# Security Engineering: A Guide to Building Dependable Distributed Systems (3rd Edition) ## 概要 Ross Anderson による、セキュリティ工学の分野横断的な標準教科書。第 3 版(2020)は全 29 章・約 1090 ページからなり、暗号・アクセス制御・プロトコルといった技術的機構だけでなく、心理学、経済学、物理的防護、法制度・規制までを同一の枠組みで扱う。著者は本書の問いを一貫して「何を防ごうとしているのか、そして提案された機構は実際に機能するのか」の 2 点に置く(Source: 本書 第 3 版序文)。 初版(2001)の序文で Bruce Schneier は本書を「初めての、そして唯一の、エンドツーエンドの現代的セキュリティ設計・工学書」と評した。Schneier はまた、Anderson が Roger Needham との共著論文で用いた「Satan のコンピュータをプログラムする(programming Satan's computer)」という表現を引き、ランダムな障害に耐える信頼性工学と、知性ある悪意の敵対者に耐えるセキュリティ工学の質的な違いを強調している(Source: 本書 序文、Bruce Schneier、2001 年 1 月)。 ## 書誌情報 - 著者: Ross Anderson(Cambridge、2020 年 10 月付で第 3 版序文に署名) - 出版社: John Wiley & Sons, Inc.(Indianapolis, Indiana) - 発行: 2020 年(Copyright © 2020 by Ross Anderson) - ISBN: 978-1-119-64278-7(印刷版)/ 978-1-119-64283-1・978-1-119-64281-7(電子版) - 構成: 全 29 章、3 部構成(Part I: 第 1〜8 章 / Part II: 第 9〜25 章 / Part III: 第 26〜29 章) - 序文: 第 3 版・第 2 版・初版の 3 つの序文と、Bruce Schneier による初版序文(Foreword)を収める - 原本 URL: https://www.cl.cam.ac.uk/archive/rja14/book.html(著者が章別 PDF を無償公開) ## 版ごとの変遷 第 3 版序文で著者自身が、第 2 版(2008)からの変化を次のように整理している(Source: 本書 第 3 版序文)。 - スマートフォンが PC・ラップトップを置き換え、アプリが以前の専用機器(タクシーメータ、クレジットカード、電力メータ)を吸収した。 - データがローカルサーバからクラウド事業者へ移り、侵害の規模が桁違いになった。 - 2013 年の Snowden による NSA 文書漏洩(5 万件超の Top Secret 文書)と、Stuxnet・NotPetya によって、国家主体の脅威の実像が把握できるようになった。 - サイバー犯罪のエコシステムが成立し、マルウェア作者が道具を供給する分業が生まれた。 - 多層セキュリティ(multilevel security)産業は、40 年・数十億ドルの米政府資金を受けながら事実上消滅した。Pentagon の「情報を Top Secret から下位へ流さない」アーキテクチャ強制の思想は実行不能として放棄された。重心はアーキテクチャからエコシステムへ移り、「信頼されたシステム」ではなく「協調的な脆弱性開示・DevSecOps・レジリエンス」が主題になった。 - 政治環境が変わり、GDPR のような一般規則と、安全規制済み製品(自動車・鉄道信号・玩具)がソフトウェアと接続性を獲得したことによる規則の双方が働き始めた。 著者が「今後の game-changer」として挙げるのは、安全工学とセキュリティ工学の収斂である。セキュリティ技術者はバグを速く直そうとし、安全技術者は変わらない標準に対して厳密に検証しようとするため、両者は緊張関係にある。耐久財のパッチ供給(2023 年に発売される自動車のナビゲーションソフトを 2033・2043・2053 年にどう保守するか)を著者は wicked problem と呼ぶ。 ## 構成と主要テーマ ### Part I: 基礎(第 1〜8 章) 分野を成立させる基本装備。脅威モデル、人間の心理、プロトコル、暗号、アクセス制御、分散システム、経済学。Anderson はここで「ポリシー・機構・保証・インセンティブ」の 4 象限を提示し、以降の全章がこの枠組みを参照する。 → [[@2020__Wiley__Security Engineering 3e - Chapter 1 What Is Security Engineering?]] — 悪意・過誤・偶発に耐える分野を、ポリシー・機構・保証・インセンティブの 4 象限と 4 事例で導入する → [[@2020__Wiley__Security Engineering 3e - Chapter 2 Who Is the Opponent?]] — 敵対者を国家・犯罪者・研究者・個人間悪意の 4 類型で整理し、Five Eyes の大量監視からサイバー犯罪の産業化までを描く → [[@2020__Wiley__Security Engineering 3e - Chapter 3 Psychology and Usability]] — 認知心理学・行動経済学の知見で、フィッシング・ソーシャルエンジニアリング・パスワード・CAPTCHA のユーザビリティ問題を解く → [[@2020__Wiley__Security