NIST SP 1800-34 (Draft) Validating the Integrity of Computing Devices （コンピューティングデバイスの完全性の検証）(Preliminary Draft)

こんにちは、丸山満彦です。

NISTがコンピューティングデバイスの完全性の検証についての初期ドラフト、SP 1800-34 (Draft) Validating the Integrity of Computing Devices (Preliminary Draft) を公表し、意見募集をしておりますね。。。

今後、これはますます重要になるでしょうね。。。

● NIST - ITL

・2021.03.17 SP 1800-34 (Draft) Validating the Integrity of Computing Devices (Preliminary Draft)

Announcement	発表
Organizations throughout the world face the challenge of identifying trustworthy computing devices to function daily. Cyber supply chains are constantly at risk of compromise, whether intentional or unintentional. Once a supply chain has been compromised, the security of that device may no longer be trusted. Some cyber supply chain risks include counterfeiting, unauthorized production, and tampering.	世界中の企業は、日々の業務を遂行する上で、信頼できるコンピュータデバイスを特定するという課題に直面しています。サイバーサプライチェーンは、意図的であるか否かにかかわらず、常に危険にさらされています。いったんサプライチェーンが危険にさらされると、そのデバイスのセキュリティはもはや信頼できないかもしれません。サイバーサプライチェーンのリスクには、偽造、不正生産、改ざんなどがあります。
NIST's National Cybersecurity Center of Excellence (NCCoE) is collaborating with industry to create an example cybersecurity solution that helps organizations verify that the internal components of their computing devices are genuine and have not been tampered with. This project will result in a publicly available practice guide to help organizations decrease the risk of compromise to products in their supply chain, and in turn reduce the risk for customers and end users.	NISTのNational Cybersecurity Center of Excellence（NCCoE）は、産業界と協力して、組織がコンピューティングデバイスの内部コンポーネントが本物であり、改ざんされていないことを確認するためのサイバーセキュリティソリューションの例を作成しています。このプロジェクトでは、組織がサプライチェーン上の製品の危険性を低減し、ひいては顧客やエンドユーザのリスクを低減するための実践ガイドを作成し、公開する予定です。
Abstract	概要
Organizations are increasingly at risk of cyber supply chain compromise, whether intentional or unintentional. Cyber supply chain risks include counterfeiting, unauthorized production, tampering, theft, and insertion of unexpected software and hardware. Managing these risks requires ensuring the integrity of the cyber supply chain and its products and services. This project will demonstrate how organizations can verify that the internal components of the computing devices they acquire are genuine and have not been unexpectedly altered during manufacturing or distribution processes.	組織は、意図的であるか否かにかかわらず、サイバーサプライチェーンの侵害リスクにますますさらされています。サイバーサプライチェーンのリスクには、偽造、不正生産、改ざん、盗難、予期せぬソフトウェアやハードウェアの挿入などがあります。これらのリスクを管理するには、サイバーサプライチェーンとその製品・サービスの完全性を確保する必要があります。このプロジェクトでは、組織が入手したコンピューティングデバイスの内部コンポーネントが本物であり、製造や流通の過程で予期せず変更されていないことを検証する方法を示します。

・[PDF] NIST SPECIAL PUBLICATION 1800-34A Validating the Integrity of Computing Devices

