# マルチラテラルセキュリティ ## 定義 マルチラテラルセキュリティ(多層防護セキュリティ、multilateral security)とは、階層の上下(High/Low)ではなく、**同格の集団どうしの水平方向の情報流**を制限するセキュリティモデルである。第9章の多層セキュリティ(MLS)が「情報が階層を下に漏れないようにする」垂直方向の問題を扱うのに対し、本概念は「情報が同格の小集団の間を横に漏れないようにする」問題を扱う。諜報機関の**コンパートメント化**(compartmentation)がその古典例で、分類(classification)とコードワードの組が**コンパートメント**(compartment)を定義し、N個のコードワードがあれば最大2^N個のコンパートメントを構成できる。分類とコードワードの集合は**ラティス**(lattice、格子)という数学的構造をなし、任意の2要素が優越関係(dominance)を持つか比較不能(incomparable)であるという性質を持つ。ラティスモデルはBell-LaPadulaモデル(BLP)と本質的に等価であり、両者は並行して発展した。(Source: [[@2020__Wiley__Security Engineering 3e - Chapter 10 Boundaries]] §10.1, §10.2) しかし実運用では、マンデトリアクセス制御(MAC)製品はコンパートメント化に十分機能しなかった。異なるラベルを与えて分離(isolation)することは容易だが、実際の諜報活動が必要とするのは複数コンパートメントにまたがるデータの**統合**と、サニタイズ後の**再格下げ(downgrading)**であり、ラティスセキュリティモデルはこれらにほとんど無力である。9/11後、米国情報コミュニティは数百万のコンパートメントが対テロ戦争の妨げになったと総括し、NSA長官Keith Alexanderの主導で「すべてを収集する(collect it all)」方針へ転換、データ収集の最小化ではなく最大化・完全検索可能化へ舵を切った。XKeyscoreのような検索システムは複数のコードワードにまたがる結果を返しうるため、それを読むには全コードワードの権限が必要になり、局所的なラベルがかえって障害物になる状況を生んだ。この文脈で、コンパートメント化の失敗が生んだのがAldrich Ames(長年の勤続で蓄積したアクセス権を悪用した裏切り者)ではなくEdward Snowden(システム管理者としてディスクレショナリアクセス制御を回避した内部告発者)だったのは「幸運だったのかもしれない」と著者は評する。CIAのVault 7流出(2017年)も、最重要のサイバー兵器が非コンパートメント化・パスワード共有・活動監視の欠如という同型の失敗によることが後の内部報告で明らかになった。(Source: [[@2020__Wiley__Security Engineering 3e - Chapter 10 Boundaries]] §10.2) **Chinese Wallモデル**(David Brewer と Michael Nash が定式化)は、マルチラテラルセキュリティのもう一つの実装例である。投資銀行・会計事務所・広告代理店のような、競合するクライアントを同時に抱えうるサービス業で、利益相反を防ぐために使われる。自由選択(どの案件を担当するか)と強制アクセス制御(いったん担当したら同業他社の案件から排除される)を混合し、**分離義務(separation of duty)**の概念を導入してアクセス制御を状態依存にする点が特徴である。形式的にはBLPに類似した2性質——単純セキュリティ性質(あるオブジェクトcにアクセスできるのは、既読の全c′についてcの企業とc′の企業が同一か利益相反クラスが重ならない場合に限る)と*-プロパティ(利益相反のあるオブジェクトへの書き込みは、企業の異なる他のオブジェクトを読んでいない場合に限る)——で表現できる。実務では手作業(サニタイズ済みCVの相互確認、クールオフ期間)に頼らざるを得ず、コンサルタントの利用可能人数の急減から競合の動きを推測するというサイドチャネルの懸念も指摘される。(Source: [[@2020__Wiley__Security Engineering 3e - Chapter 10 Boundaries]] §10.4.8) 野生生物犯罪対策のWildbookは、中央集権的な官僚機構を持たない**連合型のマルチラテラルセキュリティ**の例である。国境をまたぐ相互不信の政府の下で活動するレンジャー・NGO・法執行機関という緩やかな連合体が、4段階のアクセスレベル(コアチーム/管理者/保護区スタッフ/市民科学者)と、種・拠点ごとの局所的な公開監査可能性(2次元透明性)による同僚間の社会的圧力で内部脅威に対抗する。動物のプライバシーは人間のそれと逆に、高度に抽象化されたデータ(移動モデル)ほど密猟者にとって価値が高いという点が特徴的である。(Source: [[@2020__Wiley__Security Engineering 3e - Chapter 10 Boundaries]] §10.3) ## 横断的知見 - 本概念は現時点で単一ソース([[@2020__Wiley__Security Engineering 3e - Chapter 10 Boundaries]])のみに基づく。第9章(多層セキュリティ・Bell-LaPadulaモデル)が ingest され次第、「垂直方向の情報流制御(MLS)と水平方向の情報流制御(マルチラテラルセキュリティ)は同じラティス数学を共有しつつ、運用上のニーズ(統合・再格下げ)がまったく異なる」という本概念の中核主張を、両ソースの突き合わせで検証する必要がある。 ## 未解決の問い - ラティスモデル/BLPが「分離には有効だが統合・再格下げには無力」だとすれば、実際の諜報機関はコンパートメントをまたぐ分析(第10章が示唆する9/11後の「collect it all」への転換)をどのような技術的・組織的手段で行っているのか。本章はXKeyscoreの存在を示すのみで、その内部のアクセス制御設計には立ち入らない。 - Chinese Wallモデルの*-プロパティとBLPの*-プロパティの間の「tranquility(平静性)」を巡る議論(Foleyら)は、本章では脚注で言及されるのみ。両モデルの形式的な差異(BLPは静的なラベル、Chinese Wallは履歴依存の動的な状態)を厳密に整理するには、原論文(Brewer & Nash 1989)を直接 ingest する必要がある。 - Wildbookのような「中央権威を持たない連合型マルチラテラルセキュリティ」は、国家の諜報機関のようなトップダウン型のコンパートメント化と比べて、どのような構造的な強み・弱みを持つか。本章は両者を並べて描写するが、体系的な比較は行っていない。 - 政府の閣僚利益相反規則(離任後6か月)が「短すぎる」という著者の指摘に対し、より長い冷却期間(著者は5年を示唆)を法制化する上での実務的障壁は何か。本章は立法の困難さを指摘するにとどまる。 ## 関連 - ソース: [[@2020__Wiley__Security Engineering 3e - Chapter 10 Boundaries]](§10.1-§10.4.8) - 概念: [[認可モデル]](裁量アクセス制御・非裁量アクセス制御との関係) / [[権力集中リスク]](「collect it all」がもたらす国家権力の集中) / [[敵対者の類型論]](内部脅威としてのAldrich Ames・Snowden) - 実体: [[Edward Snowden]] ## 出典 - Ross Anderson, *Security Engineering: A Guide to Building Dependable Distributed Systems*, 3rd Edition, John Wiley & Sons, 2020, Chapter 10, §10.1, §10.2, §10.3, §10.4.8.