ブログ

ハードウェアがアプリケーションのセキュリティを向上させる方法

F5 サムネイル
F5
2018年12月18日公開

過去 5 年間、規模の大小を問わず、ほとんどの組織にとって最大の懸念事項はセキュリティでした。 最近では、企業がアプリを移行したり、クラウドネイティブ アプリを構築したりしているため、パブリック クラウドのセキュリティに注目が集まっています。 しかし、多くの重要なアプリは依然としてプライベート データ センターに保存されており、今後もその状態が続くでしょう。 そのため、企業は自社のインフラストラクチャとハードウェアに関しても常に注意を払う必要があります。

最近のブルームバーグの記事では、第三者がネットワーク機器を傍受して改ざん、スパイ、またはデータの漏洩を目的とするシード型のサプライチェーン ハッキングに注目が集まり、この点が強調されています。

ハードウェアの改ざんは通常、アプリケーション攻撃の入り口にはなりませんが、気付かれずに侵入する簡単な方法となることは間違いありません。 つまり、今日のシステムでは、ハードウェアからソフトウェアまで、何らかの脅威にさらされていない部分は存在しません。そのため、企業があらゆる角度からシステムを保護することが極めて重要です。 さらに、過去 10 年間でサードパーティ製のサブシステムの使用が増加したことにより、すべてのボードレベルのハードウェアに影響を及ぼすサプライ チェーン ハッキングの可能性が高まっています。 組織は次のような質問をしています（そして、そうすべきです）。 ハードウェアベンダーは自社のハードウェアに依存していますか、それとも他社のハードウェアに依存していますか? そして、それはアプリケーションのセキュリティにとって何を意味するのでしょうか?

この段階で、2 つの重要なポイントを述べたいと思います。

  • F5 では、ハードウェアの設計と製造テストのプロセスを 100% 自社で管理しており、厳密に管理しています。
  • F5 チーム全体が、効果的なハードウェアとソフトウェアの改善に向けてたゆまぬ努力を続けています。

製造中のハードウェアセキュリティの向上

F5 の本社はワシントン州シアトルにありますが、ハードウェアの設計と開発のあらゆる側面は、同州スポケーンにある安全な社内施設で行われています。 これは、 BIG-IPプラットフォームを強化するための専用ハードウェアを開発したいという願望から生まれたもので、ハードウェアのセキュリティを直接確保し、シード攻撃から保護することを可能にします。 F5 は、施設内で、CAD ソフトウェアによる初期設計からプリント回路基板 (PCB) の製造、そして実際のコンポーネントが PCB にはんだ付けされる最終的なプリント回路アセンブリ (PCA) に至るまで、製造およびテストのプロセスも厳密に管理しています。 

F5 では、保護とプライバシーを確保するために、自社の製品設計を所有し、契約製造施設でのテストのあらゆる側面を管理するだけでなく、F5 の IT チームがテストを実行するインフラストラクチャも所有し、管理するという大きな一歩を踏み出しています。 製造プロセスに対するこの制御の価値を理解するには、まず、ハードウェアがどのように製造され、開発されているかについて簡単に説明する必要があります。 まず、CAD ソフトウェアで設計を行い、ボードのベクター画像である Gerber データを生成します。 次に、そのデータから、弊社の契約製造業者以外のサプライヤーでプリント基板（PCB）が製造されます。 その後、プリント回路基板 (PCA) が組み立てられ、実際のコンポーネント (CPU、メモリ、IC、トランジスタなど) が PCB 上にはんだ付けされます。 さらに、当社では、AOI (自動光学検査) と 5DX/AXI (X 線) 検査と呼ばれる検証プロセスを組み合わせて使用し、品質とシステムの整合性に影響を与える可能性のある問題を検出します。 これには、F5 の管理下にある元の製品設計の一部ではない要素の識別が含まれます。

ソフトウェアによるハードウェアセキュリティの確保

ハードウェアのセキュリティに対する信頼と自信は、ソフトウェアの革新を通じても高めることができます。 こうした例の 1 つは、改ざん検出機能の導入で実証されています。 「TPM 保管チェーン」 これは、F5 ハードウェアにインストールされているファームウェアが実際に F5 によって製造され、改ざんされていないことを保証し、介入攻撃に対する保護を強化するハードウェアの機能です。 この機能は、起動時に（パケットのチェックサムに似たプロセスによって）「測定」されたファームウェアのさまざまなレイヤーを、F5 の製造プロセス中に確立された既知の検証済み値と比較することによって機能します。 このシステム起動時の比較は、アテステーションと呼ばれます。

以前の BIG-IP ソフトウェア リリースである BIG-IP v14.0 で、F5 はTPM ベースのローカル アテステーションを発表しました。これは、F5 が決定した値と、起動時 (ブート中) に測定されたハードウェア/ソフトウェアの現在の値を自動的に比較する方法です。 つまり、BIG-IP の起動シーケンス中に、ローカル認証によって、複数のソフトウェア スタック コンポーネントの現在の起動セキュリティ値が F5 の既知の値と自動的に比較され、システムが F5 によって製造された改ざんされていないバージョンであるという高い信頼性が顧客に提供されます。 この機能により、お客様は手動でアクションを実行する必要がなくなり、リソースと時間が節約され、全体的な間接費も削減されます。

F5 は最近リリースされた BIG-IP v14.1 により実装を強化し、 TPM Chain of Custody の Remote Attestationの一般提供を開始したことを発表できることを大変嬉しく思っています。 主な差別化機能は、F5 が iHealth とインターフェイスすることで、F5 ファームウェアの現在の起動値と F5 の既知の値を比較できるようになったことです。iHealthはF5 によって集中的に制御および保護されるため、ローカルで検証するよりも優れています。 iHealth プラットフォームは、レジスター上の機器の値をチェックすると、TPM が有効かどうかを BIG-IP システムに返し、顧客に F5 デバイスの信頼性の検証を提供して、ハードウェアおよびファームウェアベースの攻撃を防止します。

要約

要約すると、TPM を搭載した F5 システムには、デバイスの保管チェーンの証明と確認をローカルおよびリモートで支援する機能が搭載され、手動で行う必要がなくなりました。 この機能により、BIG-IP ハードウェア上で正しい F5 ソフトウェアが実行されていることが検証され、ハードウェアが改ざんされていないことがお客様に保証されます。 F5 の BIG-IP ハードウェアを使用すると、顧客はセキュリティ上の懸念事項を 1 つ減らし、アプリとアプリ データのセキュリティ保護に集中できるようになります。

F5 のハードウェア プラットフォームの詳細については、 https://www.f5.com/products/big-ip-services/iseries-applianceを参照してください。また、F5 が組織のアプリケーション セキュリティを強化する方法については、 https://www.f5.com/solutions/application-securityを参照してください。