Armは米国時間2月25日、IoTデバイスとIoTサービスの信頼性を確立するため、複数のセキュリティテスト研究所と協力して、独立したセキュリティ認定を提供すると発表した。この新しい認定プロセスは、デバイスがArmの「Platform Security Architecture（PSA）」フレームワークに準拠していることを検証する。Armはこの「PSA Certified」プログラムにより、バリューチェーン全体でさまざまな組織に、適切なセキュリティレベルを持つシリコンやデバイスを購入しているという保証を提供したい考えだ。
Armが試験を行うために提携しているパートナーは、Brightsight、CAICT、Riscure、ULのほか、コンサルティングを担当するProve & Runだ。
Armが2017年に発表したPlatform Security Architecture（PSA）は、4段階のフレームワークで、IoT設計者がセキュリティのベストプラクティスを導入できるようにする。Armによれば、この認定プログラムは現在市場にあるIoTデバイスの大多数に適用できる。公開されている脅威モデル、仕様、オープンソースのリファレンスコードに基づいており、旧式のMCUのほか、より新しいプロセッサとプロセッサアーキテクチャで利用できる。
PSA Certifiedプログラムは2つの要素、すなわちセキュリティの堅牢性に関する多段階のスキームと、開発者向けのAPIテストスイートで構成されている。
多段階のスキームは、異なるセキュリティ要件を持つデバイスに対応できるよう設計されている。例えば、レベル1に準拠した温度センサは、屋外での導入に十分な安全性を備えている。レベル2に準拠したデバイスならば、家庭環境で求められる安全性を持ち、現在準備中のレベル3に準拠したデバイスは、産業用プラントでの導入に耐えうるセキュリティを提供できるという。
レベル1認定は、PSAセキュリティモデルの目標と、IoT脅威モデルを基にした質問票に回答することで取得できる。セキュリティモデルの目標は10件あり、セキュアなアップデートプロセス、それらアップデートの検証、アンチロールバック機能、セキュリティのライフサイクルなどが含まれる。質問票はダウンロード可能になっており、チップベンダー、RTOSベンダー、OEM向けにそれぞれ質問が用意されている。質問票に記入し、Armと提携しているテスト研究所による面談形式の評価を受ける。
Cypress、Microchip、Nordic Semiconductor、Nuvoton、NXP、STMicroelectronics、Silicon Labsなどがレベル1認定を取得しているという。
レベル1の場合、ベンダーはPSAセキュリティモデルの目標に達していることを示す証拠を提出すればよい。しかしレベル2では、チップメーカーのセキュリティ機能を実際にくぐり抜けようとするテストをする。研究所で25日間にわたり、PSAの信頼の起点（PSA-RoT）保護プロファイルに基づいて評価するほか、ソフトウェアとハードウェアが攻撃に耐えうるか試験を行う。
Armが間もなく提供予定のレベル3認定では、サイドチャネル攻撃や物理的な改ざんなど、より広範な攻撃に対するテストがある。
Armはほかにも、「PSA Functional API Certification」という認定を提供している。これはPSAベースのソリューションが、重要なセキュリティ機能向けに一貫性のあるAPIを提供しているか検証するというものだ。これにより、開発者がセキュアなアプリケーションを容易に開発し、相互運用性のあるソリューションのエコシステムを構築できるようになるだろう。
この記事は海外CBS Interactive発の記事を朝日インタラクティブが日本向けに編集したものです。
