ハードウェアセキュリティ VISUAL LAB

TPM（Trusted Platform Module）のコア設計思想であるメジャードブート（Measured Boot）は、セキュアブート（Secure Boot）と混同されがちですが、異なるアプローチを採っています。

セキュアブートは「整合性のない署名を持つモジュールの起動を拒否する」能動的な機能です。対してメジャードブートは「起動プログラムの改竄の有無に関わらず、すべてのバイナリコードやシステム設定パラメータを正確に測定し、TPMに安全に記録（測定）する」技術です。

この測定値は、改竄不可能なレジスタであるPCR (Platform Configuration Register)に格納されます。PCRは、単純に値を書き換えることができない仕様になっています。値の追加（拡張）は、以下の暗号ハッシュ関数を用いた一方向関数に従って実行されます。

ここで「$\parallel$」はデータの結合（Concatenation）を示します。ハッシュ関数の一方向性と衝突耐性により、一度PCRに悪意あるコードのハッシュ（$BAD4$）が混入すると、以降のプログラムがどれほど正常であっても、最終的なPCRの出力値からハッキングの痕跡を完全に隠蔽・消去することは数学的に不可能です。

この結果は、リモートアテステーション（遠隔検証）を用いて外部サーバーに送られ、プラットフォームが正規な状態であるかを判定するために使用されたり、暗号化ストレージ（BitLocker等）の鍵を特定のPCR組み合わせとロックして保管する「Sealing（封印）」に活用されます。

FPGA（プログラム可能LSI）は、SRAMベースのアーキテクチャを採用しているものが多く、電源オフにより論理構成データ（ルックアップテーブルやルーティングマップ）が揮発します。そのため、起動時に外部の安価なSPI Flashメモリ等から「ビットストリーム」データを読み込み、内部に展開します。

しかし、この外部経路のデータバスは、プロービングやロジックアナライザによるビットストリーム奪取（リバースエンジニアリング、クローニング）に対して無防備になります。

最新のセキュリティFPGAはこの脆弱性に対応するため、ビットストリームに強力な暗号化（AES-256-GCM、GCMにより認証付き）を施します。FPGAのコア内部には、この構成ファイルをブート時に瞬時に復号するための、超高速なハードウェアAESエンジンが統合されています。

問題は「その復号マスター鍵をどこに置くか」です。主に以下の2つが採用されます。

• eFUSE (電子フューズ): シリコン内に物理的な極小抵抗素子を焼き切ることで記録する。変更不可能、物理的・能動的消去（ゼロ化）は不可能だが安定性が高い。
• BBRAM (バッテリ保持メモリ): 常に外部超小型バックアップバッテリから給電される揮発性メモリ。本領域の鍵は、物理的な攻撃（耐タンパー防御層の切断、急激な温度変化や異常電圧、JTAGデバッグポートの異常探査）を検知した「ナノ秒」のレベルで、内部の能動スイッチ（ゼロ化機構）によりバッテリ供給を瞬時にショート・カットし、痕跡を残さず物理消滅させることができます（ゼロ化 / Zeroization）。

この能動消去により、ハッカーがプローブの針をシリコン上に当てて物理リバースを行おうとした瞬間にすべての解読能力が失われ、チップは単なる砂の結晶へと回帰します。

PUF（物理的複製困難関数）は、従来不揮発性メモリ（ROMやFlash、eFUSE）に『定数』として記録されていた暗号鍵の保持方法を根本から変革する技術です。

不揮発性メモリに暗号鍵を書き込んでおくと、攻撃者が超高性能の走査型電子顕微鏡（SEM）でシリコン表面の微細配線をレイヤー分解したり、集束イオンビーム（FIB）等を用いて直接シリコン層の電位を物理観測した際に、鍵データそのものが盗み出される可能性を排除できません。

これに対し、PUFの最大の設計思想は「マスター鍵をデバイス内に静的に保存しない」というものです。

ナノスケール半導体の製造プロセスにおいて、リソグラフィ（露光技術）の波長限界や不純物のランダム原子拡散により、どんな最先端工場でもトランジスタのゲート酸化膜の厚さや閾値電圧（$V_{th}$）に制御不可能な物理的なばらつき（製造ゆらぎ）が生じます。

代表的なSRAM-PUFでは、電源ON時、SRAMを構成する2つのインバータが互いの入力を帰還させ合う「メタ安定状態」から、トランジスタ内部の極小の抵抗バランス差に従って強制的に「1」または「0」の安定状態へと正帰還します。この初期状態のばらつきパターンは、同一ウェハ上の隣接チップであっても完全にユニークで、チップ固有の指紋となります。

この性質を利用し、入力（Challenge）に対して、物理回路が即座に反応して出力するパターン（Response）を固有の暗号鍵として生成します。

電源OFF時にはSRAM内の状態は一瞬で消失し、鍵は物理的にこの宇宙から消えます。さらに、攻撃者が顕微鏡等でシリコンの結晶を解析しようとしても、測定しようとする物理的接触 of エネルギーそのものがトランジスタの微小閾値バランスを狂わせてしまうため、物理的な解析によるコピーも事実上不可能です。

※なお、製造ゆらぎは温度や供給電圧の変動、経年劣化によって出力にわずかなゆらぎ（ビットエラー）が発生するため、実用化の際は「エラー訂正符号（ECC）」や「ヘルパーデータ（Fuzzy Extractor）」と呼ばれる誤り訂正アシスト回路と組み合わせて使用されます。

HSM（ハードウェアセキュリティモジュール）は、現代の公開鍵暗号基盤（PKI）、電子署名、金融トランザクション、暗号資産のコールドウォレット管理などで最も重要となるマスター認証局ルート鍵を、あらゆるレベルのサイバー・物理侵入攻撃から防御するための極めて堅牢な物理的専用機器です。

HSMのコア設計思想は、暗号規格FIPS 140-2 / FIPS 140-3（米国連邦情報処理標準）によって体系化されており、そのセキュリティ要件は主に以下の4つのレベルに分類されます。

• Level 1: 少なくとも一つの承認された暗号化アルゴリズムを実装している。物理的なセキュリティ要件はほとんどない。
• Level 2: 物理的な開封検知用テープ（封印シール）等により、物理的な侵入の痕跡（エビデンス）が残るように設計されている。Roleベース認証の適用。
• Level 3: 強い対タンパー（侵入防止）設計。こじ開けやシャーシカバーの取り外しを検知した瞬間、内部メモリに保持された機密データをゼロ化消去（能動破壊）する。Identityベース認証の義務付け。
• Level 4 (最高峰): 全ての物理エンベロープ（筐体全体）が極めて微細な抵抗・電圧監視ワイヤメッシュで包まれており、ドリルによる穴あけや化学薬品による融解、高解像度X線スキャン、極端な電圧スパイク、液体窒素による急速冷凍攻撃（フリーズ攻撃）を含め、あらゆる周囲環境異常を100%検出して即時自己破壊回路を作動させる。

また、HSMは単に鍵を保管するだけでなく、鍵を絶対に境界の外部に公開しないまま、境界内部の隔離された高性能演算コプロセッサで暗号処理（暗号化・復号・署名生成）を行い、成果物だけをホストサーバーに返却するという「暗号アイソレーション」を実行します。

更に、重要鍵の操作には「1人の悪意あるシステム管理者」による不正利用を防ぐためのマルチパーソンコントロール（M-of-N認証、クォーラム認証）が実装されており、物理キーやPINを持つ複数の管理者が現場（またはリモート）に揃わなければルート鍵を起動できない運用ポリシが強制されます。