IoTデバイスのUARTを保護：RSA鍵交換からAES暗号化まで

最新マイクロコントローラに暗号ブロックが内蔵されるようになり、開発者は従来セキュリティ機能を持たないUARTのようなレガシーインターフェースを含め、あらゆる通信チャネルを保護できるようになりました。

IoTシステムでの著名なデータ侵害により、優れた製品を提供するだけでは不十分であり、デバイスは競争力を維持するためにエンドツーエンド暗号化を提供しなければならないことが明らかになりました。

多くのプロトコルがネイティブにセキュリティを組み込んでいる一方で、UARTはプレーンでACKのないインターフェースであり、ボーレートが知られていれば読み取りや改ざんが可能です。盗聴とインジェクションから守るには、エンドポイント自体がデータを暗号化し、認証しなければなりません。

対称と非対称のセキュリティ

暗号保護は通常、対称と非対称の2つのアルゴリズムカテゴリに分かれます。対称鍵（送信側と受信側で共有）は高速な暗号化を提供しますが、鍵を安全に交換する必要があります。非対称鍵ペアは、片側が公開鍵で対称鍵を暗号化し、対応する秘密鍵の保持者のみが復号できるようにすることで、この問題を解決します。

RSAは鍵交換で最も一般的な非対称スキームであり、AESはその効率と低リソースフットプリントからデータ暗号化の主力です。

公開鍵と秘密鍵の暗号化

RSAの数学的複雑性は強力なセキュリティを保証しますが、組み込みリアルタイムシステムではコストがかかる大きな計算能力を必要とします。ほとんどのIoTデバイスでは、RSAでAES鍵を交換し、その後AESでバルクデータを処理するハイブリッドアプローチが、速度とセキュリティの最良のバランスを提供します。

実際には、受信側がRSA鍵ペアを生成し、公開鍵を公開します。送信側はランダムなAES鍵を作成し、受信側の公開鍵で暗号化して返送します。受信側は秘密鍵でAES鍵を復号し、以降のすべてのメッセージはその鍵で暗号化されます。

図1: RSAを使用したAES鍵の安全な交換。（出典: Infineon）

意図した受信側のみが秘密鍵を保持するため、攻撃者がチャネルを傍受してもAES鍵を回復できません。その後のすべての通信は、盗聴と改ざんから保護されます。

ファームウェアとハードウェア実装

暗号アルゴリズムをファームウェアのみで実装するのはリソースを大量に消費します：CPUサイクルを消費し、レイテンシを増加させ、消費電力を上げます。最新MCUは、専用暗号アクセラレータを備え、重い演算を専用ハードウェアブロックにオフロードすることで、フットプリントとコストを大幅に削減します。

InfineonのPSoC 6 MCUはこのアプローチを例証しています。その内蔵暗号エンジンはAES、DES、TDES、RSA、SHA、CRCをサポートし、開発者がより強力なプロセッサなしで堅牢なセキュリティを導入できるようにします。

真の乱数

ランダム性は鍵生成に不可欠です。決定論的なファームウェアは予測可能な鍵を生成し、ブルートフォース攻撃を可能にします。PSoC 6の6つのリングオシレータのような真の乱数生成器（TRNG）は、物理ノイズを導入して予測不可能な鍵を生成します。

16バイトのAES鍵の場合、TRNGは128ビットの乱数ビットを生成し、2^128通りの可能な鍵を生み出します。これはブルートフォースの到達範囲をはるかに超えています。さらに、毎回リブート時に鍵を再生成することで、侵害された鍵の露出ウィンドウを制限します。

完全性と信頼性の確保

UARTにはACKがないため、メッセージが完全で破損していないという固有の保証がありません。これを打ち消すため、暗号化前に各メッセージに暗号ハッシュ（SHA）を付加します。受信側は復号後、ハッシュを再計算し、受信値と照合します。不一致は改ざんまたは伝送エラーを示し、メッセージを破棄します。

図2: ハッシュによる安全な交換時のメッセージ完全性確保。（出典: Infineon）

追加の信頼性のために、送信側は自分の秘密鍵でメッセージに署名できます。受信側は送信側の公開鍵を使用して署名を検証し、メッセージが正規の送信元から来たことを保証します。

MCUの暗号ブロックにRSA、AES、TRNG、SHAを統合することで、開発者は従来保護されていなかったUARTインターフェースを、パフォーマンスやコストを犠牲にすることなく保護できます。

—Harigovind AおよびRakshith M B、シニアアプリケーションエンジニア、Infineon Technologies

>> この記事はもともと姉妹サイトEDNで公開されました。