KATABAMI
技術関連

2019年5⽉（初版）2019年9⽉（社外向け 2.9版）
2022年11⽉（社外向け 3.5版）

株式会社SYNCHRO

中村 健
1SYNCHRO 基本情報
会社名

株式会社SYNCHRO

設⽴

2001年 4⽉

従業員数14名（契約社員を含みます）

資本⾦230,171千円

売上⾼302,330千円（2019年度）

事業

物理セキュリティ（静脈認証、顔認証）製品
ネットワークセキュリティ製品
ソフトウエア設計・開発・保守・運⽤

代表者

室⽊勝⾏

住所

東京都千代⽥区九段北1-10-9 九段VIGAS 5階

電話／FAX.

Tel.03-4570-3291 Fax.03-4570-3292

ホームページ

https://www.udc-synchro.co.jp

住所
電話／FAX.

⼭⼝県⼭⼝市熊野町１−１０ニューメディアプラザ⼭⼝６階
Tel.083-902-2518

⼭⼝サテライト
住所
電話／FAX.

⼭⼝県⼭⼝市湯⽥温泉３丁⽬2-7 セントコア⼭⼝ 1階
Tel.083-902-2818 Fax.083-902-2819

2

CSCC
Cyber Security
Countermeasures Center

CSCC

Cyber Security
Company
ProfileCountermeasures
Centerサイバーセキュリティ対策センタ

CSCC = Cyber Security Countermeasures Centeru KATABAMI Series の開発
u ⽬的︓IP通信のセキュリティ性能向上を図る
u 思想︓WhiteList と E2E での認証＆暗号化
u 内容︓アプライアンス と ソフトウェアシステム を製品化

u コンサルティング
u ネットワーク設計、構築⽀援
u サイバーセキュリティー対策に関するコンサルティング、設計

u IoT機器の脆弱性診断
u 経済産業省様「開発段階におけるIoT機器の脆弱性検証促進事業」として対応中（2022年7⽉ – 2023年1⽉）

u 事業者を対象とした脆弱性診断
u 2022年は、ニューメディアプラザ⼭⼝を中⼼にセミナ実施
u 2023年から、KATABAMI VDP を投⼊し対応開始

4

KATABAMI
Series

CSCC

Cyber Security
Company
ProfileCountermeasures
CenterITセキュリティの作り⽅
４要素 を 構成する要素技術
通信上の安全性
Link Security

通信相⼿の正当性
Node Certify

KATABAMI

PKIIＴセキュリティ
IT Security

Blockchain/DBMS

保持情報の安全性
Node Data Security

個⼈(⽣体)認証

利⽤者の正当性
User Certify
6

KATABAMI Series

appliance & software

u

製品の種類
u アプライアンス製品（IoT機器）
u KATABAMI Box（ルータ）、KATABAMI AC2（VoIP端末）
u KATABAMI PBX（IP-PBX）、KATABAMI Camera（IP Camera）
u KATABAMI VDP（脆弱性検証⽤装置）

u ソフトウェア製品
u KATABAMI Chat（ビジネスチャットサーバ）
u KATABAMI RTC（Web会議サーバ）、KATABAMI Bridge（ゲートウェイ）
u KATABAMI PCS（認証サーバ）

uコンセプトu 既存ネットワーク上で仮想閉域網を構成
u E2E の 認証・暗号化により、ゼロトラストネットワークアクセスを実現
u OSS を活⽤することによりコストの最⼩化を図る
7

なぜ、KATABAMI
命名の由来

u KATABAMI = カタバミ（⽚喰）u 被⼦植物、バラ類、カタバミ⽬、カタバミ科
u 駆除が難しいと⾔われる雑草の⼀種
u 球根、地下茎も持つが、匍匐茎（ほふくけい）を持ち地表に広がるu 匍匐茎がネットワークっぽいので KATABAMI と命名
u 家紋にもなっている

8

KATABAMI

Base Technology

9KATABAMI’s features

Relationship between IPv6 and private keyu

⽬的 = なりすまし／中間者攻撃の封⽌
u KATABAMI の IPv6 address は、永久公開鍵 から⽣成
u 処理⼿順u ① 双⽅、永久ペア鍵（永久公開鍵、永久秘密鍵）を持つ
uIPv6 address で node A が node B に接続

u ② node A は node B の 永久公開鍵を取得 → IPv6 address との突き合わせu

双⽅、相⼿の永久秘密鍵と⾃分の永久公開鍵で 暫定秘密鍵 を⽣成

u ③ 双⽅、⼀時ペア鍵（⼀時公開鍵、⼀時秘密鍵） を⽣成u

暫定秘密鍵を使った暗号通信で⼀時公開鍵の交換を実施 → 成⽴すれば なりすまし は無い

u ④ 双⽅、相⼿の⼀時公開鍵 と ⾃分の⼀時秘密鍵 で ⼀時共通鍵 を⽣成u

この ⼀時共通鍵 で データを暗号化して授受u ※ ③ の⼿順を定期的に実施 = ⼀時共通鍵 の key rotationu ⽬的は、セキュリティ強度 と 処理効率 のバランス取り

