CerberusはNIST 800-193準拠のハードウェアの信頼ルートであり、誰もクローンできないアイデンティティを持っています。 Cerberusは、ファームウェアの信頼性に対する強力な信頼の基盤を提供することで、Azureインフラのセキュリティ体制をさらに向上させることを目的としています。
信頼の基点を実現する
すべてのCerberusチップは、Microsoftの認証機関(CA)に根付いた署名済み証明書チェーンを用いて確立された固有の暗号識別を持っています。 AzureはCerberusから得られた測定値を用いて、以下のようなコンポーネントの整合性を検証できます:
- Host
- ベースボード管理コントローラー (BMC)
- ネットワークインターフェースカードおよび システムオンチップ (SoC)を含むすべての周辺機器
この信頼のアンカーは、プラットフォームファームウェアを以下から守るのに役立ちます:
- プラットフォーム上で動作するファームウェアバイナリが侵害されています
- オペレーティングシステム、アプリケーション、ハイパーバイザーのバグを悪用するマルウェアや攻撃者
- 特定の種類のサプライチェーン攻撃(製造、組立、輸送)
- 管理権限やハードウェアへのアクセスを持つ悪意ある内部者
ケルベロスの証言
Cerberusはプラットフォームファームウェアマニフェスト(PFM)を用いてサーバーコンポーネントのファームウェア整合性を認証します。 PFMは認可されたファームウェアバージョンのリストを定義し、Azureホスト認証サービスに対してプラットフォームの測定を提供します。 ホスト認証サービスは測定値を検証し、信頼できるホストのみをAzureフリートに参加させて顧客ワークロードをホストするかどうかを判断します。
ホスト認証サービスと連携することで、Cerberusの機能は高度に安全なAzure本番インフラを強化し促進します。
Note
詳細はGitHubのProject Cerberus情報をご覧ください。
次のステップ
Microsoftがプラットフォームの整合性とセキュリティを促進するために行っていることについて詳しく知りたい方は、以下をご覧ください:
