NISTIR 8320 (Draft) ハードウェア対応セキュリティ:クラウドおよびエッジ・コンピューティングのユースケースにおけるプラットフォーム・セキュリティへの階層型アプローチの実現(第二次ドラフト)
こんにちは、丸山満彦です。
NISTが、「NISTIR 8320(ドラフト)ハードウェア対応セキュリティ:クラウドおよびエッジ・コンピューティングのユースケースにおけるプラットフォーム・セキュリティへの階層型アプローチの実現(第2ドラフト)」を公表し、二回目の意見募集をしていますね。。。
● NIST
NISTIR 8320 (Draft) Hardware-Enabled Security: Enabling a Layered Approach to Platform Security for Cloud and Edge Computing Use Cases (2nd Draft) | NISTIR 8320(ドラフト)ハードウェア対応セキュリティ:クラウドおよびエッジ・コンピューティングのユースケースにおけるプラットフォーム・セキュリティへの階層型アプローチの実現(第2ドラフト) |
Announcement | 発表内容 |
The National Cybersecurity Center of Excellence (NCCoE) has released three new draft reports on hardware-enabled security and trusted cloud for public comment. The foundation of any cloud data center or edge computing security strategy should be securing the platform on which data and workloads will be executed and accessed. The physical platform provides the initial protections to help ensure that higher-layer security controls can be trusted. | National Cybersecurity Center of Excellence(NCCoE)は、ハードウェアで実現するセキュリティとトラステッドクラウドに関する3つの新しいドラフトレポートを公開し、パブリックコメントを求めています。クラウドデータセンターやエッジコンピューティングのセキュリティ戦略の基盤となるのは、データやワークロードが実行されたりアクセスされたりするプラットフォームのセキュリティです。物理的なプラットフォームは、上位層のセキュリティ管理が信頼できるものであることを保証するための初期保護を提供します。 |
The three new draft reports are: | 新しいドラフトレポートは以下の3つです。 |
2nd Draft NIST Internal Report (IR) 8320, Hardware-Enabled Security: Enabling a Layered Approach to Platform Security for Cloud and Edge Computing Use Cases, examines hardware-enabled security techniques and technologies that can improve platform security and data protection for cloud data centers and edge computing. | 2nd Draft NIST Internal Report (IR) 8320, Hardware-Enabled Security: Enabling a Layered Approach to Platform Security for Cloud and Edge Computing Use Cases」は、クラウドデータセンターやエッジコンピューティングのプラットフォームセキュリティやデータ保護を向上させることができるハードウェア対応のセキュリティ技術やテクノロジーについて検討しています。 |
Draft NIST IR 8320B, Hardware-Enabled Security: Policy-Based Governance in Trusted Container Platforms, explains an approach for safeguarding container deployments in multi-tenant cloud environments, as well as a prototype implementation of the approach. | NIST IR 8320B(ドラフト)「Hardware-Enabled Security: Trusted Container PlatformsにおけるPolicy-Based Governance」では、マルチテナントのクラウド環境におけるコンテナ展開を保護するためのアプローチと、そのプロトタイプの実装について説明しています。 |
Draft NIST Special Publication (SP) 1800-19, Trusted Cloud: Security Practice Guide for VMware Hybrid Cloud Infrastructure as a Service (IaaS) Environments, describes an example solution for using trusted compute pools leveraging hardware roots of trust to monitor, track, apply, and enforce security and privacy policies on cloud workloads. | ドラフトNIST Special Publication (SP) 1800-19「Trusted Cloud: Security Practice Guide for VMware Hybrid Cloud Infrastructure as a Service (IaaS) Environments」では、信頼できる計算プールを使用して、ハードウェアのルートオブトラストを活用し、クラウドのワークロードに対してセキュリティとプライバシーのポリシーを監視、追跡、適用、実施するソリューションの例を紹介しています。 |
