Jacinto™ 7 プロセッサのセキュリティ・イネーブラ

Steve Reis

Systems Applications & Architecture(システム・アプリケーションとアーキテクチャ担当)
Jacinto processors(Jacinto プロセッサ部門)
Texas Instruments(テキサス・インスツルメンツ)

これまで以上に強力な組込みプロセッサとシステム・オン・チッ
プ (SoC) ソリューションを使用すると、設計者の皆様は、より機能が豊富で、より強力なシステムを製作できます。
現在、大半の組込みシステムには、有線とワイヤレス両方のコネクティビティが要件として課されています。
これらを活用すると、リモート制御や管理の各機能とのインターフェイスを確立できるほか、ファク
トリ (工場)、自動車、家庭などの、より複雑で高性能な各種システムへの統合が可能になります。
加えて、機能の追加や誤りの修正を目的とするリモート更新機能も、標準的な要件となっています。
この場合、これらの機能をTelematics(BT, WiFi, 4G/5G)のシステムが他のシステムに取り込まれる、悪用される、またGateway使用するには、より高いセキュリティが必要になります。
この種は安全ではない状態に置かれる、などの事態を防ぐことが目的です。

Ethernet & CAN

図 1 に、シャーシ、パワートレイン、ボディの各システムで構成

Infotainment

されている 1 台の自動車システムを示します。
ほかに、
イン

ADAS

ChassisPowertrain

Body

フォテインメント・システムと先進運転支援システム (ADAS) も搭載しており、これらはすべてネットワーク・ゲートウェイ経由

Example interconnect vehicle architecture with wireless connectivity

で互いにネットワーク接続されています。
このゲートウェイにより、各電子制御ユニット間でデータを共有することができま

図 1.相互接続された自動車のアーキテクチャ。

す。
ADAS では、標準的な車載組込みシステムを使用して、いくつかの自動車移動機能を自動的に制御することができます。
セルフ・パーキング (自動駐車)、車線逸脱防止支援、他の自動運

このホワイト・ペーパーでは、TDA4x と DRA8x の各プロセッサてクラウドにアクセスし、ソフトウェアの更新や他のデータを利ついて説明するほか、TI の Jacinto 7 SoC ファミリのセキュリで構成されている Jacinto 7 プロセッサ・デバイス・ファミリに転機能などです。
自動車はテレマティクス・ゲートウェイを通じティ機能の概要について紹介します。
システム設計者の皆様用することができます。

は、これらの機能を活用することで、セキュリティの目標を達成

この場合の各種外部インターフェイス、特にワイヤレス・インしやすくなります。
このホワイト・ペーパーでは、これらの機能ターフェイスは、リモート・アクセスに関する脆弱性 (弱点) を抱全般をセキュリティ・イネーブラ (セキュリティ実現機能) と呼びえています。
この脆弱性に加え、これらのシステムがますますます。
セキュリティ・イネーブラの詳細は、TI.com/security でごネットワークへの依存度を高めているという傾向により、何ら確認になれます。

かのセキュリティ侵害が発生した場合には、広い範囲に影響が及ぶことが想定されます。
対策として、高い水準の保護機能を実現することが不可欠です。

Jacinto™ 7 プロセッサのセキュリティ・イネーブラ

22021 年 1 月

セキュリティ・フレームワーク• セキュア・ブート (信頼済みルートの公開鍵)。

策を実装することで、さまざまな資産を脅威から保護できるよ• 暗号化アクセラレーション機能。

• 初期セキュア・プログラミング。

アプリケーション・レベルを出発点として、各種セキュリティ対うになります。
半導体レベルで考えると、保護を必要とするシ• 外部メモリ保護 (ファイアウォール)。

ステム内の主な資産とは、データ、コード、デバイス ID、鍵です。
システム内に存在する露出ポイント「攻撃対象領域」(とも呼• デバッグのセキュリティ (パスワードを使用する JTAG [Joint

