米国 NIST CSWP 42（初期公開ドラフト） IoT セキュリティの自動化に向けて： 信頼できるネットワーク層オンボーディングの実装 (2025.04.14)

こんにちは、丸山満彦です。

NISTが、CSWP 42（初期公開ドラフト） IoT セキュリティの自動化に向けて： トラステッド・ネットワークレイヤー・オンボーディングの実装を公表し、意見募集をしていますね...

● NIST - ITL

・2025.04.14 NIST CSWP 42 (Initial Public Draft) Towards Automating IoT Security: Implementing Trusted Network-Layer Onboarding

NIST CSWP 42 (Initial Public Draft) Towards Automating IoT Security: Implementing Trusted Network-Layer Onboarding	NIST CSWP 42（初期公開ドラフト） IoT セキュリティの自動化に向けて： 信頼できるネットワーク層オンボーディングの実装
Announcement	発表
IoT device network-layer onboarding is an automated mechanism for securely provisioning network credentials to devices, thereby enhancing network security and management. IoT devices can measure energy consumption, detect component faults, monitor water quality, measure toxins, and detect infrastructure breaches. Whether used in complex operational networks or simple home networks, the goal is to avoid exposing these networks to additional threats. Key capabilities of trusted IoT device network-layer onboarding include per-device network credentials, zero-touch onboarding, configurable trust policies, and continuous assurance. Organizations and individuals using IoT devices to collect data for quick identification of potential issues and rapid response management are encouraged to read the publication.	IoTデバイスのネットワークレイヤー・オンボーディングは、ネットワーク認証情報をデバイスに安全にプロビジョニングするための自動化されたメカニズムであり、それによってネットワーク・セキュリティと管理が強化される。IoTデバイスは、エネルギー消費量の測定、コンポーネントの故障検知、水質監視、毒物測定、インフラ違反の検知などを行うことができる。複雑な業務ネットワークで使用されるにせよ、単純なホームネットワークで使用されるにせよ、目標はこれらのネットワークをさらなる脅威にさらさないことである。信頼できるIoTデバイスのネットワークレイヤー・オンボーディングの主な機能には、デバイスごとのネットワーク・クレデンシャル、ゼロタッチ・オンボーディング、設定可能な信頼ポリシー、継続的な保証などがある。IoTデバイスを使用してデータを収集し、潜在的な問題の迅速な特定と迅速な対応管理を行っている組織や個人は、この出版物を読むことが推奨される。
Abstract	概要
This document provides an overview of trusted Internet of Things (IoT) device network-layer onboarding, a capability for securely providing IoT devices with their local network credentials in a manner that helps to ensure that the network is not put at risk as new IoT devices are connected to it— enhancing network security and management.	本書では、信頼できるIoTデバイスのネットワークレイヤー・オンボーディングの概要を説明し、新しい IoT デバイスがネットワークに接続されても、ネットワークがリスクにさらされることがないように、IoT デバイスにローカル・ネットワーク認証情報を安全にプロバイダとして提供する機能であり、ネットワークのセ キュリティとマネジメントを強化するものである。

・[PDF] CSWP.42.ipd

Audience	想定読者
This paper is intended for individuals and organizations who use IoT devices to collect data from a variety of systems and locations in order to enable quick identification of potential issues and rapid response and management of them. For example, IoT devices could measure real-time data to detect component faults, measure toxins, or detect infrastructure breaches. Whether these IoT devices are used on complex operational networks or relatively simple home networks, the goal is to avoid exposing those networks and devices to additional threats.	本書は、潜在的な問題の迅速な特定と迅速な対応・管理を可能にするために、IoT デバイスを使用して様々なシステムや場所からデータを収集する個人や組織を対象としている。例えば、IoTデバイスは、コンポーネントの故障を検知したり、毒素を測定したり、インフラの侵害を検知したりするために、リアルタイムのデータを測定することができる。これらのIoTデバイスが複雑な業務ネットワークで使用されるにせよ、比較的単純なホームネットワークで使用されるにせよ、目標はそれらのネットワークやデバイスがさらなる脅威にさらされないようにすることである。
Overview	全体像
