Summary

  • 10月27日更新のRATS草案第15版は、機器の証拠配信を左右する七つの書き込み可能な設定を安全性の論点として列挙した。
  • 必要な通知や心拍が途切れた場合、検証者は新たな証拠を取り直してから鮮度を判断する。

防犯カメラが鮮明な映像を残しても、肝心の扉が画角の外なら役に立たない。ネットワーク機器が送るTPMの証拠にも画角がある。どのPCRを選び、何秒ごとに通知をまとめ、無変化の間にいつ新しい署名を送るか。IETFの第15版草案は、そのつまみを誰が触れるかに踏み込んだ。

YANGの設定木で書き換え可能なのは、通知のまとめ時間、TPM 1.2と2.0の署名方式、TPM 2.0の心拍、通知に対応するAIK証明書名、両世代の購読対象PCR番号だ。まとめ時間の初期値は五秒。心拍は選んだPCRに変化がなくても新しいTPM 2.0の署名付き証拠を送る。検証者の画面に何が、いつ現れるかを決める設定である。

新設された第8.3節は、無権限の変更が証拠の可用性、配信速度、鍵やアルゴリズムを変え得ると明記する。読む側にも権限が要る。通知には測定ログやPCR値、機器の構成情報が含まれる。草案は書き込みを認められた管理者に、閲覧と購読を認められた検証者などに絞る。RFC 8341がアクセス制御の仕組みを、RFC 9907がYANGの安全性評価の指針を与える。

第8.4節は沈黙にも期限を付けた。予定された通知や心拍が届かなければ、後の評価を新鮮なものとして扱う前に証拠を取り直す。長く続く購読はTPM、メモリー、計算資源、回線も使う。測定イベントが連発すれば負荷はさらに増す。

第14版の安全性の記述はもっと概括的だった。文書記録では第15版はIESGの評価と担当ADの追跡中にある。署名を眺めるだけでは、この配信盤の鍵を持つ人が見えない。