忙しい人のためのセキュリティ・インテリジェンス No.28 - 2021/04/05
今週のおすすめ/一言所管
Confidential Computing
2018年に耐タンパ性ハードウェアenclave「Titan M」をPixerlのRoTとしてリリース
上記は同時にStrong Boxを使った耐タンパ性のキーストレージも組み込んだ
デジタルキー(家の鍵とか)、運転免許証(mDL)、National ID、Walletなどのユースケースを想定
この普及を加速するために、Android Ready SE Alliance を設立
Secure Elementベンダーが主に参加
今後Androidha は、デジタル車向けの鍵や、mDL・アイデンティティクレデンシャル機能をリリースする
With networks pivotal to the operation of a broad range of devices and services, preserving the integrity of network services and security of routers, switches, and firewalls, is essential.
l2/fw/ルーターは大事よね
5Gのロールアウトともに次世代ネットワークの市場価格は$32.81 billionにもなるよ
スマートシティやIoTなどの様々な用途に5Gを柔軟に・アジャイルに普及(スケール)させたいよ(ポテンシャルをあますことなく発揮させたいよ)
だから、世界標準で相互互換性のある技術を垂直統合したいよ
だから、ちゃんと意図したとおりTrusted Systemでないといけないよ。Integrity(完全性)がないとIntegrity(誠意)が発揮できなしよ
ネットワークってそもそもサプライチェーンだよね?
ライフサイクルが長くて、常にオンラインで、パケットを解析しちゃいけなくて、公衆wifi apみたいなわけのわからないweak device identityではいけない
だから、ちゃんとした技術標準が必要だよ
だから、TEE内にあるアプリだけがデバイスのプロセッサやメモリにアクセスできるようにしたり、TPMを使ってシステム上の構成証明(attestation)によるintegrityを証明したりして、Trusted Computingを達成していくよ
TEEはenclaveだよ
HW/SWによる、enclave外アクセスから安全にデータを処理sるための機構
Opaque data and code
データがクラウドプロバイダにも読めないよ、enclave内データは暗号化され、認可されたアプリでしかアクセスできません
コード自体は外部から呼び出せるが、enclaveセットアップ時に定義したエントリーポイントのみ
ユースケース
金融系: 資産管理やPFMをTEE内で管理
ヘルスケア: 複数の組織感で患者データセットを共有しつつ、漏洩リスクをなくす
データは暗号化された形で共有され、MLサービスが使うときだけ復号される
Azure Confidential ComputingがIntel SGXベースだが、GCPはAMDベースでSecure Encrypted Virtualization(SEV)を利用
Intel SGXの場合、物理メモリがEnclave用として独立していて、プロセッサーそのものに備え付けられた暗号化エンジンによって暗号化される。この鍵は電源オン時に使われ、実行中のコードには使われない。
一方、AMDの場合は、SW的な制御で暗号化するメモリを設定。なのでOS Kernelレベルでは守られない
GoogleのOSSなSecure Enclave: Project Asylo
Secure Enclaveとは
一般的なアプリをセキュアな環境では知らせることができるハードウェア
セキュアとは、アプリおよびデータをCompromise できないこと
暗号学的な attest が出来る
Compromiseは必ずしも第三者による悪意ある行為ではない
ClaimからVerifyにおる相互信頼
AsyloはAD, Intel SGX, Azure Confidenential Compute, GCP Confidential Computingなど異なる仕様を持つSecure Enclaveを抽象化する。開発者はアプリケーションに集中できる
Digital Trust Networks: トラストを普及・設立するためのネットワーク の基本的要件
Trust: Credentialに対する信頼
Networkの参加者(Node - ken5の造語)
ユーザー、RP、AP
影響力の強い個人・団体
Credential: ユーザーのIdenityあるいはステータス情報
要件
デジタル、Universal, オープン、包摂、相互互換性、立証可能性(Probative)、規制準拠、堅牢、シンプル、拡張容易性
TEEがTPMの進化系という考えはうすうす間違ってるんじゃないか疑念を抱えていたが、明示的に示されてしまった
The service supports attestation of the platforms backed by (TPMs) alongside the ability to attest to the state of (TEEs)
Azure Attestaitionは情報処理エンティティからエビデンスを取得し、クレーム郡を生成し、ポリシーに照らして検証する。その結果を暗号的に証明できるようにする
Azure Attestationでできること
SGX Attestation
Open Enclave (Open Enclave Attestation?)
OEは各ハードウェアベンダーの検証要件も含めてEnclave仕様を抽象化して開発者がTEEベースのアプリを開発できるようにするライブラリ。Asyloみたいなもん?
