NIST SP 1800-36 (ドラフト) 信頼できるIoTデバイスのネットワーク層オンボーディングとライフサイクル管理：インターネットプロトコルベースのIoTデバイスとネットワークのセキュリティ強化（初期ドラフト）(2022.12.05): まるちゃんの情報セキュリティ気まぐれ日記

September 2024
Sun	Mon	Tue	Wed	Thu	Fri	Sat
1	2	3	4	5	6	7
8	9	10	11	12	13	14
15	16	17	18	19	20	21
22	23	24	25	26	27	28
29	30

2022.12.13

NIST SP 1800-36 (ドラフト) 信頼できるIoTデバイスのネットワーク層オンボーディングとライフサイクル管理：インターネットプロトコルベースのIoTデバイスとネットワークのセキュリティ強化（初期ドラフト）(2022.12.05)

こんにちは、丸山満彦です。

NISTがIPベースのIoTデバイスとネットワークのセキュリティ強化のための実践ガイドの初期ドラフトを公表、意見募集をしていますね。。。

工場やプラントのDX、また、製品のデジタル化がさらに進んでいく今の状況を踏まえると、重要となっていく領域ですね。。。今後の進展が楽しみな文書ですね。。。日本企業も協力できるところはないのですかね。。。

協力している企業、団体等は、

ですね。。。知らない企業もあります。。。

● NIST - ITL

・2022.12.05 SP 1800-36 (Draft) Trusted Internet of Things (IoT) Device Network-Layer Onboarding and Lifecycle Management: Enhancing Internet Protocol-Based IoT Device and Network Security (Preliminary Draft)