Abstract | 概要 |
In today’s cloud data centers and edge computing, attack surfaces have significantly increased, hacking has become industrialized, and most security control implementations are not coherent or consistent. The foundation of any data center or edge computing security strategy should be securing the platform on which data and workloads will be executed and accessed. The physical platform represents the first layer for any layered security approach and provides the initial protections to help ensure that higher-layer security controls can be trusted. This report explains hardware-enabled security techniques and technologies that can improve platform security and data protection for cloud data centers and edge computing. | 今日のクラウドデータセンターやエッジコンピューティングでは、攻撃対象が大幅に増加し、ハッキングが産業化しており、ほとんどのセキュリティ制御の実装は一貫性がありません。データセンターやエッジコンピューティングのセキュリティ戦略の基本は、データやワークロードが実行されたりアクセスされたりするプラットフォームのセキュリティを確保することです。物理的なプラットフォームは、あらゆるレイヤーのセキュリティアプローチにおける最初のレイヤーであり、上位レイヤーのセキュリティ管理が信頼できるものであることを保証するための初期保護を提供します。本レポートでは、クラウド・データ・センターやエッジ・コンピューティングのプラットフォーム・セキュリティとデータ保護を向上させるハードウェア対応のセキュリティ技術とテクノロジーについて解説します。 |
・[PDF] NISTIR 8320 (2md Draft)
1 Introduction | 1 はじめに |
2 Hardware Platform Security Overview | 2 ハードウェア・プラットフォーム・セキュリティの概要 |
3 Platform Integrity Verification | 3 プラットフォームの完全性検証 |
3.1 Hardware Security Module (HSM) | 3.1 ハードウェア・セキュリティ・モジュール (HSM) |
3.2 The Chain of Trust (CoT) | 3.2 信頼の連鎖(CoT) |
3.3 Supply Chain Protection | 3.3 サプライチェーンの保護 |
4 Software Runtime Protection Mechanisms . 8 | 4 ソフトウェア・ランタイムの保護機構 |
4.1 Return Oriented Programming (ROP) and Call/Jump Oriented Programming 161 (COP/JOP) Attacks | 4.1 ROP(Return Oriented Programming)攻撃とCOP/JOP(Call/Jump Oriented Programming)攻撃 |
4.2 Address Translation Attacks | 4.2 アドレス変換攻撃 |
4.3 Memory Safety Violations | 4.3 メモリ安全性の侵害 |
4.4 Side-Channel Attacks | 4.4 サイドチャネル攻撃 |
5 Data Protection and Confidential Computing | 5 データ保護とコンフィデンシャル・コンピューティング |
5.1 Memory Isolation | 5.1 メモリ隔離 |
5.2 Application Isolation | 5.2 アプリケーション隔離 |
5.3 VM Isolation | 5.3 VM隔離 |
5.4 Cryptographic Acceleration | 5.4 暗号アクセラレーション |
6 Remote Attestation Services | 6 リモート認証サービス |
6.1 Platform Attestation | 6.1 プラットフォーム証明 |
6.2 TEE Attestation | 6.2 TEE証明 |
7 Cloud Use Case Scenarios Leveraging Hardware-Enabled Security | 7 ハードウェアベースのセキュリティを活用したクラウド利用のシナリオ |
7.1 Visibility to Security Infrastructure | 7.1 セキュリティインフラの可視化 |
7.2 Workload Placement on Trusted Platforms | 7.2 信頼できるプラットフォームへのワークロードの配置 |
7.3 Asset Tagging and Trusted Location | 7.3 資産のタグ付けと信頼できる場所への配置 |
7.4 Workload Confidentiality | 7.4 ワークロードの機密性の確保 |
7.5 Protecting Keys and Secrets | 7.5 鍵と秘密の保護 |
8 Next Steps | 8 次のステップ |
References | 参考文献 |
List of Appendices | 附属書の一覧 |
Appendix A— Vendor-Agnostic Technology Examples | 附属書A- ベンダーに依存しない技術例 |
A.1 Platform Integrity Verification | A.1 プラットフォームの完全性検証 |
