イーサネットは、組み込みシステムやエッジコンピューティングシステムにおいて、デバイス、コントローラ、クラウドプラットフォーム間の信頼性の高い通信を実現するために広く利用されています。NXP i.MX8M plusプロセッサでは、イーサネット接続により、産業オートメーション、ゲートウェイ、医療機器、IoTエッジノードなどのアプリケーションがサポートされます。これらのシステムは、認証情報、センサーデータ、診断ログ、制御コマンドなど、機密性の高い情報を頻繁に送信します。
TCPは信頼性の高いデータ配信を提供する一方で、機密性、完全性、認証といった機能は提供しません。組み込み機器がネットワークに露出した環境で動作することが増えるにつれ、暗号化されていないTCP通信は、データ漏洩、改ざん、なりすまし攻撃など、重大なセキュリティリスクをもたらします。
トランスポート層セキュリティ（TLS）は、IPベースの通信を保護するための標準プロトコルです。TLSは暗号化、認証、およびデータ整合性を提供し、基盤となるイーサネットインフラストラクチャを変更することなく、信頼できないネットワーク上での安全なデータ伝送を可能にします。 NXP i.MX8M PlusプロセッサArm® Cortex®-A53アーキテクチャをベースとし、統合イーサネットコントローラ、ハードウェア支援暗号化を介したTLS対応通信をサポートする。
高速化、および信頼できる実行環境。
プレーンなTCP通信のリスク
プレーンなTCPを使用すると、機密データがいくつかの脅威にさらされます。
- 盗聴： 権限のない第三者は、暗号化されていない通信を傍受することができる。
- データ改ざん: 攻撃者はTCPペイロードを改変することができ、システムエラーを引き起こす可能性がある。
中間者攻撃（MITM攻撃）：攻撃者はエンドポイントになりすまし、悪意のあるコマンドを挿入することができます。 - リプレイ攻撃: 有効なパケットであっても傍受され、再送信されることでシステム動作を妨害される可能性がある。
これらの脆弱性により、安全なイーサネット通信にはTLSが不可欠となる。
TLS暗号化通信の概念
TLSは、以下の3つの基本的なセキュリティ特性を提供することで通信を保護します。
- 守秘義務： 不正アクセスを防ぐためにデータを暗号化します。
- 認証： デジタル証明書を使用して通信エンドポイントの身元を検証します。
- Integrity: 暗号化メッセージ認証メカニズムを通じてデータ改ざんを検出します。
TLSはTCP/IPスタックの上位で動作し、物理的なイーサネットネットワークの変更を必要としません。i.MX8M Plusプラットフォームでは、TLSはハードウェア暗号化アクセラレーションと信頼できる実行環境を活用して、計算負荷の高い処理をオフロードし、強力なセキュリティ保証を維持しながらパフォーマンスを向上させることができます。
i.MX8MPにおけるセキュアアーキテクチャ
i.MX8MPプラットフォームは、セキュアなイーサネット通信のための階層型アーキテクチャを提供します。
- ギガビットイーサネットコントローラー： 高速ネットワーク接続を提供します。
- 暗号化高速化および保証モジュール（CAAM）： 暗号化、ハッシュ化、鍵管理の処理をオフロードすることで、CPU負荷を軽減します。
- ARM TrustZone & OP-TEE: システムをノーマルワールド（Linuxアプリケーション）とセキュアワールド（信頼できる暗号化サービス）に分割する。
- PKCS#11インターフェース： アプリケーションが鍵を公開することなく暗号化サービスにアクセスするためのAPIを提供します。
使い方：
- アプリケーションは標準的なネットワークAPIとTLS用のOpenSSLを使用します。
- kTLSはTLSレコードの暗号化と復号化をユーザー空間からLinuxカーネルにオフロードすることで、ユーザー空間メモリにおける平文の漏洩を最小限に抑えます。
- PKCS#11は、非対称演算（RSA/ECC）をセキュアなハードウェア上で実行することを可能にする。
- OP-TEEは機密性の高い暗号化操作を実行し、TLSで使用される鍵をセキュアワールドに安全に保存することで、鍵とセッション情報を信頼できないソフトウェアから隔離します。
このアーキテクチャにより、イーサネットデータはデバイスから送信される前に暗号化され、暗号鍵はライフサイクル全体を通して保護されることが保証されます。
TLSオフロードと暗号化のアプローチ
カーネルTLS（kTLS）オフロード：
- 目的： TLSレコードの暗号化と復号化をカーネルにオフロードする
- メリット： ユーザー空間メモリにおける平文の漏洩リスクを低減し、CPUオーバーヘッドを削減し、ハードウェアアクセラレーションによってスループットを向上させます。
- 検証： TLSデータがカーネル層で効率的に暗号化され、攻撃対象領域が最小限に抑えられていることを確認します。
OpenSSLのPKCS#11による非対称操作：