SP 1800-36 (Draft) Trusted Internet of Things (IoT) Device Network-Layer Onboarding and Lifecycle Management: Enhancing Internet Protocol-Based IoT Device and Network Security (Preliminary Draft)	SP 1800-36 (ドラフト) 信頼できるIoTデバイスのネットワーク層オンボーディングとライフサイクル管理：インターネットプロトコルベースのIoTデバイスとネットワークのセキュリティの強化（初期ドラフト）
Announcement	発表内容
The National Cybersecurity Center of Excellence (NCCoE) has published a preliminary public draft of NIST SP 1800-36A: Executive Summary, Enhancing Internet Protocol-Based IoT Device and Network Security. The comment period is open until February 3, 2023.	国立サイバーセキュリティ・センター・オブ・エクセレンス（NCCoE）は、NIST SP 1800-36A: 信頼できるIoTデバイスのネットワーク層オンボーディングとライフサイクル管理：インターネットプロトコルベースのIoTデバイスとネットワークのセキュリティの強化（初期ドラフト）を発表した。意見募集期間は2023年2月3日までである。
About the Project	プロジェクトについて
Provisioning network credentials to IoT devices in an untrusted manner leaves networks vulnerable to having unauthorized IoT devices connect to them. It also leaves IoT devices vulnerable to being taken over by unauthorized networks. Instead, trusted, scalable, and automatic mechanisms are needed to safely manage IoT devices throughout their lifecycles, beginning with secure ways to provision devices with their network credentials—a process known as trusted network-layer onboarding. Trusted network-layer onboarding, in combination with additional device security capabilities such as device attestation, application-layer onboarding, secure lifecycle management, and device intent enforcement could improve the security of networks and IoT devices.	信頼されていない方法でIoTデバイスにネットワーク認証情報を提供すると、ネットワークは未承認のIoTデバイスに接続される危険性がある。また、IoTデバイスが不正なネットワークに乗っ取られる可能性もある。IoTデバイスのライフサイクルを通じて安全に管理するための、信頼できるスケーラブルで自動的なメカニズムが必要である。まず、デバイスにネットワーク認証情報を提供する安全な方法（信頼できるネットワーク層のオンボーディングとして知られるプロセス）がある。信頼できるネットワーク層のオンボーディングは、デバイスの認証、アプリケーション層のオンボーディング、セキュアなライフサイクル管理、デバイスの意図の強制など、追加のデバイスセキュリティ機能と組み合わせて、ネットワークとIoTデバイスのセキュリティを向上させることができる。
This practice guide aims to demonstrate how organizations can protect both their IoT devices and their networks. The NCCoE is collaborating with product and service providers to produce example implementations of trusted network-layer onboarding and capabilities that improve device and network security throughout the IoT-device lifecycle to achieve this.	この実践ガイドは、組織がIoTデバイスとネットワークの両方を保護する方法を示すことを目的としている。NCCoEは、製品およびサービスプロバイダと協力して、信頼できるネットワーク層のオンボーディングと、IoTデバイスのライフサイクルを通じてデバイスとネットワークのセキュリティを向上させる機能の実装例を作成し、これを実現するために取り組んでいる。
Join the IoT Community of Interest	IoTコミュニティ・オブ・インタレストに参加する
If you have expertise in IoT and/or network security and would like to help shape this project, consider joining the IoT Onboarding Community of Interest. Contact the project team at [mail] declaring your interest.	IoTおよび/またはネットワーク・セキュリティの専門知識をお持ちで、このプロジェクトの形成を支援したい人は、IoT Onboarding Community of Interestに参加することを検討して欲しい。プロジェクトチームまで連絡の上、興味を表明すること。
Abstract	概要
Providing devices with the credentials and policy needed to join a network is a process known as network-layer onboarding. Establishing trust between a network and an IoT device prior to such onboarding is crucial for mitigating the risk of potential attacks. There are two sides of this attack: one is where a device is convinced to join an unauthorized network, which would take control of the device. The other side is where a network is infiltrated by a malicious device. Trust is achieved by attesting and verifying the identity and posture of the device and the network as part of the network-layer onboarding process. Additional safeguards, such as verifying the security posture of the device before other operations occur, can be performed throughout the device lifecycle. In this practice guide, the National Cybersecurity Center of Excellence (NCCoE) applies standards, recommended practices, and commercially available technology to demonstrate various mechanisms for trusted network-layer onboarding of IoT devices. We show how to provide network credentials to IoT devices in a trusted manner and maintain a secure posture throughout the device lifecycle.	ネットワークに参加するために必要な証明書とポリシーをデバイスに提供することは、ネットワーク層のオンボーディングとして知られるプロセスである。このようなオンボーディングの前にネットワークとIoTデバイスの間に信頼関係を確立することは、潜在的な攻撃のリスクを軽減するために非常に重要である。この攻撃には2つの側面がある。1つは、デバイスが不正なネットワークに参加するように説得され、デバイスを制御される場合である。もう1つは、悪意のあるデバイスによってネットワークが侵入される場合である。信頼は、ネットワーク層のオンボーディングプロセスの一部として、デバイスとネットワークのアイデンティティと姿勢を証明し、検証することによって達成される。その他の操作の前にデバイスのセキュリティポストを検証するなどの追加のセーフガードは、デバイスのライフサイクル全体を通じて実行することができる。この実践ガイドでは、国立サイバーセキュリティ・センター・オブ・エクセレンス（NCCoE）が、標準、推奨実践、および市販の技術を適用して、IoTデバイスの信頼できるネットワーク層オンボーディングのためのさまざまなメカニズムを実証している。信頼できる方法でIoTデバイスにネットワーク認証情報を提供し、デバイスのライフサイクルを通じて安全な姿勢を維持する方法を紹介する。

・[PDF] NIST SP 1800-36A iprd

エグゼクティブサマリー...