When an IoT device is deployed, it must be connected to a local network. To connect to that local network securely, the device must be provided with network credentials. If those network credentials are not unique to the device or are not provided in a secure manner, the network will be at increased risk of unauthorized or malicious devices connecting to it. Along the same lines, if an IoT device is not able to establish trust in the network it is joining it could be put at risk of onboarding to malicious networks.	IoTデバイスを展開する際には、ローカルネットワークに接続する必要がある。そのローカル・ネットワークに安全に接続するには、デバイスにネットワーク認証情報を提供しなければならない。これらのネットワーク認証情報がデバイスに固有でなかったり、安全な方法で提供されなかったりすると、ネットワークは未承認デバイスや悪意のあるデバイスが接続するリスクが高まる。同様に、IoTデバイスが参加するネットワークに対する信頼を確立できなければ、悪意のあるネットワークにオンボーディングされるリスクもある。
What are the current IoT onboarding challenges?	現在のIoTオンボーディングの課題は何か？
With nearly 30 billion IoT devices forecasted to be connected worldwide by 2030 [1], there are several cybersecurity challenges that demand an automated, secure solution:	2030年までに世界中で約300億台のIoTデバイスが接続されると予測されており[1]、自動化された安全なソリューションを必要とするサイバーセキュリティ上の課題がいくつかある：
1. Manual provisioning of IoT devices is error-prone, time-consuming, and often insecure, especially at scale.	1. IoT デバイスのプロビジョニングは手作業で行われるため、ミスが発生しやすく、時間がかかり、特に大規模な場合、安全でないことが多い。
2. Shared credentials allow threats to propagate easily across devices.	2. 共有された認証情報により、デバイス間で脅威が容易に伝播する。
3. Limited user interfaces on many IoT devices make manual credential input challenging or impossible.	3. 多くの IoT デバイスではユーザー・インタフェースが限られているため、クレデンシャルの手動 入力が困難または不可能である。
4. Open Wi-Fi networks used for provisioning of network credentials increase the risk of eavesdropping and unauthorized access.	4. ネットワーク認証情報のプロビジョニングに使用されるオープン Wi-Fi ネットワークは、盗聴や不正アクセスのリスクを増大させる。
5. Lack of device authentication means that networks cannot verify if connecting devices truly belong.	5. デバイス認証の欠如は、ネットワークが接続デバイスが本当に所属しているかどうかを検証できないことを意味する。
How does trusted network-layer onboarding address the problem?	トラステッド・ネットワーク・レイヤー・オンボーディングはどのように問題に対処するのか？
Trusted network-layer onboarding is an automated mechanism for securely provisioning network credentials to a device. Trusted network-layer onboarding and lifecycle management offers four key capabilities to address these challenges:	トラステッド・ネットワーク・レイヤー・オンボーディングは、ネットワーク・クレデンシャルをデバイスに安全にプロビジョニングするための自動化されたメカニズムである。信頼されたネットワーク・レイヤのオンボーディングとライフサイクル管理は、これらの課題に対処するための 4 つの主要機能を提供する：
1. Per-device network credentials	1. デバイスごとのネットワーク・クレデンシャル
ƒ Provides each device with unique network credentials.	各デバイスに固有のネットワーク・クレデンシャルを提供する。
ƒ Reduces attack surface and constrains potential damage.	攻撃対象を減らし、潜在的な被害を抑制する。
ƒ Allows easy removal of individual compromised devices. ƒ Prevents credential leakage between devices.	侵害された個々のデバイスを簡単に削除できるようにする。デバイス間でのクレデンシャルの漏洩を防ぐ。
2. Zero-touch onboarding	2. ゼロ・タッチ・オンボーディング
ƒ Enables automated, scalable device onboarding.	自動化されたスケーラブルなデバイス・オンボーディングを可能にする。
ƒ Eliminates manual errors and security vulnerabilities.	手作業によるエラーやセキュリティ脆弱性を排除する。
ƒ Simplifies the process for both enterprise and consumer use cases.	エンタープライズとコンシューマの両方のユースケースでプロセスを簡素化する。
3. Configurable trust policies	3. 設定可能な信頼ポリシー
ƒ Allows customization of trust definitions based on specific use cases.	特定のユースケースに基づく信頼定義のカスタマイズが可能。
ƒ Enables flexible adaptation to various security requirements. ƒ Encapsulates the onboarding method for different scenarios.	さまざまなセキュリティ要件に柔軟に対応できる。さまざまなシナリオのオンボーディング方法をカプセル化する。