A.1.1 UEFI Secure Boot (SB) | A.1.1 UEFIセキュアブート(SB) |
A.2 Keylime | A.2 キーライム |
Appendix B— Intel Technology Examples | 附属書B- インテルの技術例 |
B.1 Platform Integrity Verification | B.1 プラットフォームの完全性検証 |
B.1.1 The Chain of Trust (CoT) | B.1.1 信頼の連鎖(CoT) |
B.1.2 Supply Chain Protection | B.1.2 サプライチェーンの保護 |
B.2 Software Runtime Protection Mechanisms | B.2 ソフトウェア・ランタイムの保護機構 |
B.2.1 Return Oriented Programming (ROP) and Call/Jump Oriented Programming (COP/JOP) Attacks | B.2.1 リターン指向プログラミング (ROP) 攻撃および コール/ジャンプ指向プログラミング (COP/JOP) 攻撃 |
B.2.2 Address Translation Attacks | B.2.2 アドレス変換攻撃 |
B.3 Data Protection and Confidential Computing | B.3 データ保護とコンフィデンシャル・コンピューティング |
B.3.1 Memory Isolation | B.3.1 メモリ隔離 |
B.3.2 Application Isolation | B.3.2 アプリケーション隔離 |
B.3.3 VM Isolation | B.3.3 VM分離 |
B.3.4 Cryptographic Acceleration | B.3.4 暗号アクセラレーション |
B.3.5 Technology Example Summary | B.3.5 技術例のまとめ |
B.4 Remote Attestation Services | B.4 リモート証明サービス |
B.4.1 Intel Security Libraries for the Data Center (ISecL-DC) | B.4.1 インテル・セキュリティ・ライブラリー・フォー・ザ・データセンター(ISecL-DC) |
B.4.2 Technology Summary | B.4.2 技術例のまとめ |
Appendix C— AMD Technology Examples | 附属書C- AMDの技術例 |
C.1 Platform Integrity Verification | C.1 プラットフォームの完全性検証 |
C.1.1 AMD Platform Secure Boot (AMD PSB) | C.1.1 AMDプラットフォーム・セキュアブート(AMD PSB) |
C.2 Data Protection and Confidential Computing | C.2 データ保護とコンフィデンシャル・コンピューティング |
C.2.1 Memory Isolation | C.2.1 メモリー隔離 |
C.2.2 VM Isolation | C.2.2 VM隔離 |
Appendix D— Arm Technology Examples | 附属書D- Armの技術例 |
D.1 Platform Integrity Verification | D.1 プラットフォームの完全性検証 |
D.1.1 Arm TrustZone TEE for Armv8-A | D.1.1 Armv8-A用Arm TrustZone TEE |
D.1.2 The Chain of Trust (CoT) | D.1.2 信頼の連鎖(CoT) |
D.1.3 Platform Security Architecture (PSA) Functional APIs | D.1.3 プラットフォーム・セキュリティ・アーキテクチャ(PSA)機能API |
D.1.4 Platform AbstRaction for SECurity (Parsec) | D.1.4 Platform AbstRaction for SECurity(Parsec)について |
D.2 Software Runtime Protection Mechanisms | D.2 ソフトウェアランタイムの保護機構 |
D.2.1 Return Oriented Programming (ROP) and Jump Oriented Programming (JOP) Attacks | D.2.1 リターン指向プログラミング (ROP) 攻撃とジャンプ指向プログラミング(JOP) 攻撃 |
D.2.2 Memory Safety Violations | D.2.2 メモリ安全性の侵害 |
D.2.3 Side-Channel Attacks | D.2.3 サイドチャネル攻撃 |
D.3 Data Protection and Confidential Computing | D.3 データ保護とコンフィデンシャル・コンピューティング |
D.3.1 Confidential Compute Architecture (CCA) | D.3.1 コンフィデンシャル・コンピューティング・アーキテクチャ(CCA |
D.3.2 Cryptographic Acceleration | D.3.2 暗号アクセラレーション |
Appendix E— Cisco Technology Examples | 附属書E シスコの技術例 |
E.1 Platform Integrity Verification | E.1 プラットフォームの完全性検証 |
E.1.1 Cisco Platform Roots of Trust | E.1.1 シスコ プラットフォームの信頼の根源 |
E.1.2 The Chain of Trust (CoT) | E.1.2 信頼の連鎖(CoT) |
E.2 Supply Chain Protection | E.2 サプライチェーンの保護 |
E.3 Software Runtime Protections | E.3 ソフトウェアランタイムの保護 |
E.4 Data Protection and Confidential Computing | E.4 データ保護と機密性の高いコンピューティング |