Executive Summary	エグゼクティブサマリー
Providing devices with the credentials and policy needed to join a network is a process known as network-layer onboarding. Establishing trust between a network and an IoT device prior to such onboarding is crucial for mitigating the risk of potential attacks. There are two sides of this attack: one is where a device is convinced to join an unauthorized network, which would take control of the device. The other side is where a network is infiltrated by a malicious device. Trust is achieved by attesting and verifying the identity and posture of the device and the network as part of the network-layer onboarding process. Additional safeguards, such as verifying the security posture of the device before other operations occur, can be performed throughout the device lifecycle. In this practice guide, the National Cybersecurity Center of Excellence (NCCoE) applies standards, recommended practices, and commercially available technology to demonstrate various mechanisms for trusted network-layer onboarding of IoT devices. We show how to provide network credentials to IoT devices in a trusted manner and maintain a secure posture throughout the device lifecycle.	ネットワークに参加するために必要な証明書とポリシーをデバイスに提供することは、ネットワーク層のオンボーディングとして知られるプロセスである。このようなオンボーディングの前にネットワークとIoTデバイスの間に信頼関係を確立することは、潜在的な攻撃のリスクを軽減するために非常に重要である。この攻撃には2つの側面がある。1つは、デバイスが不正なネットワークに参加するように説得され、デバイスを制御される場合である。もう1つは、悪意のあるデバイスによってネットワークが侵入される場合である。信頼は、ネットワーク層のオンボーディングプロセスの一部として、デバイスとネットワークのアイデンティティと姿勢を証明し、検証することによって達成される。その他の操作の前にデバイスのセキュリティポストを検証するなどの追加のセーフガードは、デバイスのライフサイクル全体を通じて実行することができる。この実践ガイドでは、国立サイバーセキュリティ・センター・オブ・エクセレンス（NCCoE）が、標準、推奨実践、および市販の技術を適用して、IoTデバイスの信頼できるネットワーク層オンボーディングのためのさまざまなメカニズムを実証している。信頼できる方法でIoTデバイスにネットワーク認証情報を提供し、デバイスのライフサイクルを通じて安全な姿勢を維持する方法を紹介する。
CHALLENGE	課題
With 40 billion IoT devices expected to be connected worldwide by 2025, it is unrealistic to onboard or manage these devices by visiting each device and performing a manual action. While it is possible for devices to be securely provided with their local network credentials at the time of manufacture, this requires the manufacturer to customize network-layer onboarding on a build-to-order basis, which prevents the manufacturer from taking full advantage of the economies of scale that could result from building identical devices for its customers.	2025年までに世界中で400億台のIoTデバイスが接続されると予想される中、各デバイスを訪問して手動でアクションを実行することによって、これらのデバイスをオンボードまたは管理することは非現実的である。デバイスの製造時にローカルネットワークの認証情報を安全に提供することは可能であるが、この場合、メーカーはネットワーク層のオンボーディングを受注生産でカスタマイズする必要があり、顧客向けに同一のデバイスを製造することで得られる規模の経済を十分に活用することができなくなる。
The industry lacks scalable, automatic mechanisms to safely manage IoT devices throughout their lifecycles, and in particular it lacks a trusted mechanism for providing IoT devices with their network credentials and policy at the time of deployment on the network. It is easy for a network to falsely identify itself, yet many IoT devices onboard to networks without verifying the network’s identity and ensuring that it is their intended target network. Also, many IoT devices lack user interfaces, making it cumbersome to manually input network credentials. Wi-Fi is sometimes used to provide credentials over an open (i.e., unencrypted) network, but this onboarding method risks credential disclosure. Most home networks use a single password shared among all devices, so access is controlled only by the device’s possession of the password and does not consider a unique device identity or whether the device belongs on the network. This method also increases the risk of exposing credentials to unauthorized parties. Providing unique credentials to each device is more secure but providing unique credentials manually would be resource-intensive and error-prone, would risk credential disclosure, and cannot be performed at scale.	業界には、IoTデバイスをライフサイクルを通じて安全に管理するためのスケーラブルで自動的なメカニズムがなく、特に、IoTデバイスにネットワーク認証情報とポリシーをネットワークに展開する際に提供するための信頼できるメカニズムがない。ネットワークが自身を偽って識別することは容易であるが、多くのIoTデバイスは、ネットワークの識別情報を検証し、それが意図したターゲットネットワークであることを確認せずにネットワークにオンボードしている。また、多くのIoT機器にはユーザーインターフェースがないため、ネットワークの認証情報を手動で入力するのは面倒である。オープンな（つまり暗号化されていない）ネットワーク上で認証情報を提供するためにWi-Fiが使われることがあるが、このオンボーディング方式では認証情報が漏洩するリスクがある。ほとんどのホームネットワークでは、すべてのデバイスで共有される単一のパスワードを使用しているため、デバイスがパスワードを所有しているかどうかによってのみアクセスが制御され、デバイスの固有IDやデバイスがネットワークに属しているかどうかは考慮されない。また、この方法では、認証情報が不正な者にさらされる危険性が高くなる。各デバイスに一意のクレデンシャルを提供することはより安全であるが、一意のクレデンシャルを手動で提供することは、リソース集約的でエラーが起こりやすく、クレデンシャル開示のリスクがあり、大規模に実行することは不可能である。
