegrity（誠意）が発揮できなしよ

ネットワークってそもそもサプライチェーンだよね？

ライフサイクルが長くて、常にオンラインで、パケットを解析しちゃいけなくて、公衆wifi apみたいなわけのわからないweak device identityではいけない

だから、ちゃんとした技術標準が必要だよ

だから、TEE内にあるアプリだけがデバイスのプロセッサやメモリにアクセスできるようにしたり、TPMを使ってシステム上の構成証明（attestation）によるintegrityを証明したりして、Trusted Computingを達成していくよ

Azure Confidential Computing vs Google Cloud Confidential Computing

TEEはenclaveだよ

HW/SWによる、enclave外アクセスから安全にデータを処理ｓるための機構

Opaque data and code

データがクラウドプロバイダにも読めないよ、enclave内データは暗号化され、認可されたアプリでしかアクセスできません

コード自体は外部から呼び出せるが、enclaveセットアップ時に定義したエントリーポイントのみ

ユースケース

金融系: 資産管理やPFMをTEE内で管理

ヘルスケア: 複数の組織感で患者データセットを共有しつつ、漏洩リスクをなくす

データは暗号化された形で共有され、MLサービスが使うときだけ復号される

Azure Confidential ComputingがIntel SGXベースだが、GCPはAMDベースでSecure Encrypted Virtualization（SEV）を利用

Intel SGXの場合、物理メモリがEnclave用として独立していて、プロセッサーそのものに備え付けられた暗号化エンジンによって暗号化される。この鍵は電源オン時に使われ、実行中のコードには使われない。

一方、AMDの場合は、SW的な制御で暗号化するメモリを設定。なのでOS Kernelレベルでは守られない

Asylo and its Place Next To The Blockchain

GoogleのOSSなSecure Enclave: Project Asylo

Secure Enclaveとは

一般的なアプリをセキュアな環境では知らせることができるハードウェア

セキュアとは、アプリおよびデータをCompromise できないこと

暗号学的な attest が出来る

Compromiseは必ずしも第三者による悪意ある行為ではない

ClaimからVerifyにおる相互信頼

AsyloはAD, Intel SGX, Azure Confidenential Compute, GCP Confidential Computingなど異なる仕様を持つSecure Enclaveを抽象化する。開発者はアプリケーションに集中できる

Draft Principles for Digital Trust Networks

Digital Trust Networks: トラストを普及・設立するためのネットワーク　の基本的要件

Trust: Credentialに対する信頼

Networkの参加者（Node - ken5の造語）

ユーザー、RP、AP

影響力の強い個人・団体

Credential: ユーザーのIdenityあるいはステータス情報

要件

デジタル、Universal, オープン、包摂、相互互換性、立証可能性（Probative）、規制準拠、堅牢、シンプル、拡張容易性

Microsoft Azure Attestation

TEEがTPMの進化系という考えはうすうす間違ってるんじゃないか疑念を抱えていたが、明示的に示されてしまった

The service supports attestation of the platforms backed by (TPMs) alongside the ability to attest to the state of (TEEs)

Azure Attestaitionは情報処理エンティティからエビデンスを取得し、クレーム郡を生成し、ポリシーに照らして検証する。その結果を暗号的に証明できるようにする

Azure Attestationでできること

SGX Attestation

Open Enclave (Open Enclave Attestation?)

OEは各ハードウェアベンダーの検証要件も含めてEnclave仕様を抽象化して開発者がTEEベースのアプリを開発できるようにするライブラリ。Asyloみたいなもん？

HWベースEnclave技術の民主化(an essential stepping-stone toward democratizing hardware-based enclave technologies)

TPM Attestation

TPMはプラットフォームの状態に関して証明するもの。

ブート時の完全性を暗号学的に証明

アプリがそういったデバイス・プラットフォームが安全だと証明されてから動作したい場合、そのアプリはAzure Attestationに問合せ、デバイス・プラットフォームの信頼性を確認できる

Microsoft #microsoft #ms

AzureAD #idp

Announcing Azure AD Verifiable Credentials

Verifiable CredentialがPublic Reviewに。自テナントのregistered appとして使えるぞ。夢が広がるな　

Defender #xdr #edr

Mac updates: Control your USB devices with Microsoft Defender for Endpoint on Mac!

プレビュー機能で、MacのUSB制御が可能に。

ベンダー > プロダクト > シリアル番号の粒度で、監査・遮断、rwxの設定ができるように。

kqlでかくならこう DeviceEvents | where ActionType == "UsbDriveMount" or ActionType == "UsbDriveUnmount" or ActionType == "UsbDriveDriveLetterChanged"| where DeviceId == "<device ID>"

Sentinel #siem

Compliance

他

Enterprise access model

Data/Workload PlaneとControl Planeの間にManagement Planeを定義

Management Planeは資産管理・監視・セキュリティを担当

Contro Planeは中央化されたIdentityシステム

アプリケーションアクセス（プロセス自動化）をするためにｍ，APIによるアクセスが可能でなければならいとも

下層のプレーンから上流プレ―んの制御ができてはいけない

旧アクセスもでるのTier 0 がContol Planeに

Tier 1はManagement Plan とデータPlane二分割。DevOpsモデルと旧インフラロールに寄せるモデルの折衷案でもある

Management Planeはエンタープライズ全体のIT管理機能