TPMによる測定起動とリモートアテステーション

Secure Bootとの違い：拒否か記録か

ブートチェーンの内部で見たSecure Bootは、各段の実行体の署名を検証し、許可されていないコードの実行を拒否する仕組みです。これに対し測定起動（Measured Boot）は、実行を止めません。各段が次段を実行する前に、そのコードや設定のハッシュをTPM（Trusted Platform Module）に記録し、あとから「何を実行したか」を検証可能にします。両者は排他的ではなく併用されるのが通常です。Secure Bootが「改ざんされたものを起動させない」防御なら、測定起動は「何を起動したかを否認不可能な形で残す」証跡です。

PCRと拡張演算：なぜ改ざんを後から検知できるか

TPMは**PCR（Platform Configuration Register）**と呼ばれる小さなレジスタ群（通常24本、SHA-256なら各32バイト）を持ちます。PCRへの書き込みは上書きではなく、**拡張（Extend）**という一方向演算のみが許されます。

PCR_new = Hash( PCR_old || measurement )

この式が本質です。PCRは初期値（多くは全ゼロ）から出発し、起動の各段が「次に実行するコードのハッシュ」を測定値として渡すたびに、現在値と連結して再ハッシュした結果で更新されます。ハッシュ関数の一方向性により、途中の測定値を1つでも変えると最終PCR値は別の値になり、かつ特定の最終値になるよう逆算して測定列を偽造することは計算量的に不可能です。これがTPMに直接上書き命令がない理由で、ソフトウェアが「都合の良い値」を書き込んで正当な起動を偽装することを構造的に防ぎます。

典型的なPCR割り当ては次のとおりです。

測定連鎖は**CRTM（Core Root of Trust for Measurement）**という、電源投入直後に実行される改変不能な最初のコードから始まります。CRTMが次段（ファームウェア本体）を測定してからそれに制御を渡し、以降も「実行前に次段を測定する」を各段が繰り返すことで、信頼の起点をハードウェアに固定したまま連鎖を伸ばします。この逐次測定の考え方はブートチェーンの内部の多段リレー構造と対応しており、Secure Boot用の鍵階層検証に、PCR拡張という記録レイヤーが並走するイメージです。

シーリング：PCR値を鍵解放の条件にする

TPMのもう一つの中核機能が**シーリング（Sealing）**です。データ（多くの場合はディスク暗号化鍵などの対称鍵）をTPMに預ける際、「どのPCR値の組み合わせのときだけ復号を許すか」というポリシーを紐付けられます。

Seal(data, PCR_policy) → sealed_blob
Unseal(sealed_blob):
  現在のPCR値がPCR_policyと一致するか TPM内部で検証
  一致 → data を返す
  不一致 → 復号を拒否（TPM外にdataは一切出ない）

重要なのは、この照合がTPMチップ内部で完結し、ホストOSの判断を経由しない点です。攻撃者がブートローダを改ざんしてOSを起動できたとしても、改ざんによってPCR8以降の値が変わっていれば、シールされた鍵はTPMから取り出せません。BitLockerやLUKSのTPM連携（systemd-cryptenrollのTPM2ポリシー等）はこの機構を使い、正規の起動チェーンを経た場合のみディスク暗号化鍵を自動解放します。

リモートアテステーション：起動状態を第三者に証明する

シーリングがローカルでの鍵解放判断なのに対し、リモートアテステーションはPCR値とその根拠をネットワーク越しの第三者（検証者）に証明する手続きです。核となるのがTPMのQuote操作で、次のように進みます。

1. 検証者 → 対象機:  nonce（乱数チャレンジ）を送付
2. 対象機のTPM:  Quote = Sign_AK( PCR_selection || PCR値 || nonce )
                  ※AK: Attestation Key、TPM内部で秘密鍵が生成・非搬出
3. 対象機 → 検証者:  Quote 署名, PCRログ（各段の測定値と対象の詳細記録）
4. 検証者:
   a. AKの証明書チェーンを検証（TPMメーカーのEK証明書に遡る）
   b. Quote署名を検証し、nonceが一致するか確認（リプレイ防止）
   c. PCRログを先頭から順にHash(PCR_old||m)で再計算し、Quote内のPCR値と一致するか確認
   d. 再計算過程で得た個々の測定値（カーネルのハッシュ等）を既知の許可リストと照合

nonceを挟むのは、過去に採取したQuoteを再送するリプレイ攻撃を防ぐためです。署名鍵AKは**EK（Endorsement Key）**というTPM製造時に埋め込まれる鍵を使い「同一TPM内で生成された鍵である」ことを証明され（Credential Activation）、EK証明書によって「これは本物のTPMチップである」ことをチップベンダが保証します。ここまで遡れることが、リモート側が「なりすましTPMではない」と信頼できる根拠になります。

適用例と設計上の要点

クラウド事業者の機密コンピューティング基盤や企業のゼロトラスト端末認証では、アテステーションの結果をネットワークアクセス可否の条件に使います。例えば「承認済みカーネルバージョンでSecure Boot有効な端末のみ社内VPNに接続可能」という運用は、PCR7とPCR8-15の値をアテステーションサーバーが照合して実現します。これはハイパーバイザやIOMMUによる分離（DMAとIOMMU）とは異なる層の保証で、「隔離されているか」ではなく「起動時に何が実行されたか」を証明する点が異なります。また、TPMのPCRは起動時のみ拡張されるため、実行中のカーネル改ざん（ライブパッチや侵害）は測定起動の対象外です。カーネルライブパッチのような実行時変更や、パニック後の再起動挙動（カーネルパニックとウォッチドッグ）は別途のランタイム保護・監視と組み合わせる必要があります。

まとめ

• PCRは初期値からの一方向拡張のみを許し、起動チェーンの測定値を改ざん不可能な形で蓄積する。
• シーリングはPCR値を条件にTPM内部で鍵解放を判断し、改ざんされた起動では暗号化データへ到達できなくする。
• リモートアテステーションはnonceとTPM署名（Quote）、EK証明書チェーンにより、起動状態をリプレイ耐性を持って第三者に証明する。

Secure Bootの鍵階層と起動リレー全体はブートチェーンの内部、ハードウェア分離による別系統の保護はDMAとIOMMUも参照してください。