「スクランブルメモリ」誕生秘話

現代のデジタル環境においてネットワークの境界防御だけに頼る安全対策は限界を迎えており、あらゆるアクセスを疑い検証するゼロトラストセキュリティへの移行が急務となっています。
しかし従来の暗号化ドライブをはじめとするストレージセキュリティ技術にはシステムが起動してユーザー認証が完了した後はストレージ内のデータが保護から解放されて平文化してしまうという構造的な弱点が存在していました。
このようにシステム運用中においてはホストOSの脆弱性や不正侵入に対して十分な防御能力を発揮できません。

この課題に対し株式会社シーズは従来のセキュリティとは次元が異なる全く新しいアプローチで挑みました、「スクランブルメモリ」はメディアやファイル単位でセキュリティを思考しているのではありません、連続したデータそのものの真正性を保証し取られても読まれない方式を思考して作られています。

センサーからクラウドまでのデータ伝送においてデータ単位で高度なセキュリティを実現させるシーズの「ハッシュチェーン」という特許技術そのものをデータ記録に応用させた技術であり、データ単位で高セキュリティを実現させる、それが「スクランブルメモリ」の基本概念です。

データ保護ストレージ方式の概要と限界

現在運用されている主なデータ保護ストレージ技術は特定の脅威や利用環境に特化して進化してきたものの、ゼロトラスト環境下で要求される包括的なデータ保全においてはそれぞれ固有の構造的限界を抱えています。

(1) 自己暗号化ドライブ方式（SED）

主要なSSD等に搭載されているハードウェア暗号化技術です。
ドライブ単体の盗難時には高い機密性を保持しますが、OSが起動して認証が完了した後は全領域が保護から一括解放されるためシステム運用中のマルウェアや不正侵入に対して無力化してしまいます。
またデータ改ざんの検知機能やアクセスの真正性を証明する機能は備えていません。

(2) 暗号化ドライブ方式

OSやファイルシステム層で機能する BitLocker等のソフトウェア暗号化です。
TPMチップによるシステム整合性の確認等を行いますが、OS起動や認証完了後に領域全体が解放されシステム運用中の侵入に対して十分な防御能力を持たないという構造的な限界は自己暗号化ドライブと同様です。

(3) 分散オブジェクトストレージ方式

データをオブジェクトに分割し修復用コードを付与して複数環境に保存するクラウド技術です。
障害耐性は極めて高いものの、データの配置場所を示すメタ情報がシステム内に存在するため管理者権限が奪取された場合に一括復元されるリスクを抱えています。

(4) イミュータブルストレージ方式

データの変更や削除をシステムレベルでロックし書き換えを防ぐ技術です。
ランサムウェア等の改ざん防止には強固ですがデータを隠蔽する機能を持たないため生データを直接持ち出された場合は防御できません。

(5) 秘密分散方式

独自計算式でデータを意味のない断片に分割し分散保存する技術です。
暗号鍵自体が存在しないため秘匿性は高いものの、データ復元用の管理情報をエンドポイント端末側に保持するケースが多くOS侵害時に全断片を収集復元されるリスクを排除できません。

(6) 暗号化分割ストレージ方式

暗号化データを断片化しブロックチェーン等で管理する技術です。
高度な改ざん検知機能を有しますが主にクラウド環境に依存しており端末自体の物理的な正当性を動的に証明する仕組みには欠けています。

構成情報を持たない解読不能構造

「スクランブルメモリ」の最大の強みはストレージ内部にデータの構成や配置を示すメタ情報を一切保持しない点にあります。
データをストレージに記憶する際はあらかじめ暗号化した上で高度に断片化し、さらに本物のデータと見分けのつかないダミーデータを混在させて分散保存します。

一般的な秘密分散等では断片の配置マップを保持しますが「スクランブルメモリ」ではこの情報をストレージ内に一切残しません。
復元に必要な Seed は ARM TrustZone 等の端末チップ内にあるセキュア領域に完全分離して保存されます。
この構造により例えストレージを解体してメモリチップから生データを直接吸い出すチップオフ解析が行われたとしても、どれが本物のデータでどのような順序で結合すべきかを特定することは不可能です。

伝送経路のデータ保護とチップレベルのセキュリティ

「スクランブルメモリ」のデータ保護能力はストレージに保存された状態にとどまらず、データが回路やネットワークを通過するプロセスにおいても徹底したセキュリティを実現しています。

(1) 回路傍受への対策

電子機器内部の回路やバスを流れる信号を傍受解析するバススニッフィング攻撃に対し、記録送信する順序をランダム化してダミーデータを混在させることで正規の統合順序を解析不能にします。

(2) 中間者攻撃への対策

クラウドストレージ等へデータを転送ミラーリングする際も記録順序の入れ替えやダミーデータの混在によって中間者攻撃を遮断します。

(3) PUF 技術によるデバイス認証

半導体チップの物理的個体差を利用するPUF技術の実装が可能です。
暗号鍵や Seed をチップ固有の物理特性に紐付けることで複製や偽装が不可能な強固なデバイス認証を実現します。

「スクランブルメモリ」の活用事例

(1) NAS等の外部記録ストレージ

企業の重要データが集約される NAS 等の外部データストレージ環境において、「スクランブルメモリ」は本体の盗難や不正な抜き取りに対しても解読を許さない高度なストレージ環境を実現します。
NAS内部の汎用CPUや専用チップ上で動作し、データの記憶時に暗号化分割とハッシュチェーン生成を実行してダミーデータとともに分散保存します。
結合に必要な Seed はセキュア領域へと完全分離されるため、仮に NAS 本体ごと持ち出されたりドライブ単体が抜かれたりしても外部でのデータ復元は不可能です。
さらにバックアップとしてクラウドストレージへ転送する際もメタ情報を残さずデータの並び替えとダミー混在を行ってミラーリングするため、伝送路やクラウド上においても一貫した安全性を担保できます。

(2) IoT やフィジカル AIおよびエッジデバイスでの活用事例

ドローンやロボットまたは各種センサー機器をはじめとするエッジデバイス分野において物理的な損失や紛失に伴うデータ漏洩を防止します。
1ms以下の超高速検証処理によりリアルタイムで生成されるセンサーデータ等の書き込み処理を妨害することなく追従します。
万が一現場での事故やトラブルによりドローンやロボットが流出・回収された場合であっても記憶媒体内のデータは完全に保護されているため外部へ漏洩することはありません。
またエッジデバイスと親機との通信プロセスにおいても Seed 情報を組み合わせた検証を行うことで第三者による通信内容の改ざんやデータの不正挿入や成りすましといった不正アクセスを効果的に遮断します。

(3) 社外データ共有および廃棄時での活用事例

高度な機密性が要求されるサーバー環境から社外との安全なデータ連携や機器処分に至るまで幅広い業務プロセスに適用可能です。
サーバー内部へ不正侵入されたりストレージが直接スキャンされたりした場合でも、保存されているデータはメタ情報を持たない無秩序な配列に過ぎず分離された Seed なしでは解読できません。
社外へデータを安全に共有する際は「スクランブルメモリ」のクラウドプラットフォームを経由し、送信側で受領者の公開鍵による再暗号化とハッシュチェーン化を行って転送することで手渡しや従来のファイル共有に代わる安全なデータ共有基盤を提供します。
また機器の廃棄時にはセキュア領域に保管された Seed を消去するのみで処理が完了し、データのサイズにかかわらず一瞬で完全な復元不能状態へと移行するため物理破壊作業や専用ソフトウェアによる消去作業といった運用コストを大幅に削減します。