TCG-JRF セミナー講演資料 PCでの活用事例 : PC 実装に必要な対応項目 ソリューション例 2010 年 11 月 4 日 ( 株 ) 富士通研究所ヒューマンセントリックシステム研究所
アジェンダ Opal HDD 採用のモチベーション Opal HDDの特徴 PC 搭載 Opal HDDの初期設定 Shadow Area 開発における注意点 Opal HDDの具体的なアクセス方法 Opal HDDを用いたソリューション まとめ 1
Opal HDD 採用のモチベーション 業界標準 暗号化機能付き HDD は 現状 HDD ベンダ毎に仕様が異なる Opal HDD により PC ベンダが採用判断基準を持たないといけない問題が解消される コンプライアンス 個人情報保護法ガイドライン要件を満たすために有用なデバイスである Opal HDD 全領域が自動的に暗号化されること 削除された復号鍵の権限者以外による不正な複製及び再生成ができないこと 電気通信事業における個人情報保護に関するガイドライン ( 総務省 ) 2010.7. 改訂 2
Opal HDD 採用のモチベーション Opal HDDの特徴 PC 搭載 Opal HDDの初期設定 Shadow Area 開発における注意点 Opal HDDの具体的なアクセス方法 Opal HDDを用いたソリューション まとめ 3
Opal HDD の特徴 Opal HDD には ATA と TCG の 2 つの mode がある Ata security command Trusted command ATA Security 機構 操作 : r/w lock, 全消去 TCG Security 機構 Admin SP: Owner 取得 mode 操作 Locking SP Activate コマンド コマンドによる切替 Revert, RevertSP コマンド ATA Security 機構 操作 : r/w lock, 全消去 TCG Security 機構 Admin SP Locking SP: Shadow MBR 機能の操作 range 毎の R/W lock, 消去操作 ATA mode 4 TCG mode
Opal HDD の特徴 ( つづき ) Locking SP の特徴 複数ユーザ (ex. Admin1~4, user1~8) アカウントが設定可能 HDD 領域を複数 Rangeにわけ 部分的に read/write lock, 消去 が可能 HDD 先頭領域をShadowする Shadow MBR 機能 を設定可能 ATA command LockingSP Trusted command 認証機構 Admin/ user Mbr_done r/w lock genkey Shadow area 128MB Range 1 Range 2 Range 3.. Range N 5
Opal HDD 採用のモチベーション Opal HDDの特徴 PC 搭載 Opal HDDの初期設定 Shadow Area 開発における注意点 Opal HDDの具体的なアクセス方法 Opal HDDを用いたソリューション まとめ 6
PC 搭載におけるメリットは? 従来 (ATA Security 機構 ): サーバ Opal HDD: サーバ OS OS Pre-OS 認証 OS 修正 Pre-OS 認証 OS メリット : OS 起動後も 外部から r/w lock, 消去 アカウント設定などのリモートコントロールが可能 OS のブートローダーなど修正せずに pre-os 認証を導入できる 7
Opal HDD 採用のモチベーション Opal HDDの特徴 PC 搭載 Opal HDDの初期設定 Shadow Area 開発における注意点 Opal HDDの具体的なアクセス方法 Opal HDDを用いたソリューション まとめ 8
外部からコントロールするための注意点 Opal HDD の初期設定 Opal HDD を制御したいソフトウェアは Opal HDD との間で共通パスワードを share する必要がある ATA Security 機構 TCG Security 機構 Admin SP. 操作 : r/w lock, 全消去 Locking SP TCG Storage Application Note: Encrypting Drives Compliant with Opal HDD rev1.0 より 共通パスワードが設定されると 初期パスワードでのコマンド発行は無効化され 初期化が完了 9
初期設定の実装 実装方法は 2 つある [ 実装 1] プレインストールソフトで管理 [ 実装 2] BIOS で管理 Opal HDD 対応ソフトウェア 権限委譲 BIOS Opal HDD 対応ソフトウェア Opal HDD パスワードの share Opal HDD パスワードの share PC 開封時に Opal HDD 対応ソフトウェアが Opal HDD 間との間で 共通パスワードをシェアする実装 PC 出荷時に BIOS と Opal HDD 間で共通パスワードをシェアする その後ユーザが Opal HDD 対応ソフトウェアを使用する際に そのパスワードを Opal HDD 対応ソフトウェアに教える実装 10
Opal HDD 採用のモチベーション Opal HDDの特徴 PC 搭載 Opal HDDの初期設定 Shadow Area 開発における注意点 Opal HDDの具体的なアクセス方法 Opal HDDを用いたソリューション まとめ 11
Shadow Area 開発における注意点 Power/Off/ 休止状態からのブート時は Pre 認証アプリが HDD のロックを解除 スリープからのブート時は Pre 認証アプリがよばれないので HDD ロックを解除する仕組みを追加する必要 Power off/ 休止状態からのブート BIOS スリープからのブート BIOS Pre 認証アプリ Range 1 Range 2 Range 3.. Mbr_done unlock 認証機構 メモリ Windows イメージ アクセスエラー Range 1 Pre 認証アプリ Range 2 Range 3.. Range N Range N 12
