セキュアOSと組み込み開発との関連性

　「セキュアOS」と呼ばれるものはシステムを安全に動作させるための仕組みをOSの基本機能として提供しているものであり、前段で紹介したARMの仕組み以外にも複数存在する。その中の1つである「SELinux」を知っているだろうか。SEは“Security Enhanced”の略で、セキュリティ能力を拡張したという意味合いである。そもそもは米NSA（National Security Agency：国家安全保障局）のプロジェクトとして産まれたものである。

　SELinuxはLinuxカーネルの追加機能として実装されるもので、オブジェクト（ファイル、ネットワークソケット、プロセス（アプリやドライバーなど）へのアクセスを、あらかじめ設計されたポリシーに基づいて制御可能な仕組みを用意している。そのためマルウェアのように第三者が開発したアプリケーションが、ファイルやネットワークにアクセスしようとしてもブロックできる。

SELinuxにおけるセキュリティの概要（出展：The CentOS Project）

　しかし、SELinuxはLinuxカーネルにセキュリティ機能を付加するモジュールであるという性質もあって、組み込みシステムに向けたものではなく、ITシステムを安全に動作させるためのものだと考えていいだろう。

　組み込みシステムでは主としてコストの観点から、意図的に処理能力の低いハードウェア（メモリやCPUなど）を選択することもあるが、そのためSELinuxを採用すると証明書などを扱うために必要な暗号処理を行うための能力が不足する場合があるからだ。

　セキュアOSを組み込みシステムに導入する際、ハードウェアに金銭的なリソースを割けば製品価格に影響は避けられないだろう。しかし、そのシステムが人命に関わるものであるならば相応のコストをかけなければならない。

　デバイスの目的動作に最低限のスペックしか持たない安価なハードでデバイスを構成してしまい、セキュリティ要素を実装できず対策が不十分な場合、デバイスやシステムが乗っ取られるなどして取り返しのつかない事態を招くこともある。この課題は今後の組み込みシステム開発において、非常に重要な点だと言っていいだろう。

さまざまなセキュアOS

　では 話を戻して、組み込みシステム開発に利用可能なセキュアなOSにはどんなものがあるだろう。

• Wind River Linux Secure

　Wind RiverのLinux OSは「CC EAL4+」および「FIPS140-2」を取得している。このCC EAL4+とはCommon Criteria for Information Technology Security Evaluation という名称で規格化されており、「ISO/IEC 15408」としても知られている。これらは米国政府の調達基準を満たすために取得が必要とされる場合があり、SELinuxの効能を得られる製品ということになる。

　また一方で、Wind Riverは「VxWorks 653」や「VxWorks MILS」など、RTCA DO-178B、IEC 61508 SIL2/3 などの安全規格に準拠するOSも定供しているが、これらはここでいうセキュアOSとは異なると考えている。

　これらは自動車や列車、航空宇宙防衛関連のシステムを安全に動作させるための規格に準拠することで安全かつ確実に動作することを目指しているが、「攻撃される」という状況を想定しているわけではない。しかしセキュアOSはシステムが異常な動作をする弱点、いわゆる「脆弱性」を突かれることによって引き起こされる仕様外の振る舞いの発生を防ぎ、攻撃されることを想定した対策を実装している。

• PikeOS

　SYSGO AGのPikeOSはハイパーバイザーによってMILS（Multiple Independent Levels of Security）と呼ばれるセキュリティアーキテクチャをサポートしており、複数の異なるセキュリティコンポーネントを組み合わせることが可能だ。この製品は主に欧州の航空・防衛、自動車、輸送などの分野で採用されている。

• Kaspersky OS

　Kasperskyが自社開発したOSで、Separation KernelとFLASKアーキテクチャを採用している。ソースコードにアクセスできないと改ざんすることが困難（不可能ではないが）で、軽量でフットプリントが小さく組み込みシステムに向いている。Kaspersky OSについての詳細は後の機会に譲るとして、ここではFLASKについて簡単に説明してみたいと思う。

　FLASKはカーネギーメロン大の研究者が中心となって提唱したアーキテクチャで、セキュリティポリシーは個別のアプリケーションやドライバーなどのプロセスからは分離されている。また、アプリケーション開発者はあらかじめ定められたポリシーに基づいて実装することになるため、規定されたポリシーに反するアクセスは行えない。つまり、マルウェアなどがアクセスする可能性のあるメモリ空間やインフェース、プロセスへのアクセスをあらかじめ制限することができ安全なシステムを構築することができる。

　現在はセキュリティとセーフティが異なる規格で扱われているためこのように別々に提供されているが、今後、セキュリティとセーフティは一緒に扱われるようになるように思われるので、規格も統一され、対応する製品も選びやすくなるだろう。しかし、まだしばらく時間がかかるように思う。