Chapter 06

鍵の保管 — CPU に平文の鍵を見せない

この章がなぜ必要なのか——鍵が漏れたら、他の全部が無意味になる.

02 章で見たとおり、Information Disclosure（鍵の漏洩）が起きると、 Spoofing も Tampering も一気に成立する。

だから「鍵をどこに、どう置くか」は、 組み込みセキュリティで最も重要な単一の設計判断である。

この章で使う既出の用語（定義は各リンク先）. Spoofing（02 章 3 節）、Tampering（02 章 3 節）、セキュアブート（02 章 3 節）、ハッシュ（04 章 4 節）、物理攻撃（04 章 6 節）、最も安全（05 章 4 節）

1. 鍵はどこに置けるか

鍵の保管方式を比較する

保管方式と攻撃者クラス（02 章）を選ぶと、どこまで守れるかが表示される。

「ハードコードしない」が第一原則である.

ETSI EN 303 645 の規定 4「セキュリティパラメータを安全に保管する」の中に、 「ハードコードされた重要なセキュリティパラメータを使わない」が明記されている。 UK PSTI も、EU の EN 18031 も同じことを要求する。

ソースコードに書かれた鍵は、

• ファームウェアを吸い出せば strings で見つかる
• Git リポジトリに残る
• 全台同じ鍵になる（02 章のクラス 3 攻撃が成立する）

これだけは絶対にやってはいけない。

2. OTP と eFuse

何であるか

用途:

OTP の制約

「eFuse は読めない」は正しくない.

多くの MCU で、eFuse の値はCPU から読める（そうでないと使えない）。 守っているのは「デバッガから読めない」「特定のマスタからしか読めない」という アクセス制御であって、物理的な読み出し困難性ではない。

物理攻撃者（クラス 4 以上）に対しては、 チップを開封して顕微鏡で観察する、プローブで信号を取るといった手段がある。 eFuse は「切れたヒューズ」が物理的に見えることがあるため、 高セキュリティ用途ではアンチヒューズや PUF が選ばれる。

OTP の使い方の設計

これを 「鍵の不可視化」 または 「ハードウェア鍵スロット」 と呼ぶ。

3. PUF — Physically Unclonable Function

原理

製造ばらつきを鍵として使う。

同じマスクで作った同じチップでも、トランジスタの閾値電圧やゲート遅延には 微細なばらつきがある。このばらつきは

• チップごとに違う（固有性）
• 同じチップでは再現する（再現性）
• 設計者にも予測できない（予測不能性）

代表的な方式:

SRAM PUF の動作

生の PUF 出力は温度や電圧で毎回数 % 揺れるので、そのままでは鍵にならない。 そこで初回に、誤り訂正のための補助情報——ヘルパーデータ （ベンダによってはアクティベーションコードと呼ぶ）——を生成して普通のフラッシュに保存しておき、 以後の起動ではそれを使って毎回同じビット列を復元する。 ヘルパーデータだけからは鍵を計算できないので、読まれても問題ない。

PUF の最大の利点は「鍵が保存されていない」ことである.

電源が切れている間、チップのどこにも鍵は存在しない。 剥がして読み出そうにも、読むべきものがない。

しかも、チップを開封して観察しようとすると、その行為自体が 素子の特性を変えて PUF の出力を変えてしまうという性質がある （invasive attack への自然な耐性）。

これが「高セキュリティ品種は PUF を使う」理由である。

PUF の注意点

採用例:

4. 鍵ラッピング（Key Wrapping）

OTP は小さい。だが守りたい鍵はたくさんある。 その解決策である。

「鍵がチップに縛られる」の効果は大きい.

攻撃者がフラッシュをまるごとコピーして別のチップに書いても、 HUK が違うので鍵を使えない。

これはクローン品対策としても有効である。 「フラッシュの中身をコピーすれば同じ製品が作れる」を防げる。

各社の名称:

5. 内部フラッシュの読み出し保護

多くの MCU が「読み出し保護（RDP / CRP / FSEC など）」を持っている。

レベル 1 と 2 の差は決定的である.

レベル 1 は「読めないが、消せる」。だから鍵は守られるが、機器は再利用できる。 レベル 2 は「二度とデバッグできない」。RMA（返品分析）ができなくなる。

ここが実務上の悩みどころで、14 章のライフサイクル管理で詳しく扱う。

そして重要な注意:

読み出し保護は、フォールトインジェクションで破られた実例がある.

複数のベンダの MCU で、電圧グリッチによる読み出し保護のバイパスが 公開実証されている（10 章・11 章）。

保護レベルの判定は、多くの場合「起動時にオプションバイトを読んで、 保護されていたらデバッグポートを閉じる」というソフトウェア的な分岐である。 その分岐をグリッチで飛ばせば、保護は解除される。

新しい世代のチップでは、この判定を冗長化したり、 ハードウェアラッチにしたりして対策している。 「保護機能がある」だけでなく「フォールト耐性があるか」を確認すること。

6. 外部メモリの保護

外付け SPI フラッシュや外部 RAM を使う場合、バスが露出する。

オンザフライ暗号

共通する仕組み:

完全性が必要なら、別の手段が要る.

• 起動時に全体をハッシュして検証する（XIP では実行中の変更を検出できない）
• オンザフライ認証に対応した SoC を選ぶ（対応品種は限られる）
• 内部フラッシュに重要な部分を置く（最も確実）

重要なコード（RoT、鍵を扱う部分）は、 できるだけ内部フラッシュに置くのが設計の基本である。

外部 DRAM の暗号化

Cortex-A クラスのアプリケーションプロセッサでは、外部 DDR が使われる。

7. 鍵の一生

鍵は「入れて終わり」ではない。ライフサイクル全体を設計する必要がある。

「鍵をどこで生成するか」は見落とされやすい重要な判断である.

方式	秘密鍵が外に出るか	難しさ
チップ内で生成（オンチップ鍵生成）	出ない（最も安全）	良質な TRNG（真性乱数生成器、08 章）が要る
工場の HSM で生成して注入	HSM から注入経路に出る	注入経路の保護が要る
開発 PC で生成してコピー	平文で流通する（危険）	楽だが避けるべき

理想はチップ内生成である。 秘密鍵が一度も外に出ないので、 工場の従業員も、製造委託先も、鍵を知りようがない。

ただしその場合、公開鍵を取り出して CA に署名してもらうという 工程が必要になる（公開鍵を CA に送って証明書にしてもらう依頼書を CSR＝Certificate Signing Request・証明書署名要求と呼ぶ。12 章）。

8. この章のまとめ

次章では、「壊れても被害を閉じ込める」ための仕組み—— 分離のアーキテクチャを扱う。