- 目的： PKCS#11エンジンを使用して、RSA/ECC処理をCAAMにオフロードします。
- メリット： 秘密鍵は安全なハードウェアに保存されるため、メモリベースの攻撃を防ぎます。ハンドシェイクのパフォーマンスが向上します。
- 検証： すべての非対称操作において、ハードウェアで保護された鍵が安全に使用されることを保証します。
OpenSSL TLS を PKCS#11 プロバイダ経由で OP-TEE にオフロードする:
- 目的： TLS暗号化操作と鍵の保存をトラステッド実行環境に委任します。
- メリット： 鍵とセッションデータは強力に分離されており、通常のアプリケーションが侵害された場合でも保護されます。
- 検証： OP-TEE内でTLSセッションが安全に動作することを確認します。
検証とセキュリティのメリット：
検証の結果、セキュアなアーキテクチャが意図どおりに機能することが実証されました。
| メカニズム | 検証目的 | セキュリティ上の利点 |
|---|---|---|
| kTLS | TLSレコード処理をオフロードして カーネル/ハードウェア | 平文の露出を減らし、 スループット |
| PKCS＃11 | 非対称暗号をCAAMにオフロード | 秘密鍵を保護し、 認証 |
| OP-TEE PKCS＃11 | Secure で TLS 操作を実行する 世界 | 暗号化を分離し、攻撃対象領域を縮小します。 セッションキーを保護します |
概要：これらのメカニズムを組み合わせることで、機密性、完全性、認証が確保されるとともに、ハードウェアアクセラレーションとTEE（Teaching Encoder）の分離を活用してパフォーマンスとセキュリティが向上します。
これらの検証ケースは、i.MX8MPプラットフォーム上でのセキュアなイーサネット通信が階層型セキュリティメカニズムによって実現されていることを総合的に示しています。カーネルTLSはパフォーマンスを向上させ、平文の漏洩を減らし、PKCS#11ベースのハードウェアアクセラレーションはセキュリティを強化します。
非対称鍵操作、およびOP-TEEは、機密性の高い暗号処理に対して強力な分離を提供します。これらのメカニズムが連携して、データの機密性、認証、および完全性を保証します。
イーサネット経由で送信されます。
i.MX 8M Plus SMARCシステムオンモジュールの概要
提案するセキュア通信システムは、高性能アプリケーション処理と高度なネットワークおよびセキュリティ機能を兼ね備えたi.MX8M Plus SMARCプロセッサをベースとしています。マルチコアアーキテクチャにより、組み込みアプリケーションや産業用アプリケーション向けに、オペレーティングシステムタスク、セキュアイーサネット通信、周辺機器管理、リアルタイムデータ処理を効率的に処理できます。
ハードウェアアクセラレーションによる暗号化処理、ギガビットイーサネット接続、および産業グレードの組み込み設計をサポートするi.MX8MP SMARCプラットフォームは、エッジシステムやIoTシステムにおけるTLS暗号化イーサネット通信の実装のための、信頼性が高く拡張性の高いソリューションを提供します。
- 最大1.8GHzで動作する4つのCortex-A53コア
- 専用のCortex-M7、GPU、VPU、NPU、ISP、およびHiFi4オーディオDSP
- 2GB LPDDR4、最大8GBまで拡張可能なメモリをサポート
- 16GB eMMCフラッシュ（最大128GBまで拡張可能）、Micro SDスロット
- Wi-Fi 5 および Bluetooth 5.0 接続
- ギガビット イーサネット x 2 (XNUMX つのポートで TSN をサポート)
- 最大 2.3 TOPS のニューラル ネットワーク パフォーマンスを備えた NPU
この組み合わせにより、組み込みシステムは、信頼性の高いリアルタイム性能を維持しながら、セキュアなイーサネット通信、TLS暗号化/復号化、ネットワークパケット処理、および周辺機器制御を効率的に管理できます。また、拡張性の高いアーキテクチャにより、産業オートメーション、IoTゲートウェイ、セキュアエッジデバイス、およびインテリジェント組み込みシステムへの導入が容易になります。
結論
TLS暗号化イーサネット通信は、組み込みシステムを盗聴、改ざん、なりすまし攻撃から保護するために不可欠です。i.MX8M Plusプラットフォームでは、ハードウェア暗号化アクセラレーション、ARM TrustZone、OP-TEE、およびPKCS#11ベースの鍵管理によってセキュリティが強化されています。これらのメカニズムは、カーネルTLSオフロードと組み合わせることで、転送中のデータに対して安全かつ効率的なハードウェアによる保護を提供し、攻撃対象領域を全体的に縮小します。この階層的なアプローチにより、i.MX8MPベースの組み込みシステムは、最新のコネクテッドアプリケーションにおいて、強力な機密性、完全性、および認証を実現できます。
