コミュニティ主導のハードウェアCWE：設計セキュリティ弱点を特定する新フレームワーク

現代のコンピュータシステムはこれまで以上に高度で複雑になっており、サイバー攻撃の巧妙さは驚異的なペースでエスカレートしています。業界は長らくソフトウェアの強化に注力してきましたが、攻撃者は設計、製造、運用中に生じる脆弱性を悪用し、ハードウェア層を標的にすることが増えています。

学術および業界の研究は、多くの場合ハードウェアとソフトウェアのエクスプロイトを融合させた高度なハードウェアベースの攻撃手法を文書化しており、公開された知識がハッカーに大きなアドバンテージを与えていることを示しています。しかし、ハードウェア設計者は、ソフトウェア向けに確立されたCommon Weakness Enumeration（CWE：共通弱点列挙）およびCommon Vulnerabilities and Exposures（CVE：共通脆弱性識別子）システムに匹敵する、統一された分類法と共有ナレッジベースを欠いています。

共通弱点スコアリングシステム（CWSS）(出典: Mitre)

ソフトウェアアーキテクトと開発者は、Mitreが開発したCWEとCVEデータベースを頼りに、コード内のセキュリティ欠陥を特定し回避しています。これらのリソースは、ソフトウェアエコシステム全体で脆弱性を検出、カタログ化、修正するための集団的取り組みを可能にしています。

ハードウェアが主要な標的となるにつれ、業界はハードウェア設計弱点に関する同様に包括的なリポジトリを確立する必要があります。このようなフレームワークにより、実務者は以下の重要な質問に答えられるようになります：

• 自分の設計におけるクリティカルなハードウェアエントリーポイントはどこか？
• 最も注意深く監視すべき設計弱点はどれか？
• 温度、電圧、電流の逸脱がデバイス特性にどう影響し、攻撃者がこれらの異常をどう悪用する可能性があるか？
• ハードウェア攻撃が成功した場合、デバイス、ソフトウェアスタック、システム全体にどのような影響があるか？
• これらの脆弱性を示す最近のインシデントは何か？
• 検証チームは、製品ライフサイクルの早期に欠陥を検出し緩和するにはどうすればよいか？
• どのような緩和策があり、そのコスト効果のトレードオフは何か？

このニーズに応えるため、研究者、ベンダー、設計者が調査結果とベストプラクティスを効率的に共有できる、標準化されたオープンにアクセス可能なハードウェアセキュリティ言語が不可欠です。

重要なマイルストーンとして、インテルとMitreが昨年夏、ハードウェア中心のCWEの最初のバージョンを立ち上げるために提携しました。2020年2月、MitreはCWE 4.0をリリースし、ソフトウェアを超えてハードウェア設計脆弱性を含むよう焦点を拡大しました。目標は、設計者が特定のIPブロックにおける潜在的な落とし穴を認識し、将来の専門家が一般的なハードウェアの間違いについて学べるようにすることです。

新しいCWEハードウェア設計ビューには、頻繁に見落とされる30のハードウェア問題がすでにリストされています。これらは、製造とライフサイクル管理、セキュリティフロー、権限分離、一般回路とロジック、コアと演算、メモリとストレージ、暗号プリミティブなどのハイレベルカテゴリに整理されています。

これは重要な第一歩ですが、コミュニティが新しいエントリと例を寄与するにつれて、このコレクションは成長し続けます。業界、学術、政府のステークホルダーが協力して、この累積的なハードウェアCWEを拡充・洗練させる必要があります。

堅牢なハードウェアCWEにより、アーキテクトは実証済みの緩和策を実装し、設計者をセキュアバイデザインの実践で最新の状態に保ち、検証エンジニアが開発全体を通じて脆弱性を検出できるようになります。研究者はシステミックなハードウェアリスクをより容易に特定し、効果的な修正を考案し、分野横断的に協力できます。最終的に、包括的でオープンなハードウェアCWEは、私たちが日々依存するデバイスのための安全なハードウェアの進化を加速させます。

長らく、ハードウェア弱点の分類は困難と思われてきました。ハードウェアが主要な攻撃ベクトルであり続ける中、これらの脆弱性をソフトウェア脅威と同等にカタログ化し評価する緊急性は、かつてないほど高まっています。CWE 4.0は、業界が結集するための確固たる基盤を提供し、共通言語とより安全なハードウェアエコシステムを育みます。

>> この記事は元々姉妹サイトEE Timesで公開されました。