# 封印と偽造防止印刷 ## 定義 封印(seal)は、Los Alamos 脆弱性評価チームの定義によれば「無許可の侵入・改竄について、消去不能で曖昧さのない証拠を残すよう設計された装置」である。典型的な封印は偽造防止印刷(security printing)を施した基材(substrate)を対象物に固定したものであり、印刷そのものが偽造されれば糊や紐による固定は無意味になる。設計目標は改竄を物理的に防ぐこと(tamper-proof)ではなく、改竄を検知可能にすること(tamper-evident)に置くのが現実的だとされる。偽造防止印刷の検査は一次(untrained な一般人)・二次(訓練された現場担当者、携帯機材を使用)・三次(発行者の研究所、本格的な設備を使用)の3段階に分けられ、一次検査の突破は容易、三次検査の突破はほぼ不可能で、実務上の攻防は二次検査に集約される。封印製品の評価は、製造・適用・使用・検査・破壊・廃棄までの全ライフサイクルにわたって、封印を適用する人・検査する人それぞれの動機・機会・技能・監査・説明責任を問うことが本質であり、ハードウェアではなく人間を欺くことの問題として捉えるべきである。(Source: ch.16 §16.1, §16.3.1, §16.4, §16.6) ## 横断的知見 - **「tamper-proof でなく tamper-evident」という設計哲学が、物理封印とデジタルログの双方で独立に到達される**: 本 concept が定義する封印の設計目標(改竄を物理的に防ぐことではなく検知可能にすること)は、[[セキュリティログの設計と保護]]が集約する*Building Secure and Reliable Systems*第15章のログ不変性設計と同型である——同章は「ログは書き込み後に改竄しにくくすべきだが完全に不可能である必要はなく、変更自体に監査可能な証跡を残せばよい」と述べ、近代以前の重要サーバがラインプリンタに直接ログを出力していた例(遠隔攻撃者が痕跡を消すには誰かが物理的に用紙を持ち去って燃やす必要がある)を、その原初的な実装として提示する。物理的封印(本ページ)とデジタルログ(第15章)という全く異なる媒体・時代で、「検知可能性を目標にする」という同じ設計哲学が独立に定着していることがわかる。両者を並べると、封印が積み上げてきた「一次/二次/三次検査」という検査の階層化の発想を、ログの改竄検知(誰がどのレベルで検知できるべきか)にも応用できる可能性が見えてくる。(Source: [[@2020__Wiley__Security Engineering 3e - Chapter 16 Security Printing and Seals]] §16.1, [[@2020__OReilly__Building Secure and Reliable Systems - Chapter 15 Investigating Systems]] §Collect Appropriate and Useful Logs > Design Your Logging to Be Immutable) - ch.14(Monitoring and Metering — 計量器・タコグラフの封印)、ch.18(Tamper Resistance — デバイスの耐タンパー機構への議論の継承)が取り込まれ次第、本節をさらに積み増す。 ## 未解決の問い - 封印検査の一次/二次/三次という3層構造は、IT分野における多層防御(perimeter/host/application)や、[[誤報率と検知率のトレードオフ]] が扱う閾値検知のトレードオフとどのように対応づけられるか。 - Sonia Trujillo の実験(2006、専門家 71 名が改竄の有無をランダム同然にしか見分けられなかった)に相当する、デジタルコンテンツの真正性検査(ディープフェイク検知など)における人間の検知能力の実証研究は存在するか。 - ch.18(Tamper Resistance)で扱われるデバイスレベルの耐タンパー機構は、本 concept が整理した「体制的脆弱性」(顧客/敵対者自身が封印を適用する、検査コストが機材の携帯性で制約される等)とどう接続されるか。 ## 関連 - [[誤報率と検知率のトレードオフ]] — 検査・検知の閾値構造という観点で隣接する concept。本 concept の一次/二次/三次検査という枠組みは、同 concept が扱う信号検出理論のROC(誤報率と検知率のトレードオフ)と対応する可能性がある。 - [[セキュリティログの設計と保護]] — tamper-evident 設計哲学のデジタル版としての対応物。 - [[@2020__Wiley__Security Engineering 3e - Chapter 16 Security Printing and Seals]] — 本 concept の初出ソース。 - [[@2020__OReilly__Building Secure and Reliable Systems - Chapter 15 Investigating Systems]] — tamper-evident なログ設計という対応するソース。 - [[Security Engineering - A Guide to Building Dependable Distributed Systems]] — 書籍 entity。 ## 出典 - Ross Anderson, *Security Engineering: A Guide to Building Dependable Distributed Systems*, 3rd Edition, John Wiley & Sons, 2020, Chapter 16, §16.1, §16.3.1, §16.4, §16.6. - Pete Nuttall, Matt Linton, David Seidman, "Investigating Systems", Heather Adkins et al. (eds.), *Building Secure and Reliable Systems*, O'Reilly Media, 2020, Chapter 15, §Collect Appropriate and Useful Logs > Design Your Logging to Be Immutable。