Once a device is connected to the network, if it becomes compromised, it can pose a security risk to both the network and other connected devices. Not keeping such a device current with the most recent software and firmware updates may make it more susceptible to compromise. The device could also be attacked through the receipt of malicious payloads. Once compromised, it may be used to attack other devices on the network.	デバイスがネットワークに接続されると、それが危険にさらされた場合、ネットワークと他の接続デバイスの両方に対してセキュリティリスクをもたらす可能性がある。このようなデバイスを最新のソフトウェアやファームウェアに更新しておかないと、より危険にさらされる可能性がある。また、悪意のあるペイロードを受け取ることによっても、デバイスは攻撃される可能性がある。いったん侵害されると、ネットワーク上の他のデバイスを攻撃するために使用される可能性がある。
OUTCOME	成果
The outcome of a project is to develop example solutions, demonstrate them to support various scenarios, and publish the findings in this practice guide, a NIST Special Publication (SP) 1800 that is composed of multiple volumes targeting different audiences.	プロジェクトの成果は、ソリューション例を開発し、さまざまなシナリオをサポートするためにそれらを実証し、この実践ガイド（異なるオーディエンスを対象とした複数のボリュームで構成されるNIST Special Publication（SP）1800）で発見を公開することである。
This practice guide can help IoT device users:	このプラクティスガイドは、IoT デバイスのユーザーを支援する。
Understand how to onboard their IoT devices in a trusted manner to:	信頼できる方法で IoT デバイスを搭載する方法を理解する。
▪ Ensure that their network is not put at risk as new IoT devices are added to it	・新しい IoT デバイスが追加されても、ネットワークが危険にさらされないようにする。
▪ Safeguard their IoT devices from being taken over by unauthorized networks	・IoT デバイスが不正なネットワークに乗っ取られないように保護する。
▪ Provide IoT devices with unique credentials for network access	・IoTデバイスにネットワークアクセス用の一意のクレデンシャルを提供する。
▪ Provide, renew, and replace device network credentials in a secure manner	・デバイスのネットワーク認証情報を安全な方法で提供、更新、交換することができる。
▪ Support ongoing protection of IoT devices throughout their lifecycles	・IoT デバイスのライフサイクルを通しての継続的な保護をサポートする。
This practice guide can help manufacturers and vendors of semiconductors, secure storage components, IoT devices, and network onboarding equipment:	このプラクティスガイドは、半導体、セキュアストレージコンポーネント、IoTデバイス、ネットワークオンボーディング装置のメーカーやベンダーの助けとなるものである。
Understand the desired security properties for supporting trusted network-layer onboarding and explore their options with respect to recommended practices for:	信頼できるネットワーク層オンボーディングをサポートするために望ましいセキュリティ特性を理解し、以下の推奨事項に関する選択肢を検討する。
▪ Providing unique credentials into secure storage on IoT devices at time of manufacture (i.e., device credentials)	・製造時にIoTデバイスのセキュアストレージに固有のクレデンシャルを提供する（すなわちデバイスクレデンシャル）。
▪ Installing onboarding software onto IoT devices	・IoT デバイスにオンボーディングソフトウェアをインストールする。
▪ Providing IoT device purchasers with information needed to onboard the IoT devices to their networks (i.e., device bootstrapping information)	・IoTデバイスの購入者に、IoTデバイスをネットワークに搭載するために必要な情報（すなわち、デバイスのブートストラップ情報）を提供すること。
▪ Integrating support for network-layer onboarding with additional security capabilities to provide ongoing protection throughout the device lifecycle	・デバイスのライフサイクルを通じて継続的な保護を提供するために、ネットワーク層のオンボーディングのサポートを追加のセキュリティ機能と統合する。
SOLUTION	解決方法
The NCCoE has adopted the trusted network-layer onboarding approach to provide automated, trusted ways to provide IoT devices with unique network credentials and manage devices throughout their lifecycles to ensure that they remain secure. The NCCoE is collaborating with technology providers and other stakeholders initially to implement example trusted network-layer onboarding solutions for IoT devices that:	NCCoEは、IoTデバイスに固有のネットワーク認証情報を提供し、デバイスの安全性を維持するためにそのライフサイクルを通じてデバイスを管理する自動化された信頼できる方法を提供するために、信頼できるネットワーク層オンボーディングのアプローチを採用している。NCCoEは、まず技術プロバイダーやその他の関係者と協力して、以下のようなIoTデバイスのためのトラステッド・ネットワークレイヤー・オンボーディング・ソリューションの例を実装している。
