記事一覧

ビルドごとに生成される証拠で認定を継続する

AGELAIOS

ドクトリン

SBOM、テストレポート、署名済み来歴マニフェスト、要件・メカニズム・証拠マトリクスから成るインスタンス証拠キットを生成するビルドパイプライン。

本稿は、情報システムセキュリティ責任者と認定当局に向けたものです。AGELAIOSが、従来の認定資料作成をどのように反転させるかを説明します。証拠を事後的に再構築するのではなく、リリースごとにファクトリーから送り出します。続いて、インスタンスキットの内容、準備中の認証方針、バージョン1が実際に主張するセキュリティ境界を説明します。

署名までの間に古くなる資料

一般的なプログラムでは、認定作業は最後に到来します。チームはそこで、システムの構成、ビルド方法、実行したテストを再構築しようとします。できあがった資料は、署名される頃にはソフトウェアより遅れた状態を写しています。その後のリリースごとに差が再び開きます。資料が記述するのは昨日のシステムで、現場が動かすのは今日のシステムです。

当局には望ましくない二者択一が残ります。更新を凍結して既知の脆弱性を残すか、資料の範囲外にある変更を受け入れて認定を空洞化するかです。どちらもセキュリティ判断ではなく、日程上の妥協です。

AGELAIOSは負担を工程の前段へ移します。証拠項目はビルド成果物です。参照リポジトリの9本の継続的インテグレーションパイプラインが生成する各リリースは、同じパイプラインが同じトリガーで生成した証拠キットを伴います。認定資料を後から再構築しません。ソフトウェアと完全に同じ速度で更新します。資料と配備システムの乖離という問題を、構造上なくします。

ビット単位で再現可能なビルドが、この仕組みを完成させます。認定担当者は公開ソースからバイナリを再ビルドし、納入成果物と比較できます。ビルドチェーンへの信頼は、信頼表明ではなく検証になります。

この反転は、更新判断も変えます。2つのリリース間で、当局はキットの正確な差分、すなわち追加・削除されたコンポーネント、変更されたテスト、触れられたマトリクス行を確認できます。その上で段階的なポリシーを適用できます。セキュリティターゲットの要件に影響しない差分を持つリリースは、軽い再審査経路を通ります。その他は完全レビューを起動します。資料を手作業で組み立てる場合、この段階付けは非現実的です。資料がビルド出力なら、成果物に対する分類処理になります。

4つの成果物、1つの検証経路

インスタンスの証拠キットは、4つの要素から成ります。

  1. SBOM、すなわちSoftware Bill of Materialsは、イメージ内のソフトウェアコンポーネントを、バージョンと来歴とともに一覧化します。CISAを含む当局が、特に公開脆弱性への露出分析におけるソフトウェア透明性の基盤として推進する成果物です [1]。あるコンポーネントにCVEが公開された場合、イメージを手作業で調査せず、稼働中の各リリースのSBOMと照合できます。
  2. テストレポートは、x86-64およびARM64のエミュレーション対象上で実行した約930件の完全な自動テストスイートについて、対象バージョンの正確な識別子を付した日付入り結果です。失敗も成功と同じ基準でレポートに現れます。
  3. 署名済み来歴マニフェストは、ビルドチェーンを証明します。どのソース、パイプライン、パラメーターが、どの成果物を生成したかを記述します。形式は、ソフトウェアサプライチェーンの来歴証明を標準化するSLSAフレームワークの考え方に従います [2]。
  4. 要件・メカニズム・証拠マトリクスは、対象の各セキュリティ要件を、それを担う基盤メカニズムと、テスト、測定、文書、手順などの証拠へ対応付けます。メカニズムまたは証拠のない要件は、マトリクス上の穴として現れます。この形式は、欠落を覆い隠さず可視化します。

マトリクスの1行は次のように読めます。要件は、署名検証に失敗するすべてのモジュールをノードが拒否することです。メカニズムは、オフラインでアンカーされた信頼チェーンを使う、インストール時のML-DSA-65検証です。証拠は、無効、失効済み、欠落した署名を持つモジュールのインストールを試す公開スイートのテストと、脅威モデルの対応節です。認定担当者が受け取るのは主張ではありません。テストコードまでたどれる検証経路です。

このキットは認定判断に代わるものではありません。その判断は、定義済みの使用境界に対して当局が行う行為であり続けます。キットは、そのための最新かつ確認可能な材料を提供します。

より小さなTCBから始める認証経路

目標とする認証方針は、ANSSIのCSPN、Certification de Sécurité de Premier Niveauです。承認済み評価機関が時間制約下で実施するブラックボックス評価で、明示された攻撃者水準に対する製品の耐性を証明します [3]。評価範囲、セキュリティターゲット、必要文書は、同機関が公開する枠組みに従います [4]。ここでは申請日を発表しません。日程は未確定事項であり、確定後にリポジトリで公開します。

