要約

  • NISTの最終版IR 8625は、RAN Intelligent Controller（RIC）のセキュリティを扱う。NISTは10月8日、連邦機関のO-RAN導入に関する別の草案とともにこの報告書を発表した。
  • O-RANはコンポーネント認証に相互TLS、認可にOAuth2を使うが、OAuth2のスコープの形式や細かさはO-RAN ALLIANCEが定めていない。資産、API、個々の操作のどこまで許すかは、運用者が選ぶ。
  • 集中型のポリシー判定点はルール更新を一元化できる一方、各認可要求をそのサービスに依存させる。別の管理ドメインに属するアプリでは、判定側の情報不足も起こり得る。

無線ネットワークのポリシーは読めても、変更や削除はできないxAppを設計できるだろうか。NISTの最終セキュリティ報告書は、OAuth2のスコープを考える具体例を示しつつ、どこまで細かくするかをネットワーク運用組織に委ねている。

NISTは10月8日、役割の異なるO-RAN関連文書を二つ発表した。最終版IR 8625は、Near-RT RICとそのアプリに関するセキュリティ要件を検討する。別のIR 8623は連邦機関向けプロフィールの草案だ。ここで扱うのは、その草案が問う機関のリスク責任ではなく、プログラム可能な無線網の内部で、アプリに許す操作を誰が決めるかである。

RICはアプリが無線アクセスネットワークの資源を監視・管理するための枠組みだ。NISTによると、Near-RT RICは一部のセルを担当し、1秒未満の運用応答時間を想定する。Non-RT RICはより広い範囲のデータを集め、遅い時間軸で制御する。xAppは前者、rAppは後者で動く。たとえば、rAppが複数セルの測定値を分析し、時間に敏感な調整を担うxAppにポリシーや設定規則を渡す。

柔軟性が増すと、ソフトウェアがネットワークの動作に影響する経路も増える。NISTの脅威分析は、第三者アプリがRANの情報を集め、ネットワーク外を含む別のコンポーネントへ送る可能性を挙げる。身元のなりすまし、広すぎる権限、データの改ざん、誤設定されたアプリは、アプリ自身のプロセスを超えて問題になり得る。これは脅威分類であり、攻撃の発生報告や特定運用者への指摘ではない。

報告書は、X.509証明書を使う相互TLSを認証に、OAuth2アクセストークンを認可に用いる現行仕様を説明する。トークンのscopeはリソースに対する権限を表し、リソースまたはポリシー実行点が要求された操作を許すか確かめる。要求元、リソース、認可サーバーの間でscopeの意味が共有されていなければならない。しかしO-RAN ALLIANCEは現在、その書式を指定していない。NISTの例では、O-RAN資産全体、特定API、さらに個々の呼び出しへと範囲を絞れる。たとえばポリシーの読み取りを認めても、作成・削除は認めない設計だ。

どの粒度を採用するかは、導入組織が自らのゼロトラスト方針や運用成熟度に合わせて決める。広い権限はアプリの接続を容易にするが、その作業に必要のない操作まで可能にしかねない。細かな権限は操作を制限できる反面、要求元、リソース、認可サービスが権限の語彙、管理者、ライフサイクルについて合意する必要がある。NISTは全運用者が同じ設計を採るとは述べておらず、特定の実装を認証してもいない。

クラウドネイティブ環境では、サービスメッシュなどの基盤コンポーネントがアプリの業務ロジックに代わって認証・認可を担える。制御をそろえやすくなる一方、集中型のポリシー判定点には別の交換条件がある。ルール更新とアクセス状況・セキュリティ状態の情報収集を一か所で扱えるが、判定点が使えないと、RANのアクセス要求を認可できない。これだけで無線サービスまで停止すると結論づけることはできない。報告書が示したのは認可の依存関係であり、ネットワーク停止ではない。

アプリが別の管理主体に属すると、境界はさらに複雑になる。NISTは、サービスとして提供されるrAppを例に挙げる。ある組織の集中型判定点が外部の主体を評価する情報を持たないこともある。アクセストークンだけでは、要求元の直近のセキュリティ状態や挙動までは分からない場合もある。アプリの身元を誰が保証し、scopeを誰が変更でき、どの組織が判断材料を見られるのかは、導入時に決める必要がある。

データ保護についても、NISTは通信路の保護とデータオブジェクトの保護を区別する。相互TLSはコンポーネント間の通信を守る。クラウドネイティブの処理では、共有ストレージやメッセージブローカーがポリシーや測定値の生成元と利用者の間に入ることがある。オブジェクトへの署名や暗号化は、その経路を通じて出所、完全性、機密性を保ちやすくするが、送信側と利用側には鍵管理と検証の負担が増える。IR 8625はこれを今後の検討課題としており、通信路の保護を置き換えるよう求めてはいない。

報告の結論は限定的だ。標準化されたプロトコルはゼロトラスト制御の仕組みを提供するが、運用者が決める権限の意味までは選ばない。認可を継続させ、管理ドメインをまたぐ信頼を整える責任も消えない。公開資料には特定の導入、侵入、ポリシー障害、可用性への測定済み影響は記されていない。

出典