4. Continuous assurance	4. 継続的な保証
ƒ Implements zero-trust principles.	ゼロトラスト原則を実装する。
ƒ Enables ongoing policy-based device authorization.	継続的なポリシーベースのデバイス認可を可能にする。
ƒ Allows for immediate device removal if trust policies are breached.	信頼ポリシーに違反した場合、デバイスの即時削除を可能にする。
These capabilities work together to:	これらの機能は、以下のように連携する：
ƒ Enable mutual authentication between devices and networks.	デバイスとネットワーク間の相互認証を可能にする。
ƒ Securely transmit credentials over encrypted channels.	暗号化されたチャネルで認証情報を安全に送信する。
ƒ Prevent unauthorized access to network credentials.	ネットワーク認証情報への不正アクセスを防止する。
ƒ Support repeated onboarding throughout a device’s lifecycle.	デバイスのライフサイクルを通じて、繰り返しオンボーディングをサポートする。
By authenticating the identity of each device before providing the device with its network credentials, ensuring that each device receives unique credentials, and having those credentials encrypted while they are in-transit to the device, trusted network-layer onboarding helps ensure that the network will not be put at risk as new IoT devices are connected to it.	デバイスにネットワーク・クレデンシャルを提供する前に各デバイスの身元を認証し、各デバイスが固有のクレデンシャルを受け取ることを保証し、デバイスへの転送中にこれらのクレデンシャルを暗号化することで、信頼されたネットワーク層のオンボーディングは、新しい IoT デバイスがネットワークに接続されてもネットワークがリスクにさらされないことを保証するのに役立つ。
How can I use trusted network-layer onboarding?	信頼されたネットワークレイヤーのオンボーディングを使用するには？
The NCCoE Trusted IoT Device Network Layer Onboarding project recently implemented and demonstrated two different trusted network-layer onboarding protocols: Wi-Fi Easy Connect [2] and Bootstrapping Remote Secure Key Infrastructure (BRSKI) [3]. Wi-Fi Easy Connect leverages public key cryptography to ensure secure authentication and supports both Wi-Fi Protected Access 2 (WPA2) and WPA3 security standards, while BRSKI makes use of manufacturer-installed X.509 certificates and a registrar to establish mutual trust between the device and the network. The Wi-Fi Easy Connect protocol is particularly useful for devices with limited or no user interfaces, such as IoT devices in smart homes or enterprise settings, whereas BRSKI is designed for environments where devices need to be securely onboarded without user intervention, making it applicable to large-scale deployments. Irrespective of the use-case, Wi-Fi Easy Connect and BRSKI may be used to provide trusted network-layer onboarding in a manner that is more secure and easy to use. To leverage these protocols, IoT devices should be manufactured with support for the selected protocol, and target networks must be equipped with compatible onboarding components (e.g., Wi-Fi Easy Connect-enabled access point or a BRSKIenabled registrar). It is the IoT device manufacturer’s role to ensure that devices are designed to support one of the protocols and IoT device users’ responsibility to select a protocol that aligns with their specific network requirements and the type of devices being onboarded. Individuals and organizations that want to take advantage of the enhanced security benefits offered by trusted network-layer onboarding may use either one of these protocols.	NCCoE Trusted IoT Device Network Layer Onboardingプロジェクトは最近、2つの異なる信頼されたネットワーク層オンボーディング・プロトコルを実装し、実証した： Wi-Fi Easy Connect [2]とBootstrapping Remote Secure Key Infrastructure (BRSKI)[3]である。