組み込みシステム設計におけるプライバシー リスクの特定と軽減

組み込みデバイスはますます普及していますが、新しいインターネット接続製品ごとに新たなプライバシー懸念が生じます。幸い、増え続ける市販のシリコンとソフトウェア サービスのポートフォリオが、設計者が侵入と不正データ露出への耐性を構築するのを助けます。第一歩は、緩和すべき正確な脅威を特定することです。

実践において、プライバシーとは、認可された所有者以外のいかなる当事者も特定情報にアクセスできないようにすることを意味します。プライバシーはセキュリティのサブセットですが、両者は異なります。セキュリティはデータの悪意ある改ざんや破壊も防ぎます。システムはプライバシーがなくてもセキュアであり得ますが、プライベートなシステムはセキュアでなければなりません。

世界中の規制フレームワーク（GDPR、CCPA、各国法など）が個人識別情報（PII）の保護を義務付けています。典型的なPIIには氏名、住所、口座番号、位置情報、健康データ、画像、活動履歴などが含まれます。しかし、すべての機密データが明らかなPIIではありません。例えば、サーモスタットの温度設定単体は無害ですが、デバイスの位置情報と組み合わせると個人を特定し得ます。特定の家のサーモスタットが55°F（約13°C）と分かれば、居住者が不在で空き巣の標的になる可能性を示唆します。

組み込み製品は、データを休止状態（メモリやフラッシュ内）と転送中（バス、ネットワーク、PCBトレース上でも）の両方で大量に格納・送信します。このデータを保護するには通常暗号化が必要で、それには暗号鍵の保護が必須です。さらに、ファームウェアとOSは改ざんに対して強化されなければなりません。さもなくば、侵害されたマイクロコントローラが意図的に機密情報を漏洩させる可能性があります。

攻撃ベクトルは多岐にわたります。リモートの敵対者はネットワーク トラフィックを盗聴し、中間者（MITM）攻撃を実行し、OTAアップデート経由で悪意あるコードを注入できます。物理的な敵対者、または単に近接する者は、信号線をプローブし、消費電力や電磁放射を監視して鍵を回復し、ストレージ メディアを交換し、ダイ レベル検査のために保護パッケージを除去できます。

図1：データ セキュリティを侵害し得る多様な攻撃形態があり、多様な対策が必要。（画像出典：ARM）

製造段階もリスクを孕んでいます。アセンブリ時に攻撃者が暗号鍵を複製したりデバイス全体をクローン化したりすれば、レプリカがネットワークに検知されずに侵入できます。廃棄段階では、廃棄ハードウェアが回収・プローブされ、保存された秘密が取得される恐れがあります。

単一の防御であらゆる脅威をカバーすることはできず、すべてのセーフガードを導入するのはコスト面から非現実的です。攻撃の可能性と影響はアプリケーションによって異なるため、設計者は自分の文脈で最大のリスク軽減をもたらす対策を優先しなければなりません。出発点は、詳細設計に入る前に徹底した脅威モデルを構築することです。

効果的な脅威モデルの構築には3つの重要なステップがあります：

1. 資産を特定する。 プライバシーの観点では、デバイス上または経由する可能性のあるすべてのPII、暗号鍵、ファームウェア、アイデンティティ コード、メッセージ メタデータ、関連リソースが含まれます。
2. 脅威を評価する。 潜在的な攻撃ベクトルを列挙し、発生確率を推定し、侵害成功時の影響を評価。製造から展開、廃棄までデバイスの全ライフサイクルを考慮し、すべての関連リスクを取り込みます。
3. 対策を決定する。 各脅威に適切な緩和策をマッピングし、実装コスト、性能オーバーヘッド、BOM影響を評価。

明確に定義された脅威モデルがあれば、設計者はセキュア ブート、改ざん検知パッケージ、サイドチャネル対策、堅牢な鍵管理などのハードウェア/ソフトウェア機能を調整し、プライバシーを効果的に保護できます。半導体エコシステムは、ほとんどの一般的な攻撃ベクトルに対応する豊富なシリコン ブロック、セキュリティ モジュール、ソフトウェア ライブラリを提供しており、ベンダー サポートを通じて適切なソリューションの選択と統合を支援します。

資産の体系的な特定、脅威の評価、標的を絞った対策の適用により、開発者は規制義務とユーザーのプライバシー/セキュリティ期待の両方を満たす組み込みシステムを構築できます。