Engineering 3e - Chapter 4 Protocols]] — プロトコルは暗号とアクセス制御をつなぐ要であり、中間者・反射・選択プロトコル攻撃と前提の変化が正しさを崩す → [[@2020__Wiley__Security Engineering 3e - Chapter 5 Cryptography]] — 暗号の直観・数学・工学を、ランダムオラクルモデルを軸に統一的に解説する暗号の基礎ハブ章 → [[@2020__Wiley__Security Engineering 3e - Chapter 6 Access Control]] — OS・ミドルウェア・ハードウェアの各層のアクセス制御機構(行列・ACL・ケーパビリティ・リング・エンクレーブ)と典型的な破れ方 → [[@2020__Wiley__Security Engineering 3e - Chapter 7 Distributed Systems]] — 並行性・耐障害性・命名という分散システムの古典問題が、敵対的環境で何に変質するか → [[@2020__Wiley__Security Engineering 3e - Chapter 8 Economics]] — 誤ったインセンティブが招く失敗を、情報経済学・ゲーム理論・オークション理論で解明する「セキュリティ経済学」の誕生 ### Part II: 応用領域(第 9〜25 章) 個別の応用ドメインごとに、実際に何が壊れたかを追う事例研究群。本書の分量の過半を占め、軍事・金融・物理防護・通信・著作権という互いに無関係に見える領域が、同型の失敗を繰り返してきたことを示す。 → [[@2020__Wiley__Security Engineering 3e - Chapter 9 Multilevel Security]] — MLS は BLP・Biba 等で理論化されたが、合成不能性・カスケード・隠れチャネルにより実務として衰退した → [[@2020__Wiley__Security Engineering 3e - Chapter 10 Boundaries]] — 諜報・野生生物保護・医療・金融の 4 領域を通じ、同格集団間の水平的な情報流制限の失敗事例を扱う → [[@2020__Wiley__Security Engineering 3e - Chapter 11 Inference Control]] — 統計的開示制御・k-匿名性・差分プライバシーの技法と、匿名化が繰り返し破られてきた 4 つの波 → [[@2020__Wiley__Security Engineering 3e - Chapter 12 Banking and Bookkeeping]] — 簿記の職務分離から SWIFT・ATM・EMV・オンラインバンキングまで、暗号ではなく業務プロセスの隙を突く不正の連鎖 → [[@2020__Wiley__Security Engineering 3e - Chapter 13 Locks and Alarms]] — 物理防護(錠・警報)が情報セキュリティと同じ脅威モデル失敗・可用性軽視・境界防御過信を繰り返すことを示す → [[@2020__Wiley__Security Engineering 3e - Chapter 14 Monitoring and Metering]] — 事前払い電力メータ・タコグラフ・外出禁止タグ・郵便メータの 4 事例で、機器が敵対者の手中にある計量固有の脅威を描く → [[@2020__Wiley__Security Engineering 3e - Chapter 15 Nuclear Command and Control]] — キューバ危機を機に核指揮統制が発展させた認証符号・秘密分散・耐タンパ技術が、民生セキュリティの起源になった → [[@2020__Wiley__Security Engineering 3e - Chapter 16 Security Printing and Seals]] — 偽造防止印刷と封印の技術・脅威モデル・検査体制の脆弱性を、紙幣からリストバンドまでの実例で解剖する → [[@2020__Wiley__Security Engineering 3e - Chapter 17 Biometrics]] — 指紋・虹彩・顔・声による識別技術群と、それを支配する誤受理/誤拒否の ROC トレードオフ → [[@2020__Wiley__Security Engineering 3e - Chapter 18 Tamper Resistance]] — HSM・スマートカードの耐タンパ機構が攻撃と防御の軍拡競争で進化した経緯と、評価制度の限界 → [[@2020__Wiley__Security Engineering 3e - Chapter 19 Side Channels]] — 電磁・電力・タイミング・音響・光学・社会的文脈から漏れる意図せぬ情報経路と、その根絶の困難さ → [[@2020__Wiley__Security Engineering 3e - Chapter 20 Advanced Cryptographic Engineering]] — HSM・エンクレーブ・ブロックチェーンなど 6 事例を検証し、TCB 最小化の理想と現実の乖離を描く → [[@2020__Wiley__Security Engineering 3e - Chapter 21 Network Attack and Defence]] — BGP・DNS・TCP の悪用、マルウェアの産業化、ファイアウォール/IDS、PKI を統合的枠組みで論じる → [[@2020__Wiley__Security Engineering 3e - Chapter 