Wi-Fi Easy Connectは、公開鍵暗号方式を活用して安全な認証を保証し、Wi-Fi Protected Access 2（WPA2）とWPA3の両方のセキュリティ標準をサポートする一方、BRSKIは、製造者がインストールしたX.509証明書とレジストラを利用して、デバイスとネットワーク間の相互信頼を確立する。Wi-Fi Easy Connectプロトコルは、スマートホームやエンタープライズ環境におけるIoTデバイスなど、ユーザーインターフェイスが限られている、または全くないデバイスに特に有用である。使用ケースに関係なく、Wi-Fi Easy ConnectとBRSKIは、より安全で使いやすい方法で信頼できるネットワークレイヤーのオンボーディングを提供するために使用できる。これらのプロトコルを活用するには、IoTデバイスは選択されたプロトコルをサポートして製造される必要があり、ターゲット・ネットワークは互換性のあるオンボーディング・コンポーネント（Wi-Fi Easy Connect対応アクセス・ポイントやBRSKI対応レジストラなど）を備えていなければならない。デバイスがいずれかのプロトコルをサポートするように設計されていることを確認するのはIoTデバイス製造事業者の役割であり、特定のネットワーク要件とオンボードされるデバイスのタイプに沿ったプロトコルを選択するのはIoTデバイスユーザーの責任である。信頼されたネットワーク層のオンボーディングによって提供される強化されたセキュリティの利点を利用したい個人や組織は、これらのプロトコルのいずれかを使用することができる。
What else should I know about trusted network-layer onboarding?	信頼されたネットワーク層のオンボーディングについて、他に知っておくべきことは？
Trusted network-layer onboarding is a continuous or recurring activity. Any given IoT device may need to be onboarded multiple times throughout its lifecycle, for example, to replace network credentials that need to be refreshed or to enable a device to be securely provisioned with credentials for a different network after being resold or repurposed. If a device supports Wi-Fi Easy Connect or BRSKI, these protocols may be used to provision the device with network credentials repeatedly, as needed throughout its lifetime.	信頼されたネットワーク層のオンボーディングは、継続的または反復的な活動である。例えば、リフレッシュが必要なネットワーク・クレデンシャルを置き換えたり、デバイスを転売または再利用した後に別のネットワーク用のクレデンシャルで安全にプロビジョニングできるようにするためである。デバイスが Wi-Fi Easy Connect または BRSKI をサポートしている場合、これらのプロトコルを使用して、デバイスのライフタイムを通じて必要に応じて、デバイスにネットワーク・クレデンシャルを繰り返しプロビジョニングすることができる。
Mutual Authentication	相互認証
It is easy for a network to falsely identify itself, yet many IoT devices onboard to networks without first verifying the network’s identity to ensure that it is their intended target network. By authenticating the network (in addition to authenticating the device), trusted network-layer onboarding helps protect the device from joining and being taken over by an unauthorized, imposter network.	ネットワークが自分自身を偽って識別することは簡単だが、多くのIoTデバイスはネットワークの識別を最初に検証することなくネットワークにオンボードし、それが意図したターゲット・ネットワークであることを確認している。デバイスの認証に加えて）ネットワークを認証することで、信頼できるネットワークレイヤーのオンボーディングは、デバイスが不正な偽者ネットワークに参加したり、乗っ取られたりするのを防ぐのに役立つ。
Device Management Support	デバイス・マネジメント・サポート
Once an IoT device is connected to the network, if it becomes compromised, it can pose a security risk to both the network and other connected devices. Not keeping such a device current with the most recent software and firmware updates may make it more susceptible to compromise. The device could also be attacked through the receipt of malicious payloads. Once compromised, it may be used to attack other devices on the network. While trusted network-layer onboarding is essential to the security of an IoT device and its network, it is important to also deploy additional security measures to securely update and manage IoT devices throughout the duration of their connection to the network to ensure that they remain secure.	IoTデバイスがネットワークに接続されると、それが危険にさらされた場合、ネットワークと他の接続デバイスの両方にセキュリティ・リスクをもたらす可能性がある。このようなデバイスを最新のソフトウェアやファームウェアに更新しておかないと、侵害されやすくなる可能性がある。デバイスはまた、悪意のあるペイロードを受け取ることで攻撃される可能性もある。いったん侵害されると、ネットワーク上の他のデバイスを攻撃するために使われる可能性がある。信頼できるネットワーク層のオンボーディングは、IoT デバイスとそのネットワークのセキュリティに不可欠であるが、IoT デバイスの安全性を維持するためには、ネットワークへの接続期間中、IoT デバイスを安全に更新・管理するための追加のセキュリティ対策を展開することも重要である。
Application-layer Onboarding	アプリケーション層のオンボーディング
