SmaSA – BMBFから資金提供を受けた研究プロジェクト
Smartcard-based Security Anchors for Android（Android用のスマートカードベースのセキュリティーアンカー）
動機
携帯電話やタブレットといったスマート・モバイル・デバイスの利用が、私用とビジネス用の両面で増加するにつれて、企業にとってのリスクも大きくなっています。これらのデバイスが権限のない人物によってアクセスされたり、マルウェアやユーザーエラーによって損傷されたりした場合、企業ネットワークに影響が及び、企業データの重大な損失などを招くおそれがあります。このような脅威を防ぐには、ハードウェア・セキュリティー・アンカーを使用して、起動のセキュリティー確保、暗号化キーの作成と保存、セキュアなアプリケーションの識別といった機能を実現する方法があります。デスクトップコンピューターやノートパソコンでは、このコンセプトは一般的にトラステッド・プラットフォーム・モジュール（TPM）を通じて実現されています。SmaSA（Smartcard-Based Security Anchors for Android：Android用のスマートカードベースのセキュリティーアンカー）プロジェクトは、このテクノロジーをスマート・モバイル・デバイスに適用する実用的な方法を研究しています。
方法と目標
このプロジェクトの目的は、Androidオペレーティングシステムを対象とするハードウェアベースのセキュリティーアンカーの改善と機能拡張のための方法とソフトウェアコンポーネントの開発です。モバイルデバイスにはTPMが装備されていないため、アンカーとして機能する追加のmicroSDスマートカードが必要です。個々のセキュリティーコンポーネントをこのカード上で実現できない場合には、ARM TrustZoneやJava Cardといった特定のハードウェア／ソフトウェアコンセプトを代わりに利用することもできます。これらのテクノロジーを利用すると、実際の起動の前にユーザーを認証（起動前認証）することで、Androidデバイスのセキュアな起動を実現できます。ログオンが失敗した場合、モバイルデバイスのすべてのアプリケーション、データ、オペレーティングシステムは、暗号化によって保護されています。さらに、リモート構成証明を通じて、スマートフォンの正常性を確認することができます。例えば、会社側の集中的機関からスマートフォンをチェックできます（モバイルデバイス管理コンポーネント）。リモート構成証明はコンピューターに関しては知られていますが、モバイルデバイスに対しては用いられておらず、モバイルデバイス固有のニーズにも適合していません。このプロジェクトによって、スマートカードベースのセキュリティーアプリケーションがAndroid上でも使用可能になり、この種のテクノロジーの新しいアプリケーション分野が開かれます。
システム全体の暗号化と、スマートカードベースのセキュアな起動により、多くのセキュリティーリスクに対処できます。セキュリティーレベルを上げるため、このプロセスに起動前認証を組み込むことで、不正アクセスに対する保護を実現できます。このプロジェクトで開発されたツールは、スマートカードまたは同等のセキュリティーモジュールを使用することで、モバイルデバイスに関してこの問題を解決する機能を持ちます。
SmaSAプロジェクトの主な目標は、以下のとおりです。
- スマート・モバイル・デバイスの重要な内容と起動を保護するためのセキュリティーアンカーを強化する方法とソフトウェアコンポーネントの開発
- コンピューターのようなハードウェア・セキュリティー・モジュール（TPMなど）を搭載していないモバイルデバイスのためのハードウェアベースのセキュリティーコンポーネントとしてのスマートカードの組み込み
- スマートカード上で実現できない機能的セキュリティーコンポーネントのARM TrustZoneやJavaCardへのアウトソーシング
- BizzTrustでの起動前認証によるSecureBootの実現
プロジェクトの組織
SmaSAは、Rohde & Schwarz Cybersecurity GmbHとWestphalian University of Applied SciencesのInstitute for Internet Security（Norbert Pohlmann教授（博士））による共同研究プロジェクトです。このプロジェクトは、プロジェクトのオーナーであるドイツ連邦教育研究省（BMBF）から資金提供を受けています。
- プロジェクト管理：VDI/VDE Innovation + Technik GmbH
- コンソーシアム：Rohde & Schwarz Cybersecurity GmbH、Westphalian University of Applied Sciences - Institute for Internet Security
- プロジェクト期間：2014年4月～2017年9月
このプロジェクトの詳細については、www.smasa.deをご覧ください。