設定データ用の新しいCIP Securityプルモデルが利用可能に

ODVAから、EtherNet/IPをサイバーセキュリティ対応ネットワーク向けに拡張するCIP Securityにおいて、設定データ用の新しいプルモデルが利用可能になったことをご案内します。これまでも機器の認証情報を効率よく配信できるようにCIP Security証明書のプルモデルをご用意していましたが、これに今回の新しいプロファイルが加わりました。設定情報用のCIP Securityプルモデルがあれば、JSON形式で記述したパラメータをEtherNet/IPネットワーク対応デバイスで自動的に利用することができます。また、この新しい設定データを使えば、スマートフォンやタブレットなどのCIP非対応のデバイスでも安全にEtherNet/IP情報へアクセスできるほか、階層メタデータをより簡単に利用することが可能になります。これでCIP Securityは、デバイス・グループ全体にわたる広義の信頼ドメインおよびユーザーと役割による狭義の信頼ドメイン、データの機密性、デバイスとユーザーの認証、デバイスとユーザーID、デバイスの完全性などのセキュリティ機能に加えて、設定データとデバイス証明書のプルモデルのサポートを果たしました。設定データのCIP Securityプルモデルは、CIP Security設定を配信するためのファイル・エンコード形式と、その設定データをデバイスがプルないしクエリするためのメカニズムを定めています。特にこの設定データのプルモデルは、従来のCIPオブジェクト/サーバー/属性というメカニズムではCIP Security設定を配信するのが難しい場合に有効です。たとえば設定データ用の新しいCIP Securityプルモデルを使用するケースとして、モバイル・デバイス・アプリケーションなどCIPのターゲット機能を持たないソフトウェアのほか、デバイスはNAT（Network Address Translation）を備えたプライベート・ネットワーク内にあるものの、設定を行うソフトウェアがパブリック・ネットワーク上にあるといった場合が挙げられます。さらに、証明書の自動的なプル機能に加えて設定データにもプルモデルがあることで、必要な通信設定を自動で提供することができるため、デバイス交換の手間を軽減するのにも役立ちます。設定情報が通信から切り離されているCIPオブジェクト/サービス方式に比べると、設定データのCIP SecurityプルモデルはJSON形式のファイルを介して配信することができるという利点があるからです。もちろんJSON形式を使用してもCIP設定の情報構造に変わりはありません。このJSONファイルにはデジタル署名も含まれており、配信の方法とは独立してデータの真正性を保証することができます。

ODVAの会長兼業務執行取締役Al Beydoun博士は次のように説明しています。「設定データのCIP Securityプルモデルを追加したことで、デバイスの交換がより簡単になりダウンタイムを最小限に抑えられるうえ、設定データをモバイル端末やプライベート・ネットワーク上のデバイスにも自動配信できるようになりました。EtherNet/IPネットワークは世界中の重要な産業において効率的な生産を可能としてきましたが、そうしたネットワークへの悪意のあるアクセスを阻止するため、CIP Securityがさらに発展していくように継続的に取り組んでいます」。

ワイヤレス通信やSingle Pair Ethernet（SPE）技術によって、これまで以上に多くのデバイスがネットワークに接続されるようになり、サイバーセキュリティの重要性は高まる一方です。さらに、デバイス・レベルのネットワークをERPやクラウドシステムに接続したうえで、最新の人工知能（AI）による分析を活用して操業の最適化をはかることもできるようになりましたが、このことからもデバイス・レベルのセキュリティを含めた多層防御アプローチが不可欠であると言えます。CIP Securityは、セキュアな通信のためのTLS/DTLS、データの完全性とメッセージ認証を提供する暗号化方法としてのハッシュやHMAC、認証のためのX.509v3デジタル証明書、OAuth 2.0、OpenID Connect、権限のない第三者によるEtherNet/IPデータの読取り/閲覧を防止するための暗号化など、堅牢で実績のあるオープンなセキュリティ技術の強みを多く活用してきました。そのCIP Securityに新たに設定データのプルモデルを追加し、モバイル端末とプライベートネットワークとの接続を可能にするとともに、デバイスの交換がより簡単になるようにしました。CIP SecurityはEtherNet/IPのためにデバイスレベルの堅牢なセキュリティ保護を提供するものであり、ベンダやエンドユーザーがEUサイバーレジリエンス法（CRA）などの規制への対応を準備したり、IEC 62443のようなセキュリティ規格への準拠を実現するのに役立ちます。CIP Securityを含めたEtherNet/IP仕様書の最新版についてはodva.orgをご覧ください。

www.odva.org