基盤のオープン性は、この評価に直接役立ちます。CSPNは厳しい時間制約で実施されます。評価者が製品を理解するために使う1時間は、攻撃を見つける時間から差し引かれます。ソース、脅威モデル、テストスイート、ビルドレポートを事前に得ている評価者は、直ちに実質的な作業へ入れます。理解のコストを評価日数へ持ち込まず、事前レビュー可能な公開文書上で支払えます。

この方針に備えるアーキテクチャ上の選択が、縮小されたTCB、Trusted Computing Baseです。TCBとは、侵害されればシステムのセキュリティを損なうのに十分なコンポーネント群です。AGELAIOSでは、選択プロファイルに応じて、業務モジュールをnamespaces、cgroups、seccomp、microVM、WASIで分離して実行し、TCBの外に置きます。評価対象は、検証ブート、署名検証、分離、更新という基盤へ集中します。TCBが小さければ評価範囲も小さくなります。これによって、継続的なリリース周期と両立するコストと期間で評価できます。

脅威モデルからセキュリティターゲットへ

セキュリティターゲットを汎用カタログから作ることはありません。リポジトリで公開する脅威モデルから、3つの手段を通じて導出します。

  1. デジタルリスク評価に関するANSSIの方法であるEBIOS RMが、境界設定、リスク源、戦略・運用シナリオ、対応という分析を構造化します [5]。インスタンス内で保護すべき資産を、実際に懸念されるシナリオへ結び付ける方法です。
  2. STRIDEは、なりすまし、改ざん、否認、情報漏えい、サービス拒否、権限昇格を対象とする脅威の技術分類表を提供し、基盤の各インターフェースへ適用します [6]。
  3. MITRE ATT&CKは、観測済みの敵対者技術に関する知識ベースを提供し、純粋に理論上の攻撃者ではなく、文書化された実践とモデルを突き合わせます [7]。

この連鎖の出力が、要件・メカニズム・証拠マトリクスの第1列になります。対象の各要件は特定済み脅威シナリオへ遡れ、採用した各シナリオからは少なくとも1つの要件へ進めます。認定担当者は連鎖を双方向にたどれます。

System-highを前提とし、マルチレベルセキュリティは主張しない

AGELAIOSバージョン1は、system-high態勢を前提とします。1つのインスタンスは単一の機密区分で運用され、その全利用者が同じ区分の取扱資格を持ちます。基盤は、実証された分離の下で複数の機密区分を同一インスタンスに収容できるMLSシステムであるとは主張しません。

この選択は、約束より正確さを優先するプロジェクトの編集方針に従います。実証済みMLS分離はまれで高価であり、その実証はCSPNの枠を超えます。実証なしにMLSを主張すれば、文書化されていないリスクを認定担当者へ移します。資料には約束が現れても、その前にメカニズムも証拠もありません。要件・メカニズム・証拠マトリクスは、まさにそのような空疎な行を可視化するためにあります。

より控えめなsystem-high態勢なら、基盤にすでに存在するメカニズムだけで完全に実証できます。当局が実際に審査できる境界を提供します。バージョン1では、マルチレベル要件を機密区分ごとのインスタンスの物理的または仮想的分離で扱い、必要に応じてアーキテクチャ解説で説明するラベル付けメカニズムにより連合させます。この態勢が変わる場合も、製品の他の部分と同じ経路、すなわち改訂された脅威モデル、公開メカニズム、キット内の証拠を通ります。

したがって、商業上の主張は意図的に限定されています。AGELAIOSは、完成済み認定、CSPN証明書、現在のメカニズムで実証していないマルチレベルセキュリティ機能を販売しません。判断権を持ち続ける当局に対して、最新かつ再現可能な証拠を生成するファクトリーを提供します。インスタンス証拠キットは、対象基盤バージョンを指定して問い合わせページから請求できます。

参考文献

  1. CISA, “Software Bill of Materials (SBOM)”, https://www.cisa.gov/sbom
  2. OpenSSF, “SLSA: Supply-chain Levels for Software Artifacts”, https://slsa.dev/
  3. ANSSI, “Présentation de la Certification de Sécurité de Premier Niveau (CSPN)”, https://cyber.gouv.fr/offre-de-service/solutions-certifiees-et-qualifiees/comprendre-levaluation-de-securite/certification-de-produits/presentation-certification-cspn/
  4. ANSSI, “Documents applicables à la Certification de Sécurité de Premier Niveau (CSPN)”, https://cyber.gouv.fr/offre-de-service/solutions-certifiees-et-qualifiees/comprendre-levaluation-de-securite/certification-de-produits/referentiel-dexigences-pour-la-certification/documents-applicables-certification-de-securite-de-premier-niveau/
  5. ANSSI, “La méthode EBIOS Risk Manager”, https://cyber.gouv.fr/securisation/analyse-des-risques/methode-ebios-rm/
  6. Microsoft, “Threats, STRIDE model (Threat Modeling Tool)”, https://learn.microsoft.com/en-us/azure/security/develop/threat-modeling-tool-threats
  7. MITRE, “MITRE ATT&CK”, https://attack.mitre.org/