体にわたる各時点や各動作において、資産の脆弱性を高める• ソフトウェアの知的財産 (IP) の保護 (デバッグ・ロックアウ

保護を必要とする資産や、存在する複数の露出ポイントについTI の基本的なセキュリティ・プロセッサとファームウェア

Test Action Group] ロック)。

びます) は、アプリケーションの各部分、またシステムの寿命全可能性があります。

ト)。て考慮しながら、すべての適切なセキュリティ・イネーブラについて検討し、デバイス・レベルでセキュリティ機能を選定して適Jacinto 7 SoC のセキュリティ・イネーブラの中心になるのは、切な保護策を策定する必要があります。
図 2 に、セキュリ専用の Arm® Cortex ®-M プロセッサとセキュア RAM (ランダム・ティ・フレームワークの例を示します。

アクセス・メモリ) であり、これらは基本的なセキュリティ機能を実現するファームウェアをホストします。
これらの機能には、セキュア・ブートに加え、eFuse による鍵管理、デバイスのファームウェア管理、JTAG アクセス 承認、ファームウェア・ロールバック (以前のバージョンに巻き戻し) 保護といった各種セキュリティ機能が含まれます。
デバイスのバリエーションによっては、さらに付加的な機能もサポートされています。

デバイスの ID、鍵、セキュア・ブート

TI security enablers
Debug security

Secure storage

Physical security

Jacinto 7 プラットフォームのセキュリティ・イネーブラのうち重Cryptographicacceleration

Network security

Secure firmware andsoftware update

鍵に対するサポートです。
これらの機能を組み合わせると、Initial secure
programming

Trusted execution
environment

Secure bootSoftware IP
protection

External memory
protection

Device identity

要な要素の 1 つは、セキュア・ブートとセキュア信頼ルートのブート・プロセスをセキュア化し、信頼できないソフトウェアをロードして実行してしまう事態を防止できます。

このセキュリティ・アンカーは、セキュア信頼ルート、言い換え

ると Jacinto 7 SoC に組み込まれている一連の鍵を土台として構築されています。
これらの鍵は、公開鍵および秘密鍵という非対称型のペア (2 個 1 組)、1 個の共有秘密鍵、さらに 1 個のデバイス固有秘密鍵という組み合わせで構成されています。

図 2.セキュリティ・フレームワーク。

このうち公開鍵は、ハードウェア製造フローの一環として、ヒューズ溶断の形で、ワンタイム・プログラマブル (1 回限り書き込み可能、OTP) eFuse メモリに書き込まれます。
システムのJacinto 7 SoC ファミリは多くのセキュリティ・イネーブラをサ起動時には、初期ソフトウェア・イメージをデバイス・セキュリポートしているので、開発ユーザーの皆様は強力なセキュリ

ティ対策を実装し、開発中システムに合わせてカスタマイズすティ用初期構成コンポーネントとともに使用しますが、その際出ポイントを経由するアクセスを制限または防止できるようにみ込まれているシグネチャ (署名) を検証することで、初期ソフにこの公開鍵を使用して、デジタル証明書と、ソフトウェアに組ることで、潜在的な脅威に対抗し、以下のようなシステムの露トウェア・イメージを認証します。
このプロセスを拡張し、付加なります。

的な鍵を通じて信頼を確立すること、および付加的なソフト• デバイス ID (一意の ID)。
Jacinto™ 7 プロセッサのセキュリティ・イネーブラ

ウェア・コンポーネントを認証する方法で信頼チェーン (信32021 年 1 月

頼の連鎖) を拡張することもできます。
これらのソフトウェア・が独自のファクトリ (工場) で包括的に管理するものです。
暗号コンポーネントに該当するのは、付加的なブートローダーにより保護しているので、プロビジョニング・プロセスの過程でレーティング・システムのカーネルなどです。

また、信頼できないファクトリ環境であっても、鍵のプロビジョア・コンピューティング環境内で維持し、システムの整合性を暗号化アクセラレーション機能や、Jacinto 7 SoC が搭載している複数のコアに対応するオペ対称型の秘密鍵が明らかになってしまう事態を防止できます。