E.5 Platform Attestation | E.5 プラットフォームの認証 |
E.6 Visibility to Security Infrastructure | E.6 セキュリティインフラストラクチャの可視化 |
E.7 Workload Placement on Trusted Platforms | E.7 信頼できるプラットフォームへのワークロードの配置 |
Appendix F— IBM Technology Examples | 附属書F-IBMの技術例 |
F.1 Platform Integrity Verification | F.1 プラットフォーム完全性検証 |
F.1.1 Hardware Security Module (HSM) | F.1.1 ハードウェア・セキュリティ・モジュール (HSM) |
F.1.2 IBM Chain of Trust (CoT) | F.1.2 IBM 信頼の連鎖 (CoT) |
F.2 Software Runtime Protection Mechanisms | F.2 ソフトウェア・ランタイムの保護機構 |
F.2.1 IBM ROP and COP/JOP Attack Defenses | F.2.1 IBM ROPおよびCOP/JOP攻撃に対する防御策 |
F.3 Data Protection and Confidential Computing | F.3 データ保護とコンフィデンシャル・コンピューティング |
F.3.1 IBM Memory Isolation Technology | F.3.1 IBM メモリ隔離技術 |
F.3.2 IBM Application Isolation Technology | F.3.2 IBM アプリケーション隔離技術 |
F.3.3 IBM VM Isolation Technology | F.3.3 IBM VM 隔離技術 |
F.3.4 IBM Cryptographic Acceleration Technology | F.3.4 IBM 暗号アクセラレーション技術 |
F.4 Remote Attestation Services | F.4 リモート証明サービス |
F.4.1 IBM Platform Attestation Tooling | F.4.1 IBM プラットフォーム証明サービス |
F.4.2 IBM Continuous Runtime Attestation | F.4.2 IBM 継続的ランタイム証明 |
Appendix G— Acronyms and Abbreviations | 附属書G- 頭字語と略語 |
Appendix H— Glossary | 附属書H- 用語集 |
List of Figures | 図の一覧 |
Figure 1: Notional Example of Remote Attestation Service | 図1:リモート証明サービスの想定例 |
Figure 2: Notional Example of TEE Attestation Flow | 図2:TEE証明フローの概念的な例 |
Figure 3: Notional Example of Orchestrator Platform Labeling | 図3:オーケストレータ・プラットフォームのラベリングの想定例 |
Figure 4: Notional Example of Orchestrator Scheduling | 図4:オーケストレータのスケジューリングの想定例 |
Figure 5: Notional Example of Key Brokerage | 図5:キー・ブローカーの想定例 |
Figure 6: Notional Example of Workload Image Encryption | 図6:ワークロード画像の暗号化の想定例 |
Figure 7: Notional Example of Workload Decryption | 図7:ワークロードの復号の想定例 |
Figure 8: Firmware and Software Coverage of Existing Chain of Trust Technologies | 図8:既存の信頼の連鎖技術のファームウェアおよびソフトウェアの範囲 |
Figure 9: Arm Processor with TrustZone | 図9:TrustZoneを搭載したArmプロセッサ |
Figure 10: Boot-Time and Run-Time Firmware | 図10:ブートタイムとランタイムのファームウェア |
Figure 11: Root World (Monitor), Realm World, and Isolation Boundaries | 図11:ルートワールド(モニター)、レルムワールド、および分離境界 |
参考
● まるちゃんの情報セキュリティ気まぐれ日記
・2021.10.29 NISTIR 8320 (Draft) ハードウェア対応セキュリティ:クラウドおよびエッジ・コンピューティングのユースケースにおけるプラットフォーム・セキュリティへの階層型アプローチの実現(第二次ドラフト)
・2021.10.29 NISTIR 8320B (ドラフト) ハードウェア対応のセキュリティ:信頼できるコンテナプラットフォームにおけるポリシーベースのガバナンス
・2021.10.29 NIST SP 1800-19 (ドラフト) トラステッドクラウド:VMwareハイブリッド・クラウドのIaaS環境のためのセキュリティ実践ガイド
・2021.06.19 NISTIR 8320A ハードウェア対応セキュリティ:コンテナ・プラットフォーム・セキュリティ・プロトタイプ
・2021.05.28 NISTIR 8320 (Draft) ハードウェア対応セキュリティ:クラウドおよびエッジ・コンピューティングのユースケースにおけるプラットフォーム・セキュリティへの階層型アプローチの実現
・2020.12.13 NISTIR 8320A マルチテナントクラウド環境におけるコンテナを保護するためのハードウェア対応のセキュリティ技術とその技術に基づくアプローチに関する文書の意見募集
・
« NISTIR 8320B (Draft) ハードウェア対応のセキュリティ:信頼できるコンテナプラットフォームにおけるポリシーベースのガバナンス | Main | 英国 会計検査院 サイバー・情報セキュリティ:グッドプラクティスガイド »
Comments