# 計量システムの脅威モデル ## 定義 計量システム(電力・ガスの事前払いメーター、タコグラフ、郵便メーターなど)の脅威モデルは、錠・警報のような物理侵入検知システムとは根本的に異なる構造を持つ。錠・警報の脅威モデルは「外部の侵入者から通信経路や検知の信頼性を守る」ことが中心だが、計量システムでは計量対象の当事者自身(電力の利用者、タコグラフを積んだトラック運転手)が、機器を物理的に支配しながら改ざんの動機を持つ。*Security Engineering* 第14章は、事前払い電力メーター・タコグラフ・郵便メーターという3つの独立した事例で共通する設計パターンを示す:(1) 価値を表す耐タンパ性プロセッサとカウンタ(タコグラフでは走行記録、郵便メーターではAscending/Descending Registerの残高)、(2) メーター固有鍵による命令の暗号化・認証、(3) 統計的照合・監査・現場検査という技術に頼らないバックストップ。実際の被害の多くは、洗練された暗号攻撃ではなく、内部関係者の腐敗や手続き上の不正(procedural fraud)から生じる。郵便メーターの脅威分析は、表向き「切手偽造対策」に見えるシステムが実際には「郵便職員の買収によるダイレクトメール不正投函」という内部不正対策として機能していたことを明らかにした(Source: [[@2020__Wiley__Security Engineering 3e - Chapter 14 Monitoring and Metering]] ch.14 §14.1, §14.5)。 ## 横断的知見 - 現時点では本章(Security Engineering 3e 第14章)が唯一のソースであり、横断的な突き合わせはまだ行えていない。本書はこの後、第20章(Advanced Cryptographic Engineering)や第24章(Copyright and DRM、プリンタカートリッジの計量に本章の要約が言及している)でも同種の耐タンパ性デバイス・計量パターンを扱う可能性が高く、それらの章がingestされ次第、この脅威モデルが書籍全体でどう反復・拡張されるかを確認して追記する。 ## 未解決の問い - 事前払い電力メーター(STS)・タコグラフ・郵便メーターの3事例で、技術的攻撃と手続き上の不正の相対的な比率(タコグラフでは70% vs 30%未満という定量データがある)は、他の計量システム(printer cartridge、ticketing等)でも同様の比率になるか。第14章はタコグラフ以外については定量データを示していない。 - 「表向きの脅威(外部不正)と実際に支配的な脅威(内部不正)が異なる」という郵便メーターの教訓は、本書の他の脅威モデル一般(例えば第6章のアクセス制御、第9章の多層セキュリティ)にも同型で当てはまるか。 - 統計的バランシング(feeder meterの読み値とトークン販売量の突き合わせ)は「調査のリード源」程度の弱いシグナルにしかならないと本章は述べるが、この弱さを補う具体的な統計手法(異常検知アルゴリズム等)は本書のどこかで扱われるか。 ## 関連 - source: [[@2020__Wiley__Security Engineering 3e - Chapter 14 Monitoring and Metering]] — 本conceptの初出ソース - 概念: [[鍵配送プロトコル]](メーター固有鍵の派生方式で接続) - 実体: [[STS (Standard Transfer Specification)]](事前払い電力メーターの具体的規格) ## 出典 - Ross Anderson, *Security Engineering: A Guide to Building Dependable Distributed Systems*, 3rd Edition, John Wiley & Sons, 2020, Chapter 14 (§14.1, §14.2, §14.5).