ニングと製造を実施することが可能です。

システム・メーカーの皆様は、ルートとなる一連の鍵をセキュ確保すると同時に、認証済みユーザーのみにアクセスを限定

暗号化関数の計算は、フレキシビリティやスループットの要件します。
これらのユーザーは、それらの鍵に間接的にのみアクに基づき、汎用コンピューティング・コア、または特化型ハードセスし、自らのシステムに存在する Jacinto 7 プロセッサのコウェア・アクセラレータで実施できます。
Jacinto 7 SoC は、一アに対応するソフトウェアの署名と暗号化を実施することがで般的な暗号化関数のアクセラレーション (迅速な実行) に適しきます。
これらのソフトウェアは、標準的な X.509 証明書形式た一連のコアを搭載しているほか、以下の各機能もサポートを使用して認証されるため、カスタム証明書を生成する必要も、署名ツールを用意する必要もなく、一般的なツールを使用しています。

ザーの皆様が使用しているセキュア・コンピューティング環境• ハッシュ計算：メッセージ・ダイジェスト・アルゴリズム• 非対称型暗号化：一連の RSA 関数と ECC 関数。

するだけで該当の証明書を作成できます。
その結果、開発ユー内に直接的な方法で実装を行い、一連の秘密鍵のセキュリ(MDS)、SHA1、SHA2-224/256/384/512。

ティを確保することができます。

• 対称型暗号化関数：AES-128/192/256。

Jacinto 7 SoC のセキュア・ブート機能を活用すると、このデ• ハードウェア TRNG モジュールと、決定論的乱数ビット生成バイス上で動作するソフトウェアが常に認証済みの状態であ機能 (deterministic random bit generator、DRBG) によるることを保証できます。
したがって、非常に重要な初期ブート・後処理。

フェーズで、未認証のソフトウェアをロードしてしまう事態をこれらに加えて、Arm Cortex-A CPU は ARMv8 の暗号化拡張防止できます。
初期セキュア・ブート・プロセスは、セキュア・機能をサポートしています。
この拡張機能は、AES、ブート ROM (読み取り専用メモリ) によって実装され、デバイ

SHA1、SHA2 の各アルゴリズムの実行をアクセラレート (高速スの信頼済みルートを基盤として、一連のソフトウェア・コン実行) するための新しい命令を追加します。

ポーネントに認証を適用することができます。
ブート認証オ

プションは、(最大 4,096 ビットの鍵を使用する) RSA (Rivest-

ソフトウェア IP (知的財産) の保護 (ファイアウォール)

Shamir-Adleman)、または最大 521 ビットの鍵を使用する楕

円曲線デジタル証明書認証 (Elliptic Curve Digital Signature

Jacinto 7 SoC は、一連の異種プロセッサ・コアで構成されてAuthentication、ECDSA) の楕円曲線暗号化 (elliptic curveいます。
これらのコアはさまざまなタスク向けに最適化済みでcryptography、ECC) のどちらかをサポートできます。
これらのあり、64 ビット Arm コアや 32 ビット Arm マイコン・コアのほどちらかを、ソフトウェアや証明書のシグネチャとして使用でか、一部のデバイスでは TI のデジタル信号プロセッサ (DSP)きる、強力な SHA2-512 ハッシュと組み合わせることが可能でや特化型 DSP アクセラレータも搭載しています。
このうちいくす。
また、オプションでブートローダーの AES-256 暗号化もサ

つかのコンポーネントに対して、セキュア資産を対象にするタポートしています。

スクを割り当てることもできます。
その場合、保護策や、他の汎初期セキュア・プログラミング用機能と分離する対策が必要になります。
Jacinto 7 は、一連の包括的なシステム・ファイアウォール (分離機能) を搭載して秘密鍵をプログラミングする (書き込む) 際には、デバイス鍵のおり、ランタイムのセキュリティ保護や、安全性を目的とした分プロビジョニングをセキュアな方法で行うことが必須のプロセ離に使用できます。
開発ユーザーの皆様はファイアウォールをスとなります。
デバイス鍵のプロビジョニング・プロセスは、鍵活用して、ハードウェア要素やメモリの範囲を定義し (この領のプログラミング (書き込み) のセキュリティ、簡潔さ、最大のフ域はセキュア用途限定、他の領域は汎用、など)、各プロセッ

レキシビリティ確保を目的として、TI から提供されたセキュア・サ・コアやシステム初期化機能がどの範囲にアクセスできるかプロビジョニング・ツールを使用し、システム・メーカーの皆様
Jacinto™ 7 プロセッサのセキュリティ・イネーブラ