 ・[html] Project homepage

エグゼクティブサマリーの仮訳については、こちら・・・

Executive Summary	エグゼクティブサマリー
WHY WE WROTE THIS GUIDE	このガイドを作成した理由
Organizations are increasingly at risk of cyber supply chain compromise, whether intentional or unintentional. Cyber supply chain risks include counterfeiting, unauthorized production, tampering, theft, and insertion of unexpected software and hardware. Managing these risks requires ensuring the integrity of the cyber supply chain and its products and services. This project will demonstrate how organizations can verify that the internal components of the computing devices they acquire are genuine and have not been unexpectedly altered during manufacturing or distribution processes.	組織は、意図的であるか否かにかかわらず、サイバーサプライチェーンの侵害のリスクにますますさらされています。サイバーサプライチェーンのリスクには、偽造、不正生産、改ざん、窃盗、予期せぬソフトウェアやハードウェアの挿入などがあります。これらのリスクを管理するには、サイバーサプライチェーンとその製品・サービスの完全性を確保する必要があります。このプロジェクトでは、組織が入手したコンピューティングデバイスの内部コンポーネントが本物であり、製造や流通の過程で予期せず変更されていないことを検証する方法を示します。
CHALLENGE	挑戦
Technologies today rely on complex, globally distributed and interconnected supply chain ecosystems to provide highly refined, cost-effective, and reusable solutions. Most organizations’ security processes consider only the visible state of computing devices. The provenance and integrity of a delivered device and its components are typically accepted without validating through technology that there were no unexpected modifications. Provenance is the comprehensive history of a device throughout the entire life cycle from creation to ownership, including changes made within the device or its components.	今日のテクノロジーは、高度に洗練され、コスト効率が良く、再利用可能なソリューションを提供するために、複雑でグローバルに分散し、相互に接続されたサプライチェーンエコシステムに依存しています。ほとんどの組織のセキュリティプロセスは、コンピュータデバイスの可視状態のみを考慮しています。通常、納入されたデバイスとそのコンポーネントの実績と完全性は、予期せぬ変更がなかったことを技術的に検証することなく受け入れられます。プロベナンスとは、デバイスやそのコンポーネントに加えられた変更を含む、作成から所有までのライフサイクル全体にわたるデバイスの包括的な履歴のことです。
Assuming that all acquired computing devices are genuine and unmodified increases the risk of a compromise affecting products in an organization’s supply chain, which in turn increases risks to customers and end users.	獲得したすべてのコンピューティングデバイスが本物であり、変更されていないと仮定すると、組織のサプライチェーン上の製品に影響を与える危険性が高まり、顧客やエンドユーザのリスクも高まります。
Organizations currently lack the ability to readily distinguish trustworthy products from others. Having this ability is a critical foundation of cyber supply chain risk management (C-SCRM). C-SCRM is the process of identifying, assessing, and mitigating the risks associated with the distributed and interconnected nature of supply chains. C-SCRM presents challenges to many industries and sectors, requiring a coordinated set of technical and procedural controls to mitigate cyber supply chain risks throughout manufacturing, acquisition, provisioning, and operations.	現在、組織には、信頼できる製品を他の製品から容易に見分ける能力がありません。この能力を持つことは、サイバーサプライチェーンリスクマネジメント（C-SCRM）の重要な基盤となります。C-SCRMとは、分散して相互に接続されたサプライチェーンの性質に関連するリスクを特定し、評価し、軽減するプロセスです。C-SCRMは、多くの産業やセクターに課題をもたらし、製造、取得、提供、運用の各段階で、サイバー・サプライ・チェーン・リスクを軽減するための技術的および手続き的な管理を協調して行う必要があります。
This practice guide can help your organization: • Avoid using compromised technology components in your products • Enable your customers to readily verify that your products are genuine and Trustworthy • Prevent compromises of your own information and systems caused by acquiring and using compromised technology products	この実践ガイドは、組織にとって以下の点で役立ちます。 • 危殆化した技術のコンポーネントを自社製品に使用しない • 顧客が、自社の製品が本物であること、信頼できることを容易に確認できるようにする。 • 危殆化したテクノロジー製品の取得及び使用に起因する、自社の情報及びシステムの危殆化を防止する。
SOLUTION	解決策
To address these challenges, the NCCoE is collaborating with technology vendors to develop an example solution. This project will demonstrate how organizations can verify that the internal components of the computing devices they acquire are genuine and have not been tampered with. This solution relies on  device vendors storing information within each device, and organizations using a combination of commercial off-the-shelf and open-source tools that work together to validate the stored information.	これらの課題に対処するために、NCCoEはテクノロジーベンダーと協力してソリューションの例を開発しています。このプロジェクトでは、組織が入手したコンピュータデバイスの内部コンポーネントが本物であり、改ざんされていないことを確認する方法を示します。このソリューションは、デバイスベンダーが各デバイス内に情報を保存し、企業が市販のツールとオープンソースのツールを組み合わせて、保存された情報を検証するというものです。
By doing this, organizations can reduce the risk of compromise to products within their supply chains.	これにより、企業はサプライチェーン内の製品が危険にさらされるリスクを低減することができます。
In this approach, device vendors create an artifact within each device that securely binds the device’s attributes to the device’s identity. The customer who acquires the device can validate the artifact’s source and authenticity, then check the attributes stored in the artifact against the device’s actual attributes to ensure they match. A similar process can be used to verify the integrity of computing devices while they are in use.	このアプローチでは、デバイスベンダーは、デバイスの属性とデバイスのアイデンティティを安全に結びつけるアーティファクトを各デバイス内に作成します。デバイスを購入したお客様は、アーティファクトの出所と真正性を確認した後、アーティファクトに保存されている属性とデバイスの実際の属性を照合し、一致していることを確認します。同様のプロセスは、使用中のコンピューティングデバイスの整合性を検証するためにも使用できます。
Authoritative information regarding the provenance and integrity of the components provides a strong basis for trust in a computing device. Hardware roots of trust are the foundation upon which the computing system’s trust model is built, forming the basis in hardware for providing one or more security-specific functions for the system. Incorporating hardware roots of trust into acquisition and lifecycle management processes enables organizations to achieve better visibility into supply chain attacks and to detect advanced persistent threats and other advanced attacks. By leveraging hardware roots of trust as a computing device traverses the supply chain, we can maintain trust in the computing device throughout its operational lifecycle.	コンポーネントの出所と完全性に関する権威ある情報は、コンピューティングデバイスを信頼するための強力な基盤となります。ハードウェア・ルーツ・オブ・トラストは、コンピュータ・システムのトラスト・モデルを構築するための基盤であり、システムに1つまたは複数のセキュリティ固有の機能を提供するためのハードウェアの基礎を形成します。ハードウェア・ルーツ・オブ・トラストを取得およびライフサイクル管理プロセスに組み込むことで、組織はサプライチェーンの攻撃に対する可視性を高め、高度な永続的脅威などの高度な攻撃を検知することができます。コンピューティングデバイスがサプライチェーンを通過する際に、ハードウェアのルーツオブトラストを活用することで、コンピューティングデバイスの運用ライフサイクルを通じて信頼性を維持することができます。
This project will address several processes, including: • how to create verifiable descriptions of components and platforms, which may be done by original equipment manufacturers (OEMs), platform integrators, and even information technology (IT) departments; • how to verify devices and components within the single transaction between an OEM and a customer; and • how to verify devices and components at subsequent stages in the system lifecycle in the operational environment. This project will also demonstrate how to inspect the verification processes themselves.	このプロジェクトでは、以下のようないくつかのプロセスに取り組みます。 • OEM、プラットフォーム・インテグレーター、さらにはIT部門が行う、コンポーネントやプラットフォームの検証可能な記述の作成方法 • OEMと顧客の間で行われる1回の取引で、デバイスやコンポーネントを検証する方法 • システム・ライフサイクルの後続段階で、運用環境においてデバイスやコンポーネントを検証する方法。 このプロジェクトでは、検証プロセス自体を検査する方法も示します。