SRAM PUF：セキュアIoTデバイスのための究極の信頼の根源

この記事では、SRAM物理的複製防止関数（PUF）の基礎を説明し、それがいかにIoTデバイスの信頼の基石（Root of Trust）として機能するかを実証します。

信頼はあらゆるセキュリティシステムの基盤です。隣人とアラームコードを共有する場合も、国境検問でパスポートを提示する場合も、あなたは複製不可能な一意の識別子に依存しています。物理世界では、それはしばしば複製不可能な生体認証です。デジタル領域では、サプライチェーンから複製・抽出できないハードウェアベースのルートキーがその等価物です。

物理的複製防止関数はまさにそのアンカーを提供します。それらは、すべてのシリコンチップに存在する微細な製造ばらつきから、デバイス固有の暗号鍵を直接生成します。この鍵が証明書と鍵を保護するとき、デバイスはIoTエコシステムにおける信頼できるエンティティになります。

なぜSRAM PUFが際立つか

さまざまなPUF技術の中でも、SRAM PUFはその信頼性、拡張性、低統合コストで好まれます。既存チップにソフトウェアをロードするだけで活性化でき、カスタムハードウェアIPブロックを必要としません。これは数十億台の低コストIoTデバイスに理想的です。

SRAM PUFとは何か

半導体製造時、トランジスタ閾値電圧の微細なばらつきが、各SRAMセルにランダムだが再現可能な電気的シグネチャを作ります。チップがパワーアップすると、各セルは優先的な0または1の状態に落ち着き、一意のパターンを生成します—本質的にそのシリコンのフィンガープリントです。

このパターンは本質的にノイズを含むため、ファジーエクストラクターを用いて、変動する環境条件下でも同じ暗号鍵を確実に再生成します。結果として、従来のストレージ手法を悩ませる「保存時の鍵」攻撃ベクトルを排除する、不揮発性メモリに決して存在しない鍵が得られます。

SRAM PUFを信頼の根源として使用する

IoTデバイスは、データ、ファームウェア、通信を保護する鍵の安全な基盤を必要とします。SRAM PUFは、シリコン内部でルートキーを生成することでこの基盤を提供します。OEMはこの鍵を事前プロビジョニングするか、チップが製造時に生成させるかを選択できます—どちらのアプローチも、高コストで複雑な工場注入プロセスを回避します。

不揮発性メモリがハードウェア攻撃者によって読み取れるのとは異なり、SRAM PUFの鍵は揮発性レジスタにのみ存在し、電源サイクルごとに再生成されます。セキュアエレメントまたはPUF独自のエラー訂正データと組み合わせると、複数のアプリケーションキーをサポートできる堅牢なキーボールトを形成します。

SRAM PUFベースのキーボールト構築

• 登録（Enroll）： ルートキーを生成し、非機密ヘルパーデータをNVMに格納するワンタイム操作。ルートキーはデバイスから決して出ない。
• 開始（Start）： 格納されたヘルパーデータと新しいSRAMスナップショットを使用してルートキーを再作成。ヘルパーデータがデバイスと一致しない場合、プロセスは失敗する。
• ラップ/アンラップ（Wrap/Unwrap）： 外部キーをキーコード（KC）に安全に暗号化し、非保護で格納可能にする。KCは元のデバイスでのみアンラップ可能。
• 停止（Stop）： スリープまたはアイドル状態前にレジスタからすべての機密データをクリアし、攻撃対象領域を最小化。

複数のアプリケーションキーの導出

セキュリティベストプラクティスでは、各アプリケーションが異なる鍵を使用すべきとされています。単一のSRAM PUFルートから、暗号学的に安全な鍵導出関数（KDF）が多数の独立した鍵を生成し、1つの侵害が他を弱めないことを保証します。KDFは、異なるアルゴリズムやライフタイムに必要な任意の長さと構造の鍵を生成できます。

ソフトウェアでのSRAM PUF実装

SRAMは事実上すべてのデジタルチップに搭載されているため、SRAM PUFは純粋にソフトウェアでインスタンス化可能—新しいシリコン不要。この機能により、ハードウェアの信頼の根源をリモートでブラウンフィールド導入でき、ハードウェア再設計なしで数十億台のIoTデバイスにセキュリティを拡張できます。

結論

信頼はすべてのセキュリティの基盤です。SRAM PUFは、シリコン内部で完全に生成・格納される偽造不可能・デバイス固有のルートキーを提供し、サプライチェーンリスクとハードウェア攻撃を排除します。専用ハードウェアとして実装されるかソフトウェアとして実装されるかに関わらず、SRAM PUFはレジリエントな信頼の根源を形成し、セキュアなキーボールトと複数のアプリケーションキーを可能にし、IoTデバイスを根本から保護します。