42021 年 1 月

を規定することができます。
このファイアウォール・インフラはケーションを分離するためのセキュア・ソフトウェア環境を実止、干渉されない自由の維持、仮に侵害が発生した場合でもア開発キット) を使用すると、Linaro OP-TEE セキュア・スタッ

重要なイネーブラとして機能し、秘密が明らかになる事態の防現します。
Jacinto 7 デバイス向けの Linux ® SDK (ソフトウェ影響の限定という役割を果たします。

クを統合できます。
このスタックにより、Arm プラットフォーム上でセキュア・アプリケーションを開発するために、標準的なデバッグのセキュリティ

GlobalPlatform API (アプリケーション・プログラミング・インJTAG デバッグ・ポートの普及が進んでおり、大半のプログラマターフェイス) を使用するセキュリティ・アプリケーションを有る多くの機能は JTAG 経由で実施できます。
デバイスのレジスアプリケーション同士が互いに分離され、Linux スタックの残ブル・デバイスに実装済みなので、アクセスしやすさに関係す効にすることができます。
TEE のもう 1 つの利点は、セキュア・タやメモリへの容易なアクセス、初期のフラッシュ書き込みをりの部分からも分離されることです。
したがって、複数のクラします。
このようなアクセスしやすさは、システム内で露出に関に、TEE を安全な方法で使用することができます。

容易に実施できる方法、プログラムのトレース機能などが該当

イアントが、クライアント相互間で自らの資産を明らかにせずして非常に脆弱なポイントの 1 つは JTAG である、ということも意味します。
その結果、Jacinto 7 SoC の JTAG デバッグ・ファームウェアとソフトウェアのセキュア更新になっているので、セキュア・デバイスでこのポートを使用してOTA (over-the air、ワイヤレス) 更新であり、現在は組込みシスポートはセキュア・デバイスではデフォルトでディスエーブルファームウェアのセキュア更新機能が必要になるのは、特にSoC の動作にアクセスする (どのような暗号化処理を実施しテム全般でこのようなセキュア更新機能が必須になっていまているのか外部から観察する) ことは不可能です。
同時に、必す。
その結果、新機能や拡張機能の更新、バグ修正、セキュリJTAG をセキュアな方法でイネーブル (有効) にすることも可能

ビス技術者やファクトリのサービス担当者の出張に伴う時間要な場合は、デバッグと分析を目的に、Jacinto 7 デバイスのティ・パッチの適用をフィールド (現場) で迅速に実施でき、サーです。
JTAG アクセスをイネーブルにするには、信頼済みルートや費用が不要になります。
ただし、この更新プロセスも脆弱性認証を実施することが必須です。
さらに、各デバッグ証明書は分を偽る)、以前のバージョンへのロールバック (巻き戻し)、まに結び付いている証明書メカニズムを使用して、承認またはポイントになる可能性があります。
特に他者が偽装 (自らの身1 個のデバイスに結び付いています。
したがって、1 通の証明書

たは更新メカニズムを悪用して、セキュリティを侵害したソフトを使用してデバッグをイネーブルにできるのは、その証明書がウェア・イメージの書き込みを行う場合などです。

す。
1 通の証明書を手に入れただけで、多数のデバイスをデバッグ (内部を観察) することはできません。
最後に、システります。
それにより、そのイメージの整合性と真正さ (改ざんの格納しているデバイス ID を持つ、選択されたデバイスのみで更新イメージには、ハッシュと署名を常に施しておく必要があない正しいイメージである) の両方を検証できます。
真正さのムのセキュリティ・プロトコルの要件によっては、ワンタイム・チェックを実施すると、既知かつ信頼できる出所からその更新プログラマブル eFuse のプログラミング (書き込み) を通じが提供されたものである、ということを検証できます。
また、整て、JTAG アクセスを永続的にディスエーブルにすることも可