▪ provide each device with unique network credentials,	・各デバイスに一意のネットワーク認証情報を提供する。
▪ enable the device and the network to mutually authenticate,	・デバイスとネットワークが相互に認証できるようにする。
▪ send devices their credentials over an encrypted channel,	・デバイスに暗号化されたチャネルでクレデンシャルを送信する。
▪ do not provide any person with access to the credentials, and	・デバイスの認証情報を暗号化されたチャネルで送信し、・認証情報へのアクセスを誰にも提供せず、かつ
▪ can be performed repeatedly throughout the device lifecycle.	・デバイスのライフサイクルを通じて繰り返し実行できる。
The use cases we demonstrate include:	私たちが示すユースケースは以下の通りである。
▪ trusted network-layer onboarding of IoT devices,	・IoTデバイスの信頼できるネットワークレイヤーオンボーディング。
▪ repeated trusted network-layer onboarding of devices to the same or a different network,	・同じネットワークまたは異なるネットワークへの信頼されたネットワーク層オンボーディングの繰り返し
▪ automatic establishment of an encrypted connection between an IoT device and a trusted application service (i.e., trusted application-layer onboarding) after the IoT device has performed trusted network-layer onboarding and used its credentials to connect to the network, and	・IoTデバイスが信頼されるネットワーク層のオンボーディングを実行し、ネットワークに接続するためにその資格情報を使用した後に、IoTデバイスと信頼されるアプリケーションサービスとの間の暗号化接続を自動的に確立すること（すなわち、信頼されるアプリケーション層のオンボーディング）、および
▪ software-based methods to provide device credentials in the factory and transfer device bootstrapping information from device manufacturer to device purchaser.	・工場でデバイスの認証情報を提供し、デバイス製造業者からデバイス購入者にデバイスのブートストラップ情報を転送するソフトウェアベースのメソッド。
Future use cases may include demonstrating the integration of trusted network-layer onboarding with zero trust-inspired capabilities such as ongoing device authorization, renewal of device network credentials, using device attestation to ensure that only trusted IoT devices are permitted to be onboarded, device lifecycle management, and enforcement of device communications intent.	今後のユースケースとしては、継続的なデバイス認証、デバイスのネットワーク認証情報の更新、デバイス認証の使用による信頼できるIoTデバイスのみのオンボーディング許可、デバイスライフサイクル管理、デバイス通信意図の実施など、ゼロトラストに着想を得た機能と信頼できるネットワーク層オンボーディングの統合を実証することが考えられる。
We are following an agile methodology of building implementations iteratively and incrementally, starting with network-layer onboarding and gradually integrating additional capabilities that improve device and network security throughout a managed device lifecycle. There are five initial builds that demonstrate network-layer onboarding and one factory use case build intended to simulate activities performed by an IoT device manufacturer to provide devices with their credentials. The network-layer onboarding builds will demonstrate the Wi-Fi Easy Connect, Bootstrapping Remote Secure Key Infrastructure, and Thread Commissioning protocol approaches. Several application-layer onboarding approaches will also be implemented, along with policy-based continuous assurance and authorization.	我々は、ネットワーク層のオンボーディングから始まり、管理されたデバイスのライフサイクルを通じてデバイスとネットワークのセキュリティを向上させる追加機能を徐々に統合しながら、反復的かつ段階的に実装を構築するアジャイル手法に従う。ネットワーク層のオンボーディングを実証する5つの初期ビルドと、IoTデバイスメーカーがデバイスに認証情報を提供する際の活動をシミュレートするための1つのファクトリーユースケースビルドが用意されている。ネットワーク層のオンボーディングビルドでは、Wi-Fi Easy Connect、Bootstrapping Remote Secure Key Infrastructure、およびThread Commissioningの各プロトコルアプローチを実証する。また、ポリシーベースの継続的な保証と承認とともに、アプリケーション層のオンボーディングアプローチもいくつか実装される予定である。
The example implementations use technologies and capabilities from our project collaborators (listed below). The solutions will map to NIST Cybersecurity Framework security standards and guidelines, NIST	実装例では、プロジェクトの共同研究者（以下にリストアップ）の技術や機能を使用する。これらのソリューションは、NISTサイバーセキュリティフレームワークのセキュリティ標準とガイドライン、NISTの内部報告書（NISTIR）8.0に準拠している。
Internal Report (NISTIR) 8259A capabilities, NISTIR 8228 considerations, and European	内部文書 (NISTIR) 8259Aの機能、NISTIR 8228の考慮事項、およびEuropean Telecommunications Standards Institute (ETSI)の技術に対応している。
Telecommunications Standards Institute (ETSI) European Standard (EN) 303 645 requirements.	Telecommunications Standards Institute (ETSI) European Standard (EN) 303 645の要件に対応する。