IoT SAFE(PoC)¶

IoT SAFEとは¶

IoT SAFE (IoT SIM Applet For Secure End-2-End Communication) は、GSMAによって策定された、IoT機器とクラウド間の通信を安全に行うために、SIMカードをRoot of Trustとして利用するための標準規格です。

認証や暗号化の機能をもつSIMアプレットを搭載することで、デバイス認証とデータのエンドツーエンドの暗号化を実現する仕組みであり、セルラーネットワークを利用するIoT機器におけるデバイスセキュリティを実現する技術の一つとして期待されています。

本アプレットは、IoT SAFEの標準規格に沿って実装を行ったものです。

IoT SAFEアプレットは以下の流れで動作を行います。

事前作業

証明書の生成処理

クライアント証明書の利用

上記の動作により、IoT SAFEアプレットにはキーペア(秘密鍵/公開鍵)、CSR、クライアント証明書が格納され、セキュアな通信を行うことが可能になります。

ここでは、IoT SAFEアプレット及びApplet Consoleを利用して、OpenSSLを用いたmTLS通信の動作確認を行います。

本手順では以下のソフトウェア、ハードウェアの条件で動作確認を行っています。

IoT機器

IoTサーバ

Applet Console

IoT SAFEをLinux上で動作させるためのパッケージ(libifd-atcmdとpkcs11-iotsafe)をインストールする。

sudo mkdir /opt/iotsafe && sudo chown _apt /opt/iotsafe
sudo cp ~/*.deb /opt/iotsafe/

sudo apt install /opt/iotsafe/*.deb

SIMカードにIoT SAFEアプレットをインストールする。
- Applet Consoleの操作方法を参照ください。
SIMカードに正常にIoT SAFEアプレットがインストールされていることを確認する。
1. Applet ConsoleのSIMメニューから該当のSIMカードのSIM詳細画面を開く。
2. OTAステータスが「Install:Succeeded」となっていることを確認する。

「SIM個別の識別情報」または「識別情報テンプレート」の登録を行います。ここでは識別情報テンプレートを用いて登録する方法を例として示します。「SIM個別の識別情報」の登録方法については、こちらを参照ください。

注釈

識別情報テンプレートをすでに登録済みの場合は、この手順は不要です。「CSRの生成とクライアント証明書の署名」へ進んでください。

IoT機器の電源を入れて、IoT SAFEアプレットを起動します。
クライアント証明書一覧に表示されている「ID」をクリックすることで、クライアント証明書の詳細情報の表示します。
ReadPublicKeyコマンド / ReadCSRコマンド / DeliveryClientCertコマンドの処理結果がSucceededになったことを確認します。
公開鍵 / CSR / クライアント証明書については、「SIM」メニューの「SIM詳細」から確認することが可能です。

OepnAPIまたは「SIM」メニューの「SIM詳細」から取得したクライアント証明書をファイルに保存し、IoT機器へ配布します。
mTLS通信でIoTサーバーに接続する。
- クライアント証明書を「iotsafe.client.cert」とした場合、以下のコマンドで通信が行えることを確認します。
openssl s_client \ -connect IoTサーバのIPアドレス:IoTサーバのポート番号 \ -cert "./iotsafe.client.cert" -key "pkcs11:token=IoTSAFE;type=private;id=%01"