合性チェックを実施すると、転送やロードの間に、そのイメー能です。
これら一連の機能は、保護とアクセスの階層構造を実ジの変更や改ざんが実施されなかった、ということを検証でき現し、開発ユーザーの皆様は開発段階で適切なアクセスを実ます。
セキュア・ブート認証に使用する Jacinto 7 SoC のこれら施できるフレキシビリティを確保しながら、製造段階ではセの機能は、ソフトウェアやデータの更新を認証する目的でも使キュリティを維持することができます。

信頼できる実行環境用できます。

まとめ

Jacinto 7 SoC の Arm Cortex-A72 TrustZone 機能は、セ®

Jacinto 7 デバイス・ファミリに用意されたセキュリティ・イネー

キュア・ソフトウェア・コンポーネントの実行を他のコンポーブラは、一連の包括的な組込みセキュリティ機能で構成されネントから分離し、鍵、データ、特化型アルゴリズムのような重ています。
設計者やアーキテクトの皆様はこれらの機能を活用要な資産を保護する目的で使用できます。
このセキュア環境のし、開発中システムで必要とされているセキュリティの目標を使用方法を簡素化するために、信頼できる実行環境 (trusted達成することができます。
これらは通常、セキュリティ実装サイ

execution environment、TEE) により、セキュリティ・アプリ
Jacinto™ 7 プロセッサのセキュリティ・イネーブラクルの一環として評価されます。
つまり、プロジェクトごとにセ5

2021 年 1 月

キュリティに関する具体的な目標とリスクと対策を識別し、それらセキュリティ上の目標を達成するのに役立つセキュリティ・イネーブラを特定する業務です。
詳細は ti.com/securityをご覧ください。

重要なお知らせ：ここに記載されているテキサス・インスツルメンツ社および子会社の製品およびサービスの購入には、TI の販売に関する標準の使用許諾契約への同意が必要です。
お客様には、ご注文の前に、TI 製品とサービスに関する完全な最新情報のご入手をお勧め致します。
TI は、アプリケーションに対する援助、お客様のアプリケーションまたは製品の設計、ソフトウェアのパフォーマンス、または特許の侵害に対して一切責任を負いません。
ここに記載されている他の会社の製品またはサービスに関する情報は、TI による同意、保証、または承認を意図するものではありません。
すべての商標は、それぞれの所有者に帰属します。

© 2021 Texas Instruments Incorporated

JAJY120

重要なお知らせと免責事項
TI は、技術データと信頼性データ (データシートを含みます)、設計リソース (リファレンス・デザインを含みます)、アプリケーションや設計に関する各種アドバイス、Web ツール、安全性情報、その他のリソースを、欠陥が存在する可能性のある「現状のまま」提供しており、商品性および特定目的に対する適合性の黙示保証、第三者の知的財産権の非侵害保証を含むいかなる保証も、明示的または黙示的にかかわらず拒否します。
これらのリソースは、TI 製品を使用する設計の経験を積んだ開発者への提供を意図したものです。(1) お客様のアプリケーションに適したTI 製品の選定、(2) お客様のアプリケーションの設計、検証、試験、(3) お客様のアプリケーションが適用される各種規格や、その他のあらゆる安全性、セキュリティ、またはその他の要件を満たしていることを確実にする責任を、お客様のみが単独で負うものとします。上記の各種リソースは、予告なく変更される可能性があります。これらのリソースは、リソースで説明されている TI 製品を使用するアプリケーションの開発の目的でのみ、TI はその使用をお客様に許諾します。これらのリソースに関して、他の目的で複製することや掲載することは禁止されています。TI や第三者の知的財産権のライセンスが付与されている訳ではありません。お客様は、これらのリソースを自身で使用した結果発生するあらゆる申し立て、損害、費用、損失、責任について、TI およびその代理人を完全に補償するものとし、TI は一切の責任を拒否します。
TI の製品は、TI の販売約款 (https://www.tij.co.jp/ja-jp/legal/terms-of-sale.html)、または ti.com やかかる TI 製品の関連資料などのいずれかを通じて提供する適用可能な条項の下で提供されています。TI がこれらのリソースを提供することは、適用される TI の保証または他の保証の放棄の拡大や変更を意味するものではありません。IMPORTANT NOTICE
日本語版 日本テキサス・インスツルメンツ合同会社
Copyright © 2021, Texas Instruments Incorporated