有名になったがゆえにセキュリティに取り組む必要があるARM、「ARM Techcon 2017」レポ

2017年10月28日 08時00分更新

　「ARM Techcon」は、英ARM社が毎年米国で開催している開発者向けのイベントだ。米国の通常の技術系イベントと同じく、基調講演と同時刻に複数開催されるセッション、展示からなる。ここでは、10月25日から開催されたARM Techcon 2017の基調講演をレポートする。

大学生の98％は、無料のピザをもらえるなら友人のメールアドレスを提供してしまうという。このようにセキュリティを守るための行動を実践するのは開発者にとっても難しいのだ

初日も2日目も基調講演のテーマはセキュリティ
ARMが提供するフレームワークで対応する

　今年のTechconの初日と2日目の基調講演のテーマはセキュリティ。ARMプロセッサは一般にはスマートフォン用として著名だが、それ以上に組み込み系機器全般で使われている。もっとも、スマートフォン用も組み込みの1分野という考えもあり、とすると、ほとんどのARMプロセッサは組み込み用という言い方もできる。

　初日の基調講演では、ARM社CTO（Chief Technology Officer）のMike Muller（マイク・ミューラー）氏が登場。「There Is Lots More to Come」として講演した。

初日の基調講演を担当したのはARM社CTOのMike Muller氏

　実は今回のARM Techconでは、例年のような新しいプロセッサや技術の発表がない。では何を話したのかというと、「ARMのセキュリティへの取り組み」である。

　今回のミューラー氏の講演では、「Platform Security Architecture」（PSA）が提案された。簡単にいうとPSAは、セキュリティの高いデバイスを作るための考え方だ。考え方というとわかりにくいかもしれないが、組み込みデバイスのソフトウェアを作るときの基本的な手順やルール、方針などをまとめたもので、よく言われる「フレームワーク」というものだ。

　つまり、この「枠」にそってデバイス用ソフトウェア（セキュリティがどうなるのかはプロセッサ自体よりもソフトウェアの作り方に原因がある）を開発すれば、セキュリティが低くなってしまうことを避けやすくなるというものだ。

　実際には、ヒトの作るモノなのでセキュリティに配慮していても間違いやミスが発生することがある。これはどうしても避けることができない。しかしより問題なのは、開発時に「セキュリティをまったく考えていない」ケースが少なくないことだ。この点をARM社は「セキュリティはオプションではない」と表現する。

セキュリティが必要だと思っても実践する人は少ない
ARMの立場ではどうしても啓蒙の部分が中心となる

　ARMの調査によれば米国では74％の人がセキュリティは大変重要と考え、64％の人が電子メールの宛先情報を共有することに不快感を感じていながら、大学生の98％は、ピザがタダでもらえるなら友人の電子メールアドレスを提供するという。セキュリティは重要と一般には思われているが、それを実践する人は実際には少ないのだ。

米国の74％の人はセキュリティが「大変重要」と考えている。しかし、実際にセキュリティを守るための行動をしている人は少ない

　IoTデバイスのセキュリティを高くするためには、「デバイスの識別」「信頼性の高い起動シーケンス」「セキュアなソフトウェアのアップデート」「証明書ベースの認証」が必要になるが、これを実現するのがPSAで、ここにはARMの提供するファームウェア仕様、ハードウェア仕様が含まれる。

　ミューラー氏に続いて登場したDipesh Patel氏（President IoT Services Group）は、「The Road to 1 Trillion Devices: Simple, Secure and Scalable」として、その後を続ける。

ミュラー氏のあとに講演を行ったのはDipesh Patel氏（ARM President IoT Services Group）

　ARMのIoTアーキテクチャでは、ARMデバイスの上で動作するmbedOS、mbedOSに対してサービスを提供し、セキュアーなmbedクラウドが用意される。mbedOSとmbedクラウドを使うことで、たとえば、安全なデータの転送や安全なファームウェアのアップグレードなどが可能になる。そして、PSAを使うことで、セキュリティを考慮したファームウェア、アプリケーションを開発することが可能になるわけだ。

ARM社の組み込み用プロセッサは「MBED OS」、「MBEDクラウド」、「PSA」でセキュリティを高めることができるという

　PSAは、大きく3つの部分に分かれるという。IoTデバイスごとに具体的な脅威とその対策を考える「Analyze」（分析）、セキュリティを考慮したハードウェア、ソフトウェアの仕様である「Architect」、そして具体的な設計を行う「Implement」である。

PSAには3つの「Part」、4つの「principles」（原則）、そして「アーキテクチャと仕様」がある

　このうち、「Analyze」と「Archtect」に関しては、PSAで文書が提供される予定らしい。ある意味PSAには「啓蒙」的な部分がある。設計のときにセキュリティを考慮しなければ、セキュリティの低いデバイスができてしまうが、これを自動で行なうことはできず、設計者が「意識」して実行しなければならないからだ。それゆえPSAは、考え方という枠組みにならざるをえないのである。

　mbedクラウドは、今年10月から稼働を開始したが、企業や組織内にある大量のIoTデバイスが個別にインターネットに接続することは混乱をまねく。このため、mbed Edgeと呼ばれるデバイスを使い、組織内のIoTデバイスを管理しつつ、mbedクラウドに接続することが提唱された。これは、複数プロトコルに対応するデバイス管理機能（Multi-protocol device managemnent。MPDM）、データの簡易的な処理、ルーティングとその管理機能から構成される。これは今年の第4四半期からプレビューが開始されるという。