IoT デバイスのセキュアな通信を実現。X.509 証明書のプロビジョニング方法とは ?

一般的な IoT デバイスの製造プロセスは、上図のとおりさまざまなサプライチェーンを経由して行われるため、デバイスメーカーは認証情報 (X.509 証明書および秘密鍵) をプロビジョニングするタイミングを指定する必要があります。

各サプライチェーンの担当するさまざまなプロセスで、認証情報 (X.509 証明書および秘密鍵) のプロビジョニングができます。ここでは、代表的なプロビジョニングのシナリオをご紹介します。

補足 :
IoT デバイスの製造フェーズにおいて、認証情報のプロビジョニング設計が確定せず、一意の認証情報なしでデバイスの製造が完了する場合があります。このようなシナリオでは、デバイスが販売され、現場に設置された後で、フリートプロビジョニングと呼ばれるサービスを利用して、認証情報のプロビジョニングを行います。フリートプロビジョニングに関する詳細は、AWS IoT Core デベロッパーガイドの「フリートプロビジョニングを使用したデバイス証明書がないデバイスのプロビジョニング」をご覧ください。

X.509 証明書は、特定の認証局 (CA) によって署名される必要があります。利用できる認証局 (CA) は複数の選択肢があります。デバイスメーカーは、AWS IoT CA 、自己署名ルート CA、サードパーティーの CA のいずれかでデバイス証明書の発行と署名を行い、AWS IoT レジストリに登録します。

ここでは、認証局 (CA) ごとのデバイス証明書の発行および署名の手順について説明します。

AWS IoT では、クラウド上で直接デバイス証明書と秘密鍵を生成できます。X.509 証明書は AWS IoT CA によって署名され、デバイスメーカーの AWS IoT レジストリに事前登録されます。デバイスメーカーはデバイス証明書と秘密鍵を AWS IoT からダウンロードし、デバイスにプロビジョニングします。

すでにデバイスに秘密鍵が組み込まれている場合、証明書の署名リクエスト (CSR) を、デバイスからデバイスメーカーを経由して AWS IoT Core へ送信することで、秘密鍵を外部に晒すことなく、安全にデバイス証明書を発行できます。デバイスメーカーは、デバイス証明書を AWS IoT からダウンロードし、デバイスにプロビジョニングします。

X.509 証明書は、デバイスメーカーが持つ独自の自己署名ルート CA を使って署名できます。自己署名証明書を使う場合は、デバイスから安全なネットワークを経由して、自己署名ルート認証局によって署名された中間 CA 証明書に署名リクエストを送信することでデジタル証明書を発行します。

デバイスメーカーが独自の自己署名ルート CA を持たない場合、サードパーティーの CA サービスを利用することも可能です。サードパーティーの CA サービスベンダーは、デバイスメーカー向けに中間 CA 証明書を発行するか、独自のルート CA からカスタム証明書を発行できます。

デバイスメーカーはサードパーティーの CA サービスベンダーから提供されたCA 証明書 を使って X.509 証明書の署名を行います。このケースでは、CA の物理的なセキュリティーの保証はサードパーティーの CA サービスベンダーが担います。

一意のデバイス証明書と秘密鍵がプロビジョニングされた IoT デバイスを、AWS IoT Core に登録する方法は複数あります。デバイスメーカーは、ジャストインタイムプロビジョニング、ジャストインタイム登録、またはマルチアカウント登録を使用して、認証情報が組み込まれたデバイスを登録します。

デバイスメーカーは、事前に、デバイス証明書を署名した CA を AWS IoT に登録します。

デバイスは AWS IoT Core へ初めてアクセスする際に、デバイス証明書と事前登録された署名者 CA を TLS ハンドシェイク中に送付します (オプション)。AWS IoT Core は、署名者 CA とデバイスを照合した上で、デバイス証明書を登録し、アクティベートします。

初回アクセス時点では、AWS IoT Core にデバイス証明書がアクティベートされていないため、デバイスによる接続試行は失敗に終わりますが、2 回目以降は正しく接続できるようになります。

AWS IoT Core へのアクセス時に、デバイスとユーザーの関連付けなど追加のカスタムロジックが必要な場合は、ジャストインタイム登録 (JITR) を使用します。

ジャストインタイム登録 (JITR) では、ジャストインタイムプロビジョニング (JITP) と同様、AWS IoT Core への初回接続時に署名者 CA 証明書とデバイス証明書の照合とデバイス証明書の登録が行われますが、デバイス証明書のアクティベートは行われません。

AWS IoT Core は、MQTT トピック “$aws/events/certificates/registered/<caCertificateID>” でライフサイクルイベントを生成します。

デバイスメーカーは、ライフサイクルイベントのメッセージが AWS Lambda 関数のトリガーとなるように IoT ルールを設定します。AWS Lambda 関数は追加のカスタムロジックを実行した上で、デバイス証明書のアクティベートを行います。

ジャストインタイムプロビジョニング (JITP) と同様、初回の接続試行は失敗に終わりますが、2 回目以降は正しく接続できるようになります。

デバイスを複数の AWS アカウントに迅速に接続したい場合、マルチアカウント登録 (MAR) が利用できます。

マルチアカウント登録 (MAR) では、複数の AWS アカウントに同じデバイス証明書を登録することで、単一のデバイスでも複数アカウントの AWS IoT Core にアクセスできるようになります。

デバイスは、TLS SNI 文字列を使って AWS IoT エンドポイントに接続します。接続先のエンドポイントを変えることで、デバイスを 1 つのアカウントから別のアカウントへ移動できます。

なおマルチアカウント登録 (MAR) を利用する場合、デバイスの TLS スタックは、サービス名インジケータ (SNI) をサポートしている必要があります。

AWS IoT Core における認証情報のプロビジョニングは、多様なユースケースや大規模な構成のサプライチェーンに対応するために、複雑なプロセスになります。セキュリティリスクや無用なコストを避けるために、デバイスメーカーはデバイスの開発プロセスの早い段階で、自社にとって最適なプロビジョニングの方法を検討する必要があります。

本記事では、認証情報のプロビジョニングに関する一般的な方法をご紹介しました。本記事では割愛したフリートプロビジョニングの方法など、より詳しい情報をお知りになりたい場合は、ホワイトペーパー「デバイスの製造と AWS IoT Core での X.509 証明書のプロビジョニング」や、AWS IoT Core デベロッパーガイドの「デバイスプロビジョニング」をご覧ください。