10

Secure Network

function of KATABAMI④ データ通信（⼀時共通鍵で暗号化）

Curve25519, Poly1305, XSalsa20

⼀時共通鍵③ ⼀時公開鍵を交換（暫定共通鍵で暗号化、⼀定頻度で鍵交換→ 共通秘密鍵の key rotation）＋相⼿の⼀時公開鍵

⼀時秘密鍵
Curve25519+Poly1305+XSalsa20

Nodeend point① IP address で接続（IPv6が必須）

暫定共通鍵

IPv6 address② address正当性確認（相⼿の永久公開鍵を取得し、ハッシュ関数でaddressを計算し⼀致を確認）

⼀時公開鍵

Nodeend point

ハッシュ関数
SHA-512

IPv6 address は、
Cjdns では unique local address (fc00::/8) を使⽤する
Yggdrasil では global address 200::/7 を使⽤する

RFC1888 で NSAP に map されたが RFC4048 で⾮推奨（詳細は RFC4548）
Cjdns との競合を回避 → 共存/併⽤が可能

ハッシュ関数
SHA-512楕円関数
curve25519＋相⼿の永久公開鍵

永久公開鍵
永久秘密鍵

11

Crypt engine on KATABAMI
Curve25519, Poly1305, XSalsa20u

概要u

Curve25519（楕円曲線暗号）u

秘密鍵 256bits、公開鍵 256bits。暗号化強度 = 128bitsuu

Poly1305-XSalsa20（ストリーム暗号）u

鍵 128bits、追加鍵 106bits、nonce 192bitsuu

AES256 の 暗号化強度 = 128bits

Xsalsa20 は Salsa20 の拡張（nonce が 128bits から 192bits に拡張された）

特徴
u

⾼暗号強度
u

u

Salsa20 は 同じ bit数の AES よりもセキュリティが⾼いことが実証されている

低処理負荷（ソフトウェア処理に向いている）
u

処理負荷 は Poly1305-Salsa20 : AES ≒ 1 : 3uu

AES は AES-NI があれば速く処理可能であるが、AES が無いと処理負荷が⼤きいuAES-NI は Intel, AMD の CPUに実装されているが、ARM には⾮実装 → AES は IoT に不向き

u

IoT への適⽤が多い ARM では Curve25519+Poly1305+XSalsa20 が適している

ライセンスフリーuCurve25519, Poly1305, XSalsa20 いずれも、既出願の特許には関連していない

12

Bridge of KATABAMI

for no-transparent network

uKATABAMI は Layer2 透過 なネットワークでは ⾃動で peeringu KATABAMI は beacon を broadcast して接続対象を探索し peeringu Layer3 Switch（L3 SW、NAT）が存在すると、その先には接続できないu

IPv4通信 を Layer2 として KATABAMI による通信を⾏う
u Internet を経由したLAN間の接続が可能（拠点間 ＆ モバイル）u⽅式
u IPv4 TCP/UDP による tunnelingu 接続には以下の情報が必要
u IPv4 の (Global) IP address & Portu Login ID & password
u KATABAMI node の 公開鍵13KATABAMI Network

KATABAMI network structure
HTTP

RTSP

SSH

SMTP

POP3…

TCP, UDP
Layer-4アプリケーション層

TUN
TAP

IP, ICMP (v6)ofKATAB
AMI

Session Manager (E2E encryption)
If Controller (P2P encryption)

Layer-3
トランスポート層

TCP, UDP

Layer-2
インターネット層

IP, ICMP (v4/v6)

Layer-1
ネットワーク
インタフェース層

Ethernet (, ARP, RARP), PPP, WiFi, 4G/LTE, 5G, …

※ TUN = TUNnel, TAP = Terminal Access Point, IP Address = IPv6unique local address (fc00::/8)

14

KATABAMI nodewithnormal IP node

Mixed Environment

15

混在可能な normal IP & KATABAMI実際の例

Business Chat Server
Mattermost

KATA
BAMI
nodeWeb

Mail

ServerServer

KATABAMI
nodebridge

Application server

KATABAMI IPv6
session on IPv4

HTTP
HTTPS

SMTP
POP3
HTTP on
KATABAMI

Router
L3 switch
SMBPC
IP
node

Kudanshita Office
Camera Server

File
Server

KATA
BAMI
node

ChatServerIP
Cam

Shinobi

KATABAMI
node
Application server

HTTP on
KATABAMIHTTP & SSH on KATABAMI

cameraServer16

KATABAMI
Environments

comparison

17

KATABAMI の 環境
動作環境、技術標準u対応OSの拡充（対応済み、最近対応、⼀部別⽅式で対応）
u Ubuntu 16.04 LTS, 18.04 LTS, 20.04 LTS, 22.04 LTS
u Windows 10, 11、Windows Server 2016, 2019, 2022
u MacOS 10.13.x, 10.14.x, 10.15.x, 11.x, 12.x, 13.x
u RHEL/CentOS 7.x、RHEL 8.x、Debian 9.x, 10.x, 11.x、その他 linux
u Android 8.1, 9, 10, 11, 12、iOS、iPadOS、Raspberry Pi OSu

セキュリティ規格 への対応

u IEC62443 = 産業向け IoT の セキュリティマネージメント規格

u SIoTP様 のご協⼒の下、2020年にチェックリストを作成し評価を実施
u SIoTP = ⼀般社団法⼈ セキュアIoTプラットホーム協議会

u JAHIS 製造業者/サービス事業者による医療情報セキュリティ開⽰書
u 2021年3⽉から対応作業中
u JAHIS =⼀般社団法⼈ 保険医療福祉情報システム⼯業会

18