HWベースEnclave技術の民主化(an essential stepping-stone toward democratizing hardware-based enclave technologies)
TPM Attestation
TPMはプラットフォームの状態に関して証明するもの。
ブート時の完全性を暗号学的に証明
アプリがそういったデバイス・プラットフォームが安全だと証明されてから動作したい場合、そのアプリはAzure Attestationに問合せ、デバイス・プラットフォームの信頼性を確認できる
Verifiable CredentialがPublic Reviewに。自テナントのregistered appとして使えるぞ。夢が広がるな
プレビュー機能で、MacのUSB制御が可能に。
ベンダー > プロダクト > シリアル番号の粒度で、監査・遮断、rwxの設定ができるように。
kqlでかくならこう DeviceEvents | where ActionType == "UsbDriveMount" or ActionType == "UsbDriveUnmount" or ActionType == "UsbDriveDriveLetterChanged"| where DeviceId == "<device ID>"
Compliance
他
Data/Workload PlaneとControl Planeの間にManagement Planeを定義
Management Planeは資産管理・監視・セキュリティを担当
Contro Planeは中央化されたIdentityシステム
アプリケーションアクセス(プロセス自動化)をするためにm,APIによるアクセスが可能でなければならいとも
下層のプレーンから上流プレ―んの制御ができてはいけない
旧アクセスもでるのTier 0 がContol Planeに
Tier 1はManagement Plan とデータPlane二分割。DevOpsモデルと旧インフラロールに寄せるモデルの折衷案でもある
Management Planeはエンタープライズ全体のIT管理機能
Data Planeはワークロード毎の管理機能(ITスタッフなどが実行することもある)
ビジネスクリティカルなシステムや、ビジネス上の価値は高いが技術的なコントロールが限定されている管理者の保護が可能
Tier2はB2B/B2C/公開されたアクセスシナリオやAPIによるアクセスをする層
Google
GoogleがGCPコミックスというセキュリティのアメコミを始めている
犬は"On the Internet, nobody knows you're a dog" からだと思うけど、なぜ恐竜w
Deviceをhealthyと診断するためのメトリクス(データ)と、データソースが示されていてよかった
デバイスが人間の行動を代理とするエージェントだとすると、そのエージェントがデジタルと物理の境界になる。すなわち、そこで物理をデジタルにprojectionしなkればならない
Trustも投影しなければならない。これが インターネットやWebのインフラの上に、従来の社会と同じものを構築するに足る信頼(Trust)を担保する仕組み であり、ken5自信の言葉に置き換えるとTrustという情報が欠落しないようにしなければならない
ただし、それには物理世界の 責任やインセンティブ を同空間の住人(ステークホルダー)が合意するという前提で
https://gyazo.com/b61baeb8887841f48bb74b14e713d3ca
https://gyazo.com/f7ac6ef64d4003cb62465232d6105c08
If you are already logged in, please enable 3rd party cookies in your web browser settings.
Ubiquitiからの情報漏えいはAWSルート垢の漏洩
LastPass内に保存されていたが、そこから漏洩したかは不明
反社チェックは一企業の最良に任されている
一方、「桜を見る会」でもある通り、暴力団だけでなく半グレも対象に含むと警察庁が判断してから その時々の社会情勢に応じて変化し得るものであることから、あらかじめ限定的、かつ、統一的に定義することは困難だ となった
反社チェックの実務は、しかし同時に日経テレコムといったサーチエンジンも使う。
True positiveももちろんあるが、過去の犯罪歴によって現在の状態がフォルスポジティブになりうる。その引っ掛けによってサービスを拒否することは、私企業のリンチといってもいい
それは社会復帰の目をつみ、そして再販へと駆り立てる。政府ですらあやふやな根拠で、民間が独自の判定をしていいのか。グレーゾーンで黒と判定される領域がふえないのか。
SMBCがブロチェを使ってクレカ債権を裏付けにしたデジタル証券を開発
ブロチェによる小規模債権化・所有権の分割による小口売買化
金融機能のアンバンドリング、Banking as A Service、Embedded Financeで、非金融企業の事業サービスに組み込む動き
↑新結合 = Neue Kombinationによるビジネス創造を期待
行政/会社/団体
FuzzingツールをGitlabが公開
買収したPeach Fuzzerのこと
GitlabにFuzzingの方針があったとは
というより、その一個上のディレクトリにあるこれ はなかなの... (プロダクトとしての)Gitlabのセキュリティ方針。面白い
収益(売上高)成長率1,787%すんごいな
イベント/勉強会/発表資料
その他