22 Phones]] — 電話網の攻撃史と GSM〜5G の認証進化、SIM スワップ、アプリエコシステムの経済的インセンティブ問題 → [[@2020__Wiley__Security Engineering 3e - Chapter 23 Electronic and Information Warfare]] — 電子戦の妨害・欺瞞技術と、情報戦としての選挙介入・インフラ攻撃への発展 → [[@2020__Wiley__Security Engineering 3e - Chapter 24 Copyright and DRM]] — DRM は音楽・映画産業を守れず権力はプラットフォーム企業へ移り、保護技術は導入→解読→訴訟を繰り返した → [[@2020__Wiley__Security Engineering 3e - Chapter 25 New Directions?]] — 自動運転・AI/ML・プライバシー技術・電子選挙の 4 分野で、技術複雑性から人間社会の複雑性へ直面が移る ### Part III: 組織・政策・保証(第 26〜29 章) 監視とプライバシーの政策論争、開発プロセス、保証制度と持続可能性、そして結語。 → [[@2020__Wiley__Security Engineering 3e - Chapter 26 Surveillance or Privacy?]] — 国家監視・暗号戦争・テロ・検閲・プライバシー規制という政策論争の力学と歴史 → [[@2020__Wiley__Security Engineering 3e - Chapter 27 Secure Systems Development]] — リスク管理・安全工学からの転用手法・開発方法論(ウォーターフォール〜DevSecOps)・脆弱性サイクル・組織論 → [[@2020__Wiley__Security Engineering 3e - Chapter 28 Assurance and Sustainability]] — 保証は静的評価から継続的プロセスへ、評価制度はレモン市場化し、持続可能性が最大の新論点となる → [[@2020__Wiley__Security Engineering 3e - Chapter 29 Beyond “Computer Says No”]] — 本書全体を締めくくり、複雑性・持続可能性・政治(権力)という 3 つの主題を提示する 2 ページの結語 ## 影響と位置づけ 本書の構成そのものが分野の主張になっている。Part II が全 29 章のうち 17 章を占め、核指揮統制・銀行・錠と警報装置・偽造防止印刷・電子戦・DRM という一見無関係な領域を並べるのは、**同じ失敗の型がドメインを越えて反復する**ことを示すためである。実際、複数の章にまたがって次の型が繰り返し現れる。 - **誤報率と検知率のトレードオフ**: 物理警報([[@2020__Wiley__Security Engineering 3e - Chapter 13 Locks and Alarms]])、封印の検査(第 16 章)、生体認証(第 17 章)、侵入検知(第 21 章)に同型の問題として現れる([[誤報率と検知率のトレードオフ]])。 - **インセンティブの不整合**: 守る者と損失を負う者が別人であるという第 8 章の定式化が、スマートメータ(第 14 章)、SIM スワップ(第 22 章)、アクセサリ制御(第 24 章)、評価制度(第 28 章)で具体化される([[セキュリティにおけるインセンティブ不整合]])。 - **評価のレモン市場**: 買い手が品質を見分けられないために評価が儀式化する構造が、耐タンパデバイス(第 18 章)、有料テレビ(第 24 章)、Common Criteria(第 28 章)に共通して現れる([[情報経済学]]・[[セキュリティ評価制度]])。 - **技術の起源としての軍事**: 認証符号・秘密分散・耐タンパ機構が核指揮統制(第 15 章)を出自とし、民生の銀行・生体認証へ流れた。GCM の起源もここに遡る([[秘密分散]]・[[暗号利用モード]])。 著者自身の総括によれば、第 2 版(2008)から第 3 版(2020)にかけて分野の重心は「信頼されたシステム」から「協調的な脆弱性開示・DevSecOps・レジリエンス」へ移った(Source: 本書 第 3 版序文)。多層セキュリティ([[多層セキュリティ（MLS）]])が 40 年・数十億ドルの投資を経て実務から退場した一方、経済学(第 8 章)・心理学(第 3 章)・政策(第 26 章)が中核に入ってきたことが、その移動を最も鮮明に示している。 ## 関連 - 実体: [[Ross Anderson]](著者)/ [[Bruce Schneier]](初版序文) - 分野横断の概念: [[セキュリティ工学の分析フレームワーク]] / [[セキュリティ経済学]] / [[セキュリティにおけるインセンティブ不整合]] / [[誤報率と検知率のトレードオフ]] / [[敵対者の類型論]] / [[セキュリティの持続可能性]] - 既存 vault の関連概念: [[セキュリティ設計原則]](Saltzer & Schroeder の原則。本書第 1・4・6・9・27・28 章から積み増した)/ [[信頼計算基盤（TCB）]] / [[認可モデル]] ## 出典 - Ross Anderson, *Security Engineering: A Guide to Building Dependable Distributed Systems*, 3rd Edition, John Wiley & Sons, 2020.