e.MMCが提供する5つのセキュリティ機能：組み込みストレージの保護（2/3 ページ）

e.MMC（embedded Multi Media Card）は、NANDフラッシュメモリとメモリを制御するコントローラーをワンパッケージ化した小型ストレージ製品です。本稿では、e.MMC 5.1デバイスが提供するセキュリティ機能について紹介します。

[兼子潤仁（スイスビットジャパン），EDN Japan]

2.1.　認証済みデバイス設定

　e.MMC 5.1規格が提供する5つの重要なセキュリティ機能について紹介します。

　サイバー脅威の激しさが高まり続ける今日、強固な「認証（Authentication）」と「承認（Authorization）」プロセスの必要性が高まっています。e.MMCは、認証済みデバイス設定（Authenticated Device Configuration）の仕組みを採り入れ、認証されたユーザーやシステムだけがデバイスおよびデータにアクセスできます。このアクセス制御に欠かせないプロセスが認証と承認です。似た言葉ですがこれらの意味は異なります。

　認証は、アクセスユーザーやプロセス、またはデバイスに対しての検証で、認証が成功すると次の承認ステップに進みます。承認は、デバイスやデータへのアクセス権を付与するプロセスで、「機密性を保持するための承認」「完全性を保持するための承認」の2つに分けられます。機密性を保持するための承認では、機密情報へのアクセスは、承認されたユーザーに限定され、権限を持たないユーザーやシステムはアクセスを拒否します。完全性を保持するための承認では、許可されたユーザーやシステムに情報の変更、修正、削除を限定することで、整合性が保持されます。

2.2.　パスワード保護

　パスワード保護は、e.MMCデバイスの基本的なセキュリティ機能のひとつです。データの読み出し、書き込み、消去の全ての操作に関して、メモリ内部のユーザー領域に保存されている情報を不正アクセスから保護します。この機能はデータへのアクセスに明確な境界を設定し、保存データへのアクセスを厳格に制御します。ホストCPUについても、ユーザー領域以外のデータへのアクセス、リセットや初期化などいくつかの操作は実行できますが、ユーザー領域に保存されたデータにはアクセスできません。

　パスワードを設定すると、ユーザー認証の試行回数に制限が設けられます。これは、コンピュータを使って大量のパスワードを自動的に試行するブルートフォース攻撃に対する抑止力として機能します。しかし、有効に機能させるためには、認証試行の回数をカウントし保存する必要があります。データ改ざんによって、攻撃者が認証に失敗した試行回数をリセットできてしまえば、このセキュリティ機能は役に立ちません。

2.3.　リプレイ保護メモリ・ブロック（RPMB）

　認証に失敗した回数を安全に記録管理する方法は、失敗した回数をリプレイ保護メモリ・ブロックに保存することです。

　リプレイ保護メモリ・ブロックは、この領域にアクセスする全ての読み出し／書き込み操作を共通鍵とHMAC（ハッシュベースの認証コード）を用いて制御する小さな保護領域です。この耐改ざん性をもつ領域はリプレイ攻撃（IDやパスワードなどの認証情報を盗み取って再利用し、正当な利用者になりすます不正アクセスの手法）から保護され、前述の認証に失敗した試行回数など機密データの保存に有効です。リプレイ保護メモリ・ブロックは、厳格な認証プロトコルによって不正なデータ操作や複製を防止し、保存されたデータの完全性と否認防止を保証します。

　e.MMC 5.1は、導入後に見つかった脆弱性に対処するため、運用現場でファームウェアをアップデートすることができます。しかし、見方を変えれば、攻撃者によって既知の脆弱性を含む以前のバージョンにファームウェアをダウングレードされるロールバック攻撃を受ける可能性があります。

　ロールバック攻撃に対しても、ファームウェアのバージョン番号をリプレイ保護メモリ・ブロックに安全に保存し、新しいバージョンへのアップデートのみを許可することで対策が可能です。つまり、許可されたユーザーだけがバージョン番号を変更でき、ファームウェアのロールバック攻撃に対するリスクを軽減できます。