# セキュリティ評価制度 ## 定義 セキュリティ評価制度とは、製品や組織がセキュリティ上の性質を満たしているかを第三者ないし当事者が検証し、証明書やお墨付きを与える仕組みの総称である。*Security Engineering* 第3版第28章は、これを第8章で論じたレモン市場(顧客が品質を測れないため悪貨が良貨を駆逐する)問題への対応として位置づける。1894年設立の保険業界共同試験機関Underwriters' Laboratories(錠・アラーム)、1906年設立のFDA(医薬品・医療機器)、1958年設立のFAA(航空)、1970年設立のNHTSA(自動車)など、安全性規制は業界ごとに主要な事故・スキャンダルへの対応として個別に発達してきた。計算機セキュリティの評価制度としては、米国防総省が1985〜2000年に運用した[[Orange Book (TCSEC)]]、NISTのFIPS 140(暗号モジュールの耐タンパ性評価)、そして[[Common Criteria]](1994〜95年に各国の国別基準を統合した国際標準)が中心である。(Source: [[@2020__Wiley__Security Engineering 3e - Chapter 28 Assurance and Sustainability]] ch.28 §28.2, §28.2.1〜§28.2.7) 評価制度を分析する上で重要な軸は、評価を依頼するのが関係当事者(relying party、保険会社やOrange Book時代の政府)か製品ベンダー自身か、そして基準が静的か動的かの2点である。ベンダー自身が評価者を選ぶ方式(ITSEC由来でCommon Criteriaが継承)は、評価者どうしが「どこが一番審査を通しやすいか」を競わせるフォーラムショッピングを構造的に招く。Josh LernerとJean Tirole(2006、Tiroleは2014年にノーベル経済学賞受賞)のフォーラムショッピングの三段階ゲームモデル(スポンサーが認証者を選び、認証者が審査・改善要求を行い、最終利用者が購買判断をする)は、ほとんどの場合に所有者が単一の認証者からの承認だけを求め改善の試みには抵抗する「Principle of Maximum Complacency(最大満足の原則)」が成立することを示す。競争が品質を改善するのは、NGOによる持続可能性認証(認証者が利用者の利益をスポンサーより重視する)や名門大学どうしの競争(学生に市場支配力がなく雇用者側がプレミアムを払う)のような例外的状況に限られる。(Source: [[@2020__Wiley__Security Engineering 3e - Chapter 28 Assurance and Sustainability]] ch.28 §28.2.1, §28.2.7, §28.2.8) ## 横断的知見 - **本章のPrinciple of Maximum Complacency(フォーラムショッピングモデル)は、[[セキュリティ経済学]]・[[情報経済学]]が扱う「レモン市場」「アドバース・セレクション」の枠組みを、認証制度という第三者機関を挟んだより複雑なゲームへ拡張する**: [[情報経済学]]はAkerlofのレモン市場論(売り手と買い手の情報非対称性)を、[[セキュリティ経済学]]はセキュリティ経済学分野の成立史とその予測力(DRM市場集中の予測)を扱ってきたが、いずれも売り手・買い手の二者間の非対称情報を主に扱う。本章のLerner-Tiroleモデルは、スポンサー(製品を売る側)・認証者(第三者)・利用者という三者間のゲームとして評価制度を定式化し、認証者どうしの競争が製品改善につながるかどうかは「認証者の利害が利用者に近いか、スポンサーに近いか」という構造的な条件に依存することを示す。これは二者間の情報非対称性という枠組みを、認証制度という現実の三者構造に一般化したものであり、[[情報経済学]]・[[セキュリティ経済学]]の理論的枠組みが具体的にどこまで拡張できるかを示す事例である。(Source: [[@2020__Wiley__Security Engineering 3e - Chapter 28 Assurance and Sustainability]] ch.28 §28.2.8, [[セキュリティ経済学]], [[情報経済学]]) - **本章のTrust-e事例(Ben Edelmanの研究)は、[[情報経済学]]が指摘する「評価のレモン市場化」が、暗号ハードウェア・RASPの評価だけでなく、消費者向けウェブサイト認証という全く別の領域にも及ぶことを示す第三の実例である**: [[情報経済学]]は第8章のAkerlofレモン市場論と第24章のRASP評価(「lemons market is therefore to be expected」)を横断的知見として突き合わせているが、本章はウェブサイト認証スキームTrust-eについて、認証済みサイトのほうが未認証サイトよりもマルウェアを仕込もうとする可能性が高いというBen Edelmanの研究結果を報告する。認証が任意かつ安価だったため、弱いベンダーほど認証を取得し優良ブランドは取得しなかったという逆選択であり、[[耐タンパ性]]が指摘するFIPS/Common Criteria評価の非対称情報問題、[[情報経済学]]が指摘するRASP評価の非対称情報問題と合わせて、「評価制度そのものが逆選択を引き起こす」という現象が暗号ハードウェア・ソフトウェア難読化・消費者向けウェブサービスという3つの独立した領域で繰り返し観察されることが確認できる。