スリープからの復帰方法に関する実装 実装方法は 2 つある [ 実装 1] Windows ドライバで解除 メモリ BIOS Windows イメージ解除プログラム 連携 Pre 認証アプリ Range 1 Range 2 Range 3.. Range N [ 実装 2] BIOS で解除 メモリ BIOS 解除プログラム 連携 Windows イメージ Pre 認証アプリ Range 1 Range 2 Range 3.. Range N ソフトウェア暗号と同じく windows ドライバで Opal HDD の状態をハンドリングし ロックされた状態を解除する実装 BIOS で Opal HDD の状態をハンドリングし ロックされた状態を解除する実装 13
Opal HDD 採用のモチベーション Opal HDDの特徴 PC 搭載 Opal HDDの初期設定 Shadow Area 開発における注意点 Opal HDDの具体的なアクセス方法 Opal HDDを用いたソリューション まとめ 14
Opal HDD のアクセス方法 Trusted command の送受信 Feature Security Protocol 01h Count Transfer Length(7:0) 00h LBA 23:8 SP Specific 0001h 7:0 Transfer Length(15:8) 00h Command Trusted command 5Ch Feature Count LBA 01h 01h comid data Tcg defined packet (Startsession) 00h Command 5Eh ATA/ATAPI Command Set (ATA8-ACS) T13/1699-D TCG Storage Interface Interactions Specification (Jan.27, 2009) 15
Opal HDD のアクセス方法 ( つづき ) アクセスするための API Windows アプリから trusted command を発行するのに利用できる API は ATA PASS THROU SCSI PASS THROU HDD ベンダ間の差異に関して 通信に必要な情報 :Discovery0,Discovery1 による取得 サポートしている機能一覧 : 管理する table に対して next method を発行することで取得 EFI ATA PASS THRU PROTOCOL DeviceIoControl ( hdevice, IOCTL_ATA_PASS_THROUGH,..) EFI/BIOS Windows OS Opal HDD 16
Opal HDD 採用のモチベーション Opal HDDの特徴 PC 搭載 Opal HDDの初期設定 Shadow Area 開発における注意点 Opal HDDの具体的なアクセス方法 Opal HDDを用いたソリューション まとめ 17
Opal HDD を用いたソリューション 例 1:HDD の認証強化 例 2: データへのアクセス保護強化 18
例 1:HDD の認証強化 Opal HDD が複数ユーザをもてることを利用して PC との Binding を強化したソリューション 従来 ユーザ認証 (HDD パスワード ) USER pwd 2 or more factor 認証 機器認証 User1 pwd ユーザ認証 User2 pwd 19
例 1: HDDの認証強化 ( つづき ) TPMの利用 Pre 認証アプリがもつ秘密情報を保護 PCとのbindingを強化 unlock TPM user1 Pre 認証アプリ user2 Range 1 Range 2 Range 3 Mbr_done.. Range N 20
例 1: データ漏洩保護 Opal HDD の pre 認証アプリ内に HDD 内データを消去する機能を実装してデータ漏洩保護 HDD/SSD PC 固有値 PC 固有値の正解値 アクセス制御 Pre 認証アプリ / 消去アプリ Range 1 Range N 21
例 1: データ漏洩保護の動作 : 登録された PC 既存の動作と変わらない PC 起動 登録された PC で使う場合には 認証 / 消去 App 動作後 自動的にユーザ OS を駆動 HDD 許可されているPC 認証/ 消去 App 1ロードユーザOS アクセス 2 切替え制御 3データアクセス CPU 計測 : 許可されている? YES Pre 認証アプリ / 消去アプリ Range 1 Range N 22
例 1: データ漏洩保護の動作 : 登録外 PC データ消去機能の実現 HDD を許可されていない PC で使用した場合 ユーザ OS を含めたデータを消去する HDD 許可されていないPC 認証/ 消去 App 1ロード CPU 2 暗号鍵消去計測 : 許可されている? No アクセス制御 Pre 認証アプリ / 消去アプリ Range 1 消去 Range N 23
Opal HDD を用いたソリューション 例 1:HDD の認証強化 例 2: データへのアクセス保護強化 24
例 2: データアクセス保護強化 Opal HDD の range 機能を用いた データへのアクセス保護強化 データそのものへの read/write アクセス制限 Opal HDD 認証機構 Admin user 解除解除解除解除 Range 1 Range 2 Range 3.. Range N 25
例 2: PC 状況に応じた HDD の部分 lock PC 状況 ( 位置 ネットワーク認証など ) に応じて range 解除する部分をコントロールして データアクセスできる範囲を制限する 会社からコントロール可能 会社からコントロール不可能 PC 状況の取得 Pre 認証アプリ windows data1 data2 WebOS Pre 認証アプリ windows data1 data2 WebOS 26
Opal HDD 採用のモチベーション Opal HDDの特徴 PC 搭載 Opal HDDの初期設定 Shadow Area 開発における注意点 Opal HDDの具体的なアクセス方法 Opal HDDを用いたソリューション まとめ 27
まとめ Opal HDD は 標準暗号化 HDD 仕様 リモートコントロール Pre- OS 開発を容易にする新しい機能をもつ PC 適用においては ソフトウェア開発の観点から いくつかの注意点があることを示し それらに対する実装方法を紹介した PC のセキュリティ機能を強化することが可能な いくつかのソリューションを紹介した 28
29