「信頼済みデバイス」を確立するために
信頼済みデバイス（Trusted Device）とは、デバイスのメーカーやこれを利用するサービスプロバイダが次のことを検証できるデバイスを指す――（1）ハードウェアとソフトウェアが改ざんされていないこと、（2）デバイスが真正なデバイスであること、（3）デバイスが生成するデータが真正であること。これらを抑える必要がある。
一定の段階（たとえば製造時）からデバイスが改ざんされていないことは、暗号によって実証することが可能だ。具体的には、識別可能な重要なサブシステムのフィンガープリントを取り、このフィンガープリントをデジタル署名にして真正性を証明する。実際の運用の場面では、デバイスのフィンガープリントのデジタル署名はPKI（公開鍵基盤）テクノロジによって生成される。
PKI処理用の暗号化キーを生成して格納するセキュアエレメントを搭載していることは、ハードウェアにとって必要不可欠だ。ハードウェアのセキュアエレメントは、専用の物を利用する、または、eSIM（消費者向けデバイス）やMIM（工業／自動車アプリケーション）などの通信アプリケーションで使われているセキュアエレメントをハードウェア保護に使用することも可能だ。
セキュリティが確保されたキーはハードウェアの信頼のベースとなり、このキーによってハードウェア上の「トラスト層」を確立できる。ハードウェアセキュアエレメントを使用することで、差分電力解析（Differential Power Analysis：DPA）や電子顕微鏡を通じたリバースエンジニアリング（仕様やソースコードなどを分析、調査すること）などの悪意あるハードウェア攻撃からキーを保護することが可能になる。
デバイスフィンガープリントは、デバイス製造時におけるデバイスの製造者や所有者を代表する認証局（CA）によって署名され、デバイス内に格納されている必要がある。デバイス認証は当該デバイスを他のデバイスやサービスで識別するために使われるとともに、高信頼通信チャネルの確立や機密情報の暗号化、真正性を証明するためのデータのデジタル署名に使用することが可能だ。
デバイスに必要なもう1つの重要なトラストアンカー（電子的認証の際の基点）は、信頼の対象（誰か、何か）を認識することだ。これらのトラストアンカーは、ルート認証局証明書としてデバイスに内蔵される。デバイスに格納されているルート証明書は1つの場合もあれば、複数の場合もある。
これらの証明書によって、認証済みマスターサイト、認証済みメンテナンスエンティティ、信頼性のあるソフトウェアアップデートといったエンティティを識別することが可能だ。ルート証明書はデバイス内で安全に格納し、適切な権限がなければ改変できないようにすることが重要だ。
将来に備えて、デバイスに追加のキーが必要な場合もある。このため、デバイスにはキーのペアを生成するとともに追加のデジタル証明書を登録、ダウンロードする機能が必要だ。言うまでもなく、これらの機能もセキュリティによって保護することで、適切な権限を有するエンティティ（従業員、パートナー、デバイス、サービスなどデータにアクセスする実体）以外はこれらの処理を実行できないようにしなければならない。
