DigiCertはウェブセミナーを開催し、モノのインターネットとして知られるInternet of Things（IoT）を保護するためのPKIの重要性について議論しました。DigiCertの最高セキュリティ責任者Jasin SabinとLeidosチーフエンジニアのBrian Russell、DigiCertのJeff Chandlerが司会を務めるこの議論では、IoTで接続されたデバイスのセキュリティを確保する必要性と、大規模なアイデンティティとデータ保護のニーズについて話し合われました。

なぜPKIなのか？

IoTの急速な成長は刺激的です。なぜなら、ほぼすべてのシステムデバイスとオブジェク

トが、自動化、利便性の提供、データの収集と共有のためにインターネットに接続され ているからです。しかし、この成長の一方で、多くの企業がIoTを使用して消費者の信頼を得るだけでなく、IP（知的財産）や投資を保護するための大規模で信頼性の高いセキュリティを確保するために苦労しています。この課題を解決するためにはPKIが適切です。PKIはIoTを保護するための最も強力で最良のソリューションです。 簡単に言えば、PKIは、大規模な認証と信頼性の高い暗号化を可能にする実績のある技術 です。しかしながら、企業や顧客は依然としてPKIが複雑すぎるとか、難しすぎると見な し、代わりに「IoTインフラを保護するための何か」を彼ら自身で発明しようとしています。PKIソリューションのスケーラブルで柔軟な特性は、接続されたデバイスをセキュリティで保護するための適切な選択肢となります。

PKIは、以下の方法でデータの整合性を保証します。

暗号化：転送中のデータの暗号化
認証：ネットワーク情報交換におけるユーザー間の信頼を特定する
署名：ソフトウェアやファームウェアの設定が改ざんされていないことの確認、その他ソフトウェア、ファームウェアなどの起動時に、デバイスの更新が信頼できるソースから行われたことを確認します 企業がPKIを使用してIoTエコシステムを保護すると考えるにつれ、SabinとRussellは、CA機能、プロビジョニング、および特定のユースケースに合わせたPKIインフラストラクチャ構築のための配備など、いくつかの主要な考慮事項について議論しました。 証明書ベースのメソッドにおけるセキュリティの利点

PKIは、デジタル証明書を使用して、ブラインド、空気清浄機、ゴミ箱などの多数の装置

のセキュリティ確保で使用されています。専門家は、証明書がマルチファクタ認証の実装のような適切なセキュリティ対策をサポートするため、IoTデバイスを保護するための証明書ベースの方法を推奨します。具体的には、TLSは、双方向の証明書ベースの双方向認証（例えば、デバイスとサーバ間の認証、またはデバイス間認証）をサポートします。

IoTの業界に精通している人は、MQTT、CoAP、XMPP、DDS、およびHTTP / RESTといったメ

ッセージング・プロトコルをご存知と思いますAmazon（IoTサービス用にMQTTとRESTプロトコルを使用する）のような一部の組織では、TLS証明書を追加の保護層として要求する場合があります。特にMQTTプロトコルでは、

MQTTマシン間認証オプションがユーザー名/パスワード方式を使用して平文（暗号化され

ない状態）で送信されるため、追加されたTLSレイヤーが重要です。全体的に、Russellは、「ネイティブプロトコルか追加の手法」のどちらであろうと、IoTのセキュリティに証明書ベースの方法が推奨されることを明確にしています。これらの方法は、これらの証明書およびそれらに関連付けられた鍵ペアのスケーラビリティおよび組織的な管理を提供することによって、典型的な共通鍵管理手法の弱点を回避します。

証明書ライフサイクル管理の利点

PKIインフラストラクチャ内のデジタル証明書は柔軟性が高く、多くのユースケースに適合します。一般に、証明書は、調達、プロビジョニング、管理、監視、修復といったライフサイクルを通過します。しかし、IoT内のデバイスと証明書ユースケースの間には多様性があるため、IoTの証明書管理ライフサイクルは従来の使用ケースと大きく異なる場合があります。

特定のユースケースに合わせてPKIをカスタマイズするために、多くの企業は、証明書のライフサイクルを管理するための専門知識を提供し、プラットフォームを提供できるDigiCertのような商用認証局と協業することを選択します。証明書のプロビジョニング、失効、および適切な設定には、スマートな自動化とメンテナンスが必要です。これは、信頼できるCAが提供できるタスクです。

セキュリティのベストプラクティスの活用

組織は、自社のシステムに対する責任を負い、鍵と証明書がどこに配備されているかを 理解していることが重要です。下記はSabinとRussellが議論した中でピックアップされた主要な管理と証明書管理に関する5つのベストプラクティスです。

1. エンタープライズレベルの制御とモニタリング：モニタリングプラットフォームでは、証明書有効期限に基づいて鍵と証明書とローテーションを細かく追跡できます。
2. 発見：企業のインフラストラクチャにおける不正な実装の迅速な識別を可能にします。
3. 報告書：業界固有のコンプライアンス報告書は、規制上および法律上の要件を満たす必要があります。
4. 監査：標準化された監査録画と出力を標準のセキュリティ情報イベント管理システム（SIEMS）に統合します。監査は、1つの企業内の多数のデバイスを管理および監視する上で重要です。
5. アクセス制御：厳密なアクセス制御機能により、システム内のオブジェクトに対する柔軟な権限を指定できます。

考慮点

SabinとRussellは、IoT PKIにおけるいくつかの導入ユースケース、クラウドIoTサービスでのPKIの使用、およびプライバシーに関するいくつかの考慮事項について概説して、ウェブセミナーを締めくくりました。

私たちの議論から、IoTでPKIを使用するための全体的な取り組みは以下の通り です：

• IoTデプロイメントの認証の優先順位付け
• 特定のニーズを評価するためにPKIの専門家と相談する
• 標準化を待たずにあなたの投資を保護するために今日行動する
• 必要に応じてポリシーを更新するなど、幹部チームとボードメンバー（重役クラス）を教育する
• あなたのIoTセキュリティの取り組みの指針となるパートナーを見つける
• 業界のコラボレーションに参加する（CSA IoT WG）

Webinar - PKIを使用してIoTを保護：PKIの柔軟性とスケーラビリティに関する詳細をご覧ください。（英語）

IoTの提供者および製造業者は、IoT投資を保護するために即座にアクションを起こす必要があります。

原文はこちら