# 信頼関係 ## 定義 Mark Burgess は『Principles of Network and System Administration』第2版第11章で、セキュリティのあらゆる問題は最終的に「何を、誰を信頼するか」という信頼(trust)の問題に帰着すると論じる(Principle 58)。セキュリティ技術とは新たに信頼を生み出す装置ではなく、**信頼をリスクの高い場所からより安全な場所へ移し替える**営みに過ぎない——鍵を導入すれば隣人を信頼しなくてよくなる代わりに、鍵とその製造者を信頼することになる、という具合である。信頼は科学的な証明が不可能な対象と同様に絶対的な確信を持てるものではなく、証拠によって補強はできても、**破られたときに初めてそれと分かる**という非対称性を持つ(Source: [[@2004__Wiley__Principles of Network and System Administration - Chapter 11 Principles of security]] §11.1)。 システムには数多くの**暗黙の信頼関係**が存在する。NFS/DFS サーバはホームディレクトリをマウントするホストのユーザーの身元と誠実さを信頼し、匿名 FTP でのソフトウェア取得は配布元ホストの完全性とユーザー ID 体系の一致を暗黙に前提とする。暗号化は通信の機密性を高めるが、これらの信頼関係そのものを変えるわけではない——暗号化されたチャネルでも、受け取ったデータの正確さや送り主の誠実さは保証されない(Source: 同上 §11.3)。 さらに Burgess は身元の確立(identification)そのものが原理的に「不可能」であり、必ず信頼に基づく最初の紹介(introduction)を要すると論じる(Principle 62)。認証(authentication)とは、その最初の紹介で確立された身元の**再確認**(re-identification)に過ぎない。DNA 鑑定や暗号鍵交換のような精緻な照合手段も、最初の紹介自体が偽装されていれば無力である(Source: 同上 §11.7.4)。 ## 横断的知見 - **第12章§12.4は、第11章が原理レベルで述べた「認証=最初の紹介の再確認」(Principle 62)と「信頼の移転」というモデルを、対称鍵・公開鍵・TTPという3つの具体的な実装として肉付けする**: 第11章は、身元の確立(identification)には必ず信頼に基づく最初の紹介が要り、認証はその再確認(re-identification)に過ぎないと原理的に述べるにとどまり、その紹介をどう技術的に実装するかには立ち入らなかった。第12章§12.4.1-12.4.2は、この「最初の紹介」を具体的な3方式に分解する——(1) 対称鍵方式は、N者間でN(N−1)/2個の鍵をそれぞれ直接合意することで、当事者どうしが「最初の紹介」を毎回ペアで行う、(2) 公開鍵の真正性は persona grata(対面での鍵の授受)・peer review(相互署名によるweb of trust)・trusted third party(TTP)のいずれかで確立される。TTPを用いる場合、Principle 63「TTPは信頼照合のコストをN²からNのオーダーに減らすが、それ自体が単一障害点になる」は、第11章の「信頼をより安全な場所へ移し替えるだけで、信頼そのものは消えない」という主張を、具体的な失敗モード(TTPへのサービス妨害攻撃で認証系全体が止まる)として裏づける。第11章の抽象的な「信頼の移転」が、第12章では「移転先の信頼(TTP)がどう単一障害点化するか」という定量的な帰結にまで具体化されている。(Source: [[@2004__Wiley__Principles of Network and System Administration - Chapter 11 Principles of security]] §11.7.4 Principle 62, [[@2004__Wiley__Principles of Network and System Administration - Chapter 12 Security implementation]] §12.4.1-12.4.2 Principle 63) - **Anderson の『Security Engineering』第1章は、Burgess が「証明不可能で、破られたときに初めて分かる」と述べる信頼の非対称性を、trusted(信頼された)と trustworthy(信頼性のある)という2つの独立な語に分解して形式化する**: Burgess(第11章§11.1)は、信頼が科学的証明の対象になりえず、破られたときにしか誤りだと分からないという性質を一般論として述べるにとどまる。Anderson の第1章§1.7 はこれを、NSAの定義に従い「trusted なシステム・部品とは、それが故障するとセキュリティポリシーを破りうるもの」「trustworthy なシステム・部品とは、実際には故障しないもの」という2つの独立した属性に分解し、NSA職員が(許可されずに)鍵材料を売るという「信頼されているが信頼性はない」の具体例を与える。Burgess の「信頼は破られたときに初めて分かる」という主張は、Anderson の語彙で言い換えると「trusted であることは観測できるが trustworthy であることは(破綻するまで)観測できない」という非対称性そのものであり、両ソースを合わせると、信頼の検証不可能性という一般論(Burgess)に、trusted/trustworthy という運用可能な2軸の分解(Anderson)を与えることができる。(Source: [[@2004__Wiley__Principles of Network and System Administration - Chapter 11 Principles of security]] §11.1, [[@2020__Wiley__Security Engineering 3e - Chapter 1 What Is Security Engineering?]] ch.1 §1.7) ## 未解決の問い - 「信頼をより安全な場所へ移し替える」というモデルは、鍵・暗号・証明書といった技術的信頼の連鎖をどこまで遡っても、最終的に人間同士の信頼(組織・認証局・開発者への信頼)に行き着く。この連鎖の終端をどう設計・監査すべきかは本章では扱われない。 - Anderson の trusted/trustworthy の区別を Burgess の「信頼の移転」モデルに当てはめると、鍵の導入は「隣人という trusted だが trustworthy か分からない対象」を「鍵の製造者という別の trusted 対象」に置き換えているに過ぎないと言えそうだが、この対応を両ソースの記述だけで厳密に検証できるかは未確認。 - Principle 62「識別には信頼が要る」は、ゼロトラストアーキテクチャのような「暗黙の信頼を置かない」設計思想とどう整合するか。ゼロトラストも初回の身元登録(プロビジョニング)の時点では同じ「最初の紹介」問題を避けられないのではないか。 - [[ポリシー]] が定義する「セキュリティ=ポリシーが受容したリスク」という枠組みと、本概念の「信頼の移転」という枠組みは、同じ現象(セキュリティの相対性)を異なる語彙で述べている可能性がある。両者の関係を後続ソースで検証する。 - 第12章§12.4.5(sign-then-encrypt / encrypt-then-sign攻撃)は、信頼を正しく移転したはずの暗号プロトコルでも操作の適用順序を誤れば信頼の再割り当てが破られることを示した。この「順序依存の脆弱性」は、同章§12.10が論じるアクセス制御規則の順序依存(Principle 65)と同型に見えるが、両者を統一する原理は本章には無い。後続ソースで検証できるか。 ## 関連 - ソース: [[@2004__Wiley__Principles of Network and System Administration - Chapter 11 Principles of security]] / [[@2004__Wiley__Principles of Network and System Administration - Chapter 12 Security implementation]] / [[@2020__Wiley__Security Engineering 3e - Chapter 1 What Is Security Engineering?]](§1.7) - 概念: [[ポリシー]] / [[潜在的障害]] - 実体: [[Mark Burgess]] ## 出典 - Mark Burgess, *Principles of Network and System Administration*, Second Edition, John Wiley & Sons, 2004, Chapter 11, §11.1, §11.3, §11.7.4; Chapter 12, §12.4.1–12.4.2, §12.4.5. - Ross Anderson, *Security Engineering: A Guide to Building Dependable Distributed Systems*, 3rd Edition, John Wiley & Sons, 2020, Chapter 1, §1.7.