Trusted network-layer onboarding can provide a secure foundation for additional security measures used to protect the device and its network on an ongoing basis. For example, trusted network-layer onboarding can provide a foundation for trusted application-layer onboarding by providing the secure exchange of application-layer onboarding bootstrapping information between a device and an application server to which it needs to connect securely. Trusted network-layer onboarding can be immediately and automatically followed by trusted application-layer onboarding, ensuring that a device is securely provisioned not only with its network credentials, but also with application-layer credentials. The device’s application server may then be used to securely download the most recent version of the device’s application to it, as well as to provide ongoing lifecycle management for the device, updating and patching its software as needed to maintain a secure posture on an ongoing basis. The example implementations built as part of the NCCoE Trusted IoT Device Network-Layer Onboarding project demonstrated IoT devices automatically performing several different types of trusted application-layer onboarding following successful trusted network-layer onboarding and network connection.	信頼されたネットワーク層のオンボーディングは、デバイスとそのネットワークを継続的に保護するために使用される追加のセキュリティ対策のための安全な基盤を提供することができる。例えば、信頼されたネットワーク・レイヤ・オンボーディングは、デバイスと、デバイスがセキュアに接続する必要のあるアプリケーション・サーバとの間で、アプリケーション・レイヤ・オンボーディングのブートストラップ情報のセキュアな交換をプロバイダすることによって、信頼されたアプリケーション・レイヤ・オンボーディングの基盤を提供することができる。信頼されたネットワーク・レイヤのオンボーディングは、信頼されたアプリケーション・レイヤのオンボーディングに即座に自動的に続くことができ、デバイスがネットワーク・クレデンシャルだけでなくアプリケーション・レイヤのクレデンシャルでも安全にプロビジョニングされることを保証する。デバイスのアプリケーション・サーバーは、デバイスのアプリケーションの最新バージョンを安全にダウンロードするために使用されるだけでなく、デバイスの継続的なライフサイクル管理を提供し、継続的に安全な姿勢を維持するために必要に応じてソフトウェアを更新し、パッチを適用するために使用される。NCCoE Trusted IoT Device Network-Layer Onboarding プロジェクトの一環として構築された実装例では、IoT デバイスが、信頼されたネットワーク層のオンボーディングとネットワーク接続に成功した後、いくつかの異なるタイプの信頼されたアプリケーション層のオンボーディングを自動的に実行することが実証された。
Beyond the examples of trusted network-layer onboarding integrated with application-layer onboarding demonstrated in this project, like Wi-Fi Easy Connect and Open Connectivity Foundation’s (OCF) IoTivity, there are additional methods of demonstrating this capability. An example of this is the integration of the Wireless Broadband Alliance’s (WBA) OpenRoaming framework with the FIDO Device Onboard (FDO) protocol, developed by the FIDO Alliance, which uses asymmetric public key cryptography to provide a secure method for onboarding IoT devices to any device application-layer management system [4]. Another application-layer protocol in this space is Matter, developed by the Connectivity Standards Alliance (CSA). It incorporates builtin components for secure device application-layer onboarding, utilizing device identity and certificate-based authentication. This application-layer onboarding protocol supports various network transports, including Wi-Fi, Thread, and Ethernet, making it a versatile option for a variety of IoT device network-layer onboarding protocols [5].	Wi-Fi Easy ConnectやOpen Connectivity Foundation（OCF）のIoTivityのように、このプロジェクトで実証されたアプリケーション層オンボーディングと統合された信頼できるネットワーク層オンボーディングの例以外にも、この能力を実証する方法がある。この例として、Wireless Broadband Alliance（WBA）のOpenRoamingフレームワークと、FIDO Allianceが開発したFIDO Device Onboard（FDO）プロトコルの統合がある。FDOは、非対称公開鍵暗号を使用して、任意のデバイス・アプリケーション層管理システムにIoTデバイスをオンボードするための安全な方法を提供する[4]。この分野のもう一つのアプリケーション層プロトコルは、Connectivity Standards Alliance (CSA)によって開発されたMatterである。このプロトコルは、セキュアなデバイス・アプリケーションレイヤ・オンボーディングのためのビルトイン・コンポーネントを内蔵しており、デバイス ID と証明書ベースの認証を利用する。このアプリケーション・レイヤー・オンボーディング・プロトコルは、Wi-Fi、Thread、イーサネットを含む様々なネットワーク・トランスポートをサポートしており、様々な IoT デバイスのネットワーク・レイヤー・オンボーディング・プロトコルに対応する汎用的なオプションとなっている [5]。
