S1.1-11

機密性の保護が必要な守るべき情報資産は、「電子政府における調達のために参照すべき暗号のリスト（CRYPTREC 暗号リスト）」のうち「電子政府推奨暗号リスト」に記載の暗号技術を採用した暗号化方式によって暗号化された上で保存します。

Armadillo では、セキュアエレメントである SE050 を使用することで、セキュアな暗号化を実現できます。 SE050 は、暗号鍵の生成や管理を安全に行うことができ、機密性の高い情報を保護するための強力な手段となります。

秘密鍵は SE050 内で安全に管理され、外部に漏洩することはありません。 そのため、もし暗号化したファイルと SE050 内の秘密鍵にアクセスする参照鍵が搾取された場合でも、暗号化されたデータを復号することはできません。

以下にコンテナ上で SE050 を使用して暗号化を行う例を示します。

まず、コンテナ自動起動用設定ファイルを作成します。

[armadillo ~]# vi /etc/atmark/containers/plug-and-trust.conf
set_image docker.io/alpine
add_armadillo_env
add_devices "${AT_SE_PARAM%:*}"
add_volumes /etc/apk:/etc/apk:ro
set_command sleep infinity

ベースとなるコンテナイメージをプルします。

[armadillo ~]# abos-ctrl podman-rw pull docker.io/alpine

作成したコンテナ自動起動用設定ファイルを使用して、コンテナを起動します。

[armadillo ~]# podman_start plug-and-trust
[armadillo ~]# podman exec -it plug-and-trust sh

コンテナの中で必要なパッケージをインストールして、環境設定を行います。

[container /]# cd
[container ~]# apk add se05x-tools plug-and-trust-tools

[container ~]# export OPENSSL_CONF=/etc/plug-and-trust/openssl11_sss_se050.cnf
[container ~]# export EX_SSS_BOOT_SSS_PORT="$AT_SE_PARAM"

正しく SE050 が動作しているか確認します。

[container ~]# se05x_GetInfo
: (省略)

SE050 内に保存する RSA 鍵ペアを生成します。

[container ~]# openssl genpkey -algorithm RSA -out private.pem -pkeyopt rsa_keygen_bits:3072
[container ~]# openssl pkey -in private.pem -pubout -out public.pem

SE050 に秘密鍵を登録します。 登録した秘密鍵は、ルートファイルシステム上から削除します。

[container ~]# se05x_setkey -f 0x10 private.pem "$AT_SE_PARAM"
[container ~]# rm private.pem

登録した秘密鍵を参照するための参照鍵を生成します。

[container ~]# se05x_getkey 0x10 refkey.pem "$AT_SE_PARAM"
[container ~]# ls
refkey.pem public.pem

ここからは、 ATDE など Linux OS の PC 上での操作となります。

公開鍵 public.pem を ATDE に転送後、OAEP パディング方式でデータを暗号化します。

[ATDE ~]# echo "This is test" > message.txt
[ATDE ~]# openssl pkeyutl -encrypt -in message.txt -out message.enc -pubin -inkey public.pem -pkeyopt rsa_padding_mode:oaep
[ATDE ~]# ls
message.enc message.txt public.pem

上記で暗号化したデータを Armadillo に転送し、 SE050 による復号を試してみます。 暗号文 message.enc を Armadillo に転送後、message.enc を以下のコマンドで復号します。

[container ~]# openssl pkeyutl -decrypt -in message.enc -out message.dec -inkey refkey.pem -pkeyopt rsa_padding_mode:oaep
[container ~]# cat message.dec
This is test

上記の例では、message.enc と refkey.pem が搾取されても、refkey.pem は Armadillo の SE050 内の秘密鍵への参照鍵にすぎないため、他のデバイスでは復号できません。

SE050 についての詳細は製品マニュアルを参照してください。

完全性の保護が必要な守るべき情報資産は、「電子政府推奨暗号リスト」に記載の暗号技術を採用した署名によってデータの完全性が確認できる形で保存します。

完全性の保護が必要な守るべき情報資産は、「電子政府推奨暗号リスト」に記載の暗号技術を用いたメッセージダイジェストによってデータの完全性が確認できる形で保存します。

守るべき情報資産を以下のセキュア領域に保存します。

守るべき情報資産を、IoT 機器に組み込まれた容易に取り外せないストレージ領域にあって、外部から呼び出すインタフェースを経由した直接的なデータの読み書きができない領域に保存します。

Armadillo における守るべき情報資産の保護対策

「Armadillo における守るべき情報資産」で挙げた、標準状態の ABOS における守るべき情報資産は、 以下のような保護対策によりこの評価項目5を満たすため、セキュアに保存されていると判断できます。

上記より、守るべき情報資産は容易に取り外せないストレージ領域にあって、外部から呼び出すインタフェースを経由した直接的なデータの読み書きができない領域に保存されていると判断できます。