TCG技術を利用したセキュリティ対策例- JRFデモのご紹介 December 3, 2014
TCG 日本支部
インサイトインターナショナル株式会社 相澤 智樹
インテル株式会社 小池 浩之
Copyright 2014 Trusted Computing Group Demo #1 : 組み込みシステムにおけるセキュリティ強化例
 Insight セキュアブートを用いた改ざん検知

 Demo #2 : クラウド / 仮想化システムにおけるセキュリティ強化例
 Trusted Compute Pool – Hardware Assisted Geo Tag

 インテル® デジタル・エンタープライズ・ショールームのご紹介

11/28/2014

Copyright 2014 Trusted Computing Group2

11/28/2014

Copyright 2014 Trusted Computing Group3

STUXNETGSM HACKS
2007
2008
2009
2010

FLAMING PRINTER HACK

2011

2016

2007

2008

2009

2010

2011

Source: McAfee Labs (2011 and 2016 are estimates)

4November 28, 2014
知的財産の損失、ブランドの損失、そして顧客信頼の損失

標的型攻撃のライフサイクル

漏えいから発見まで

9%
Hours

封じ込め発見から封じ込めまで

2%
Minutes12%4%Months
Years

19%
Hours

23%
Months

発見

11%
Days

14%
Weeks

漏えい

攻撃

64%
Weeks

42%
Days

Sources: Verizon 2013 Data Breach Investigations Report. Securosis Malware Analysis Quant Metrics Model署名検証
対象ファイルの署名を検証✔ UEFI Secure Bootで採用✔ 証明書の認証サーバや鍵管理が必要

Windows8や一部のLinuxで採用

起動時に検証 !!
計測検証
計測対象ファイルのダイジェスト値とその正解値を比較検証✔ ホワイトリスト（正解値）が必要✔ 事前検証や事後検証

組み込みなどのシステムに対応可能

6

（BIOS、OS）
顧客
改ざん検知プログラム

TPM

検証要求
PCR0

・・・・・・・・

PCR1

・・・・・・・・

PCR2

・・・・・・・・

・・Extend
Read

検証結果
Collector
計測サービス
計測・・
PCR22・・・・・・・・

PCR23・・・・・・・・

PCR(Platform Configuration Register)

内部や独立したサーバ【検証結果】

検証依頼【計測値】

Verifier
検証サービス
照合

計測対象ファイル
（プログラム、データ、サービスなど）
ホワイトリスト

7

USBカメラ

デモ手順①NUC1、2号機を起動しUSBカメラでキャプチャした画像
データをWebサーバで表示

PC

Lenovo ThinkPad・CPU Intel i7
・Widows 7SP1
・ブラウザ Safari

NUCIntel NUC DE3815TYKE
・CPU Atom E3815
・TPM ST33ZP12
・Linux Ubuntu 14.04②NUC１号機のキャプチャを改ざん③NUC１、2号機の電源オフ＆再起動を行いLinuxの起動プログラム＋セキュアブートを実行④NUC1号機は改ざんされた
ためエラーメッセージを表示

NUC 1号機と2号機のWebサーバーの閲覧811/28/2014

Copyright 2014 Trusted Computing Group9

1. サービス・プロバイダーとして、あなたはどのようにしてテナントに対してコンプライアンスを担保しますか？
2. テナントとして、あなたはどのようにしてクラウド上のあなたの仮想マシンやワークロードを保護しますか？
3. テナントとして、あなたはどのようにしてクラウド上で可視性と管理性を実現しますか？
具体的な質問、、、 テナントとして、あなたはどうやって :サーバの信頼性を確認しますか？

サーバーがどこに置かれているかを信頼しますか？

仮想マシンがどこに配置されるかを制御しますか？

仮想マシンのペイロードを暗号化し、複合化を制御しますか？

彼らのクラウドの構成ポリシーを監査しますか？

Trusted Compute Poolsがこれらの質問に対する回答の拠り所になります。

11/28/2014

Copyright 2014 Trusted Computing Group10• 新しいセキュリティ制御のための属性の確立と普及 – “ プラットフォームの信頼” 信頼できるシステムを集め、それらを信頼できないリソースから隔離する• 機密性の高いワークロードは信頼できるサーバーの上のみで実行する (ポリシー制御)• プラットフォームの状況をテナントに可視化  “プラットフォームの信頼”• 信頼性を元にしたポリシーの自動監視を可能に• プラットフォームの信頼性を監査ログとコンプライアンス・レポートに追記• 更に追加された制御: Geo-Tag/Asset-Tags, VMペイロードの暗号/復号化による信頼できる仮想マシン

インテル® TXT と Remote Attestationがプラットフォームの信頼性のための基礎となります

11/28/2014

Copyright 2014 Trusted Computing Group11

What: サーバのTPMに格納されたアセット・ディスクリプター (例: geo-location) 情報を用いることで、仮想ワークロードの配置を制御-

例えば・・・ “特定の国や地域と言った場所に置かれた信頼できるシステムだけに仮想ワークロードを配置、移行、バーストするようにポリシーを強化”
HostUUID

TAG

Sign.

Asset Certificate

VM Geo policy
In OpenStack Glance attributes

ExtractHashAssetTagStoreTPM
TXT ServerStoreOpenStack
NOVA scheduler

Mt Wilson

Verify Trust,Geoattest

Launch VM
on Trusted, Geoverified server

OpenStack* のサービスを拡張

Geo-Location/Asset-tag ポリシーを 仮想マシンイメージのプロパティに追加

1. Asset/Location フィルターをスケジューラーに追加
2. Geo-Tag Attestation サービス – Trust Attestation サービスへの追加
3. Trust/Location info/attestation への水平線拡張

11/28/2014

Copyright 2014 Trusted Computing Group12

インテル® デジタル・エンタープライズ・ショールーム
クライアントPC及びサーバーに関するインテル® テクノロジー及びソリューションをご紹介

クライアントPC・ショーケース
全10ブース、常時25台程度展示
 インテル® vPro™ テクノロジー搭載 PCデモ
 インテル® Atom™ プロセッサー搭載タブレットデモ
 インテル® WiDi (Wireless Display) デモ TCG (Trusted Computing Group) デモ

サーバー・ショーケース
 Intel® Data Center Manager Energy Director（電力管理デモ） Intel® Data Center Manager Virtual KVM Gateway（リモートコントロールデモ）
 TCG (Trusted Computing Group) デモ13

インテル® デジタル・エンタープライズ・ショールーム
クライアントPC及びサーバーに関するインテル® テクノロジー及びソリューションをご紹介【ご利用方法】
ご予約制となっておりますので、お手数ですが弊社担当営業までご連絡願います。
（利用可能時間 9：00～12：00、13：00～18：00 / 土日・祝日を除く）【アクセス】
東京都千代田区丸の内3-1-1国際ビル5F インテル（株）東京本社内＜ＪＲ線＞（山の手線）有楽町駅国際フォーラム口下車徒歩３分＜地下鉄＞（日比谷線） 日比谷駅下車４分（有楽町線） 有楽町駅下車０分（千代田線） 日比谷駅または二重橋駅下車４分（都営三田線）日比谷駅下車０分

14

ご静聴ありがとうございました

11/28/2014

Copyright 2014 Trusted Computing Group

15