カスタム暗号ライブラリでIIoTシステムを保護

OMG DDS Security仕様がバージョン1.0に進化し、DDS標準にネイティブなデータ中心セキュリティモデルを導入します。この進化により、Industrial IoT（IIoT）ソリューションは、DDSがすでに提供する柔軟性、信頼性、リアルタイム性能を備えたまま、セキュリティを強化できます。

際立った特徴は、Service Plugin Interface（SPI）アーキテクチャです。SPIにより、認証、アクセス制御、暗号化、ログ記録、データタグ付けといったセキュリティメカニズムを、アプリケーションコードを変更せずにカスタマイズできます。

この記事では、SPIフレームワークを説明し、RTI Connext DDS Secureの組み込みプラグインを設定して、暗号操作を任意のライブラリに委任する方法を示します。

DDS Secure Service Plugin Interfaces（SPI）

DDS Security仕様はアプリケーションAPIを変更しません。代わりに、DDSミドルウェアが必要に応じて呼び出す5つのプラグインコンポーネントを定義します。これらのプラグインは、標準化されたインターフェースを通じて異なる情報保証機能を提供します。

5つのSPIは以下の通り：

SPIアーキテクチャは、各セキュリティ側面の広範なカスタマイズを提供します。任意のSPI実装を置き換えられますが、SPI呼び出しのタイミングはDDSミドルウェアによって制御され続け、仕様準拠を保証します。

仕様の第9章で説明される組み込みプラグインは、DDS実装間のシームレスな相互運用性を提供します。RTI Connext DDS Secureにはこれらのプラグインと、シンプルなカスタマイズパスが同梱されています。

RTI Connext DDS Secure組み込みプラグインのカスタマイズ

同梱のセキュリティプラグインバイナリにより、安全なDDSシステムを即座に導入できます。DomainParticipantのPropertyQosPolicyを設定し、アクセス制御ファイル、ガバナンスドキュメント、アイデンティティ証明書など、仕様で要求されるセキュリティ成果物を指定します。

より深い変更が必要な場合、RTIはビルド可能なソースファイルを提供します。しかし、ほとんどのシナリオでは、OpenSSL EVP APIを活用するのがよりシンプルな解決策です。

暗号アルゴリズム実装の差し替え

組み込みプラグインは暗号関数にOpenSSLのEVPエンジンを使用しますが、カスタムエンジンを注入できます。あなたのエンジンは、FIPS準拠ライブラリや、EVPインターフェースをサポートするその他の暗号プロバイダーへ呼び出しをリダイレクトできます。

プラグインが公開する関数には以下が含まれます：

異なる暗号プロバイダーを使用するには、プラグインを設定してあなたのEVPエンジンを読み込むか、呼び出しをあなたのライブラリに転送するシムを実装します。

組み込みプラグイン自体の修正

デフォルトのアルゴリズムやパラメータが要件を満たさない場合、プラグインのソースコードを変更できます。一般的な変更には、代替アルゴリズムの選択、鍵サイズの調整、動的リンクから静的リンクへの切り替えなどがあります。

より大規模なカスタマイズ（新しいアイデンティティ認証スキームなど）が必要な場合は、DDS Security仕様との互換性を確保するため、RTIエキスパートに相談してください。