(Source: [[@2020__Wiley__Security Engineering 3e - Chapter 28 Assurance and Sustainability]] ch.28 §28.2.8, [[情報経済学]]) - **公的に信頼される認証局(CA)の監査(WebTrust・ETSI・CA/Browser Forum Baseline Requirements)は、Common Criteria・FIPS 140 とは別系統でありながら同型の「被評価者が評価者を選ぶ」構造を持つセキュリティ評価制度の一事例である**: [[@2020__Wiley__Security Engineering 3e - Chapter 28 Assurance and Sustainability]] が論じる評価制度の分類軸(評価を依頼するのが relying party か被評価者自身か)に照らすと、[[@2020__OReilly__Building Secure and Reliable Systems - Chapter 11 Case Study - Designing, Implementing, and Maintaining a Publicly Trusted CA]] が述べる CA 監査は、CA 自身が WebTrust・ETSI の監査法人を選定し、典型的な CA が年間最低四半期をその監査に費やすという構図であり、ITSEC/Common Criteria が継承した「ベンダー自身が評価者を選ぶ」方式と同型に見える。ただし ch.11 はこの監査体制がフォーラムショッピングや Principle of Maximum Complacency を招くかどうかには触れておらず、Common Criteria について既知の力学が CA 監査エコシステムにも当てはまるかは検証されないまま残る。CA/Browser Forum という業界団体が基準を策定し複数の独立監査法人がそれに基づいて審査する構造は、単一の政府機関が審査した Orange Book 方式とも異なる、第三の類型として整理できる可能性がある。(Source: [[@2020__Wiley__Security Engineering 3e - Chapter 28 Assurance and Sustainability]] ch.28 §28.2.1, §28.2.8, [[@2020__OReilly__Building Secure and Reliable Systems - Chapter 11 Case Study - Designing, Implementing, and Maintaining a Publicly Trusted CA]] §Background on Publicly Trusted Certificate Authorities) ## 未解決の問い - CA/Browser Forum Baseline Requirements のもとでの CA 監査は、CA が監査法人を自ら選定する点で ITSEC/Common Criteria のフォーラムショッピング構造と表面上似ているが、ch.11 はこの監査体制の実効性やカルテル化のリスクには触れていない。CA 監査の失敗事例(DigiNotar 事件当時、同社は監査を通過していた)を踏まえると、フォーラムショッピングと同型の力学が働いていた可能性はあるが、本概念の範囲では未検証。 - Principle of Maximum Complacencyが成立しない例外(NGOの持続可能性認証、名門大学間競争)に共通する構造条件(認証者の利害が利用者に近いこと、被認証者側に市場支配力がないこと)は、本章が挙げる2例以外にどこまで一般化できるか。本章は具体例を2つ挙げるにとどまり、条件の必要十分性までは論じていない。 - collaborative protection profile(cPP)による改革(2015年〜)が、欧州域内のSOG-ISカルテルの実効性をどこまで維持し、欧州域外(米国のファイアウォール認証、日本の複合機認証)の形骸化をどこまで是正できたかは、本章執筆時点(2020年)ではまだ判断できないと本章自身が示唆する。 - ENISAが2019年サイバーセキュリティ法のもとで運用するEU Cybersecurity Certification Framework(basic/substantial/highの3水準)が、Common Criteriaが抱えてきたフォーラムショッピング・カルテル化の問題をどこまで克服できるかは、本章執筆時点では制度設計の詳細が固まっておらず未確認。 ## 関連 - ソース: [[@2020__Wiley__Security Engineering 3e - Chapter 28 Assurance and Sustainability]](§28.2〜§28.2.9) / [[@2020__OReilly__Building Secure and Reliable Systems - Chapter 11 Case Study - Designing, Implementing, and Maintaining a Publicly Trusted CA]](CA 監査要件 WebTrust・ETSI・CA/Browser Forum Baseline Requirements) - 概念: [[セキュリティ経済学]] / [[情報経済学]](レモン市場・アドバース・セレクションの理論的基盤) / [[セキュリティにおけるインセンティブ不整合]](認証者が責任の盾になる構造) / [[耐タンパ性]](FIPS 140・Common Criteriaによる耐タンパ性評価の実例) / [[セキュリティの持続可能性]](静的評価から継続的保証への移行という同じ問題意識) / [[認証局とPKIの信頼モデル]](CA 監査という評価制度の適用対象) - 実体: [[Common Criteria]] / [[Orange Book (TCSEC)]] / [[Ross Anderson]] ## 出典 - Ross Anderson, *Security Engineering: A Guide to Building Dependable Distributed Systems*, 3rd Edition, John Wiley & Sons, 2020, Chapter 28, §28.2-§28.2.9. - Andy Warner, James Kasten, Rob Smits, Piotr Kucharski, and Sergey Simakov, in Heather Adkins et al. (eds.), *Building Secure and Reliable Systems*, O'Reilly Media, 2020, Chapter 11.