Additional Security Capabilities	付加的なセキュリティ機能
Trusted network-layer onboarding can also provide a secure foundation for additional security mechanisms, such as device communications intent enforcement (e.g., Manufacturer’s Usage Description—MUD [6]). MUD provides a standard way to specify the network communications that an IoT device requires to perform its intended functions. For example, the Wi-Fi Easy Connect protocol is specifically designed with the option of securely conveying the MUD file URL from the device to the network. If the network is equipped to support MUD, the Wi-Fi Easy Connect trusted network-layer onboarding process can securely provide the network with the device intent information that it needs to ensure that only traffic that is required for the device to fulfill its designated purpose will be permitted to be sent from and received by the device.	信頼されたネットワーク層オンボーディングは、デバイス・コミュニケーション・イン テント強制（例えば、製造事業者使用記述-MUD [6]）などの付加的なセキュリティ・メカニ ズムのための安全な基盤を提供することもできる。MUD は、IoT デバイスが意図した機能を実行するために必要なネットワーク・コミュニケーションを指定する標準的な方法を提供する。例えば、Wi-Fi Easy Connectプロトコルは、MUDファイルのURLをデバイスからネットワークに安全に伝達するオプションで特別に設計されている。ネットワークがMUDをサポートするように装備されている場合、Wi-Fi Easy Connectの信頼されたネットワーク層のオンボーディング・プロセスは、デバイスが指定された目的を果たすために必要なトラフィックのみがデバイスから送受信されることを確実にするために必要なデバイス・インテント情報をネットワークに安全に提供することができる。
One of the example implementations built as part of the NCCoE project demonstrated several zero trustinspired capabilities for performing continuous device authorization after the completion of trusted networklayer onboarding. This build performed a set of ongoing policy-based assurance checks and removed the device from the network if, for example, the vulnerability score for the device’s software bill of materials was determined to be below a set threshold, the device attempted to contact an IP address that was on a deny list, or the manufacturer of the device was no longer trusted.	NCCoEプロジェクトの一環として構築された実装例の1つは、信頼されたネットワークレイヤーのオンボーディングが完了した後、継続的なデバイス認可を実行するためのゼロトラストにヒントを得たいくつかの機能を実証した。このビルドでは、継続的なポリシーベースの保証チェックを行い、例えばデバイスのソフトウェア部品表の脆弱性スコアが設定されたしきい値を下回ると判断された場合、デバイスが拒否リストにあるIPアドレスにコンタクトしようとした場合、またはデバイスの製造者が信頼できなくなった場合に、デバイスをネットワークから削除した。
For background information on the NCCoE Trusted IoT Device Network-Layer Onboarding project, including the functionality supported by five example trusted IoT device onboarding implementations prototyped within the demonstration lab environment, see NIST SP 1800-36, Volume B, Trusted IoT Device Network-Layer Onboarding and Lifecycle Management: Approach, Architecture, and Security Characteristics.	NCCoE Trusted IoT Device Network-Layer Onboarding プロジェクトの背景情報（実証ラボ環境内でプロトタイピングされた 5 つの Trusted IoT Device Onboarding 実装例でサポートされる機能を含む）については、NIST SP 1800-36, Volume B, Trusted IoT Device Network-Layer Onboarding and Lifecycle Management を参照のこと： アプローチ、アーキテクチャ、およびセキュリティの特徴」を参照のこと。