サイバートラストとアットマークテクノは、JC-STARの上位レベル（★2以上）を見据え、Armadillo Base OS（ABOS）搭載機器を対象に、電子証明書を活用した機器認証の標準化と適合支援に向けたPoCを共同で実施すると発表しました。製造時の証明書書き込みからクラウドでの運用・更新、適合審査や申請の効率化までを検証します。
JC-STAR上位レベルを見据えた共同PoC
サイバートラストとアットマークテクノは、独立行政法人情報処理推進機構（IPA）が運用するIoT製品向け制度「セキュリティ要件適合評価及びラベリング制度（JC-STAR）」の上位レベル（★2以上）を見据え、電子証明書を使った機器認証の標準化と適合支援に向けた概念実証（PoC）を共同で実施すると発表しました。対象は、アットマークテクノのIoT機器向けLinux OS「Armadillo Base OS（ABOS）」を搭載した機器です。
両社は、ABOSの電子証明書プロビジョニング機能とサイバートラストの認証局（CA）サービスを連携させます。製造現場での証明書書き込み、クラウドを通じた運用・更新、審査・申請の効率化について実効性を検証し、IoT機器メーカーが上位要件に対応するための標準化スキームの確立を目指します。
両社はこれまで、ABOSを搭載するArmadilloシリーズを活用し、顧客製品のJC-STAR★1適合ラベル取得を支援する共同サービスを提供してきました。今回のPoCは、今後のJC-STAR上位レベルやECHONET Lite DAなどの要求に備える取り組みです。
電子証明書の発行・運用を巡る課題
IPAは、IoT製品のセキュリティ機能を共通の基準で評価・可視化するJC-STARを運用しています。JC-STAR★1は2025年3月に運用を開始しており、より高度なセキュリティ要件を求める上位レベル（★2以上）の展開が見込まれています。発表では、欧州サイバーレジリエンス法（CRA）など、国内外で機器の真正性確保を義務付ける動きが広がっていることにも触れています。また、スマートホームなどでは、電子証明書を利用する認証規格「ECHONET Lite DA（Device Authentication）仕様」が策定されています。
発表によると、電子証明書の発行には認証局の構築と運用が必要です。認証局の鍵を保護するHSM（Hardware Security Module）やサーバー機器の導入に加え、製造ラインで鍵を安全にデバイスへ書き込む設備も必要になります。認証局を維持するには高度な知識を持つ運用体制も求められるため、初期費用と運用負担がIoT製品メーカーの課題になっているとしています。
HSMは、秘密鍵を保管し、不正な外部コピーを防ぐための機器です。原資料では、厳格な認証を行ったうえで、クラウド上で電子署名する仕組みとして説明されています。両社は、メーカーが少ない初期投資と低い運用負荷で、信頼性の高い電子証明書を安全に発行・書き込みできる仕組みの構築を目指します。
Ms.ガジェット認証局の構築だけでなく、製造ライン側の設備や運用体制まで課題として挙げられている点が印象に残ります。
アットマークテクノはABOSの証明書機能を検証
アットマークテクノは、ABOSに追加される電子証明書プロビジョニング機能を使い、製造から運用までの証明書ライフサイクルを技術検証します。発表では、基板上のセキュアエレメント（SE）やTPMなどの内部で秘密鍵を直接生成することで、外部への秘密鍵漏洩リスクを根本から防止するとしています。
製造時には、安全なプロビジョニングを行う中継器をレンタル提供します。認証局が発行したデバイス証明書を、安全な通信経由で各機器のセキュアメモリ（セキュアエレメントやTPMなど）へ書き込む仕組みを実証する計画です。
設置後の運用では、デバイス運用管理クラウドサービス「Armadillo Twin」と連携するフローを検証します。対象となるのは、証明書の更新、追加アプリケーション用証明書の動的取得、有効期限の管理、失効処理です。これらをリモートで一括管理できるかを確かめます。
Ms.ガジェット秘密鍵をセキュアエレメントなどの内部で生成する設計が、製造時の証明書の扱いとどう結び付くのか注目しています。
サイバートラストはCA連携と適合性評価を担当
サイバートラストは、認証局としての実績とノウハウをもとに、上位レベルへの適合に向けた技術面・手続き面の有効性を検証します。ECHONET Lite DAなどのセキュリティ規格や、今後展開されるJC-STAR上位レベルの技術要件と、Armadilloを組み込んだ機器仕様との適合性を評価する計画です。
また、サイバートラストが提供する認証局接続APIを通じて、ABOSの電子証明書プロビジョニング機能とCAを接続し、証明書の発行から運用までのセキュリティフローを検証します。
申請手続きでは、ABOSとしてすでにセキュリティ要件を満たしている機能や評価データを再利用するスキームも検証します。発表では、顧客独自の検証作業の負担を最小限に抑え、申請準備から適合ラベル取得までの期間を大幅に短縮するモデルの構築を目指すとしています。
Ms.ガジェット既存の評価データを再利用する仕組みの検証は、申請時に必要な作業の範囲を考えるうえで気になります。
正式サービスの展開は今後の進展に合わせて予定
両社は、PoCで得た知見をもとに、JC-STAR上位レベルの正式運用開始やECHONET Lite DA適合性認証の進展に合わせて、製品メーカー向け支援サービスを正式展開する予定です。発表では、スマートホーム、スマートエネルギー、産業機器などのIoT市場で、製品開発者のセキュリティ対応負荷を軽減し、サイバーレジリエンスを備えたIoT製品の迅速な社会実装を支援するとしています。
Ms.ガジェット正式展開は制度や認証の進展に合わせる予定とのことで、PoCの成果がどうサービス化されるかは今後の焦点になりそうです。
- 本記事で使用している画像は、メディアユーザーとしてPR TIMESより提供されたプレスリリース素材を利用しています。
製造から運用、申請までを一連の流れとして検証する点に、今回の取り組みの広がりを感じます。