Re-Virtualization Night 第1回のプレゼン資料(LT5分)です

1. © 2014 IBM Corporation
東根作成英
とねさく
なるひで
@Tonesaku
第1回Re-Virtualize Night

2. 2
vSphere 4.x以降でIntel TXT(Trusted Execution Technology)と TPM (Trusted Platform Module)を使ったTrusted Boot (Measured Boot)に対応
vSphere 5.xではデフォルトでTXT/TPMを使う設定に
ハイパーバイザーの改ざんによるセキュリティー・リスクを 抑制
vSphereとIntel TXT

3. 3
その割に、ハードウェアやプラットフォームに対する セキュリティーに無頓着
–重要なセキュリティー事故が起きていない
–見えないリスクにお金を払いたくはない
–だからTPMなにそれおいしいの？
日本人はセキュリティーに厳しい

4. 4
ITプラットフォームのセキュリティー
トップダウン防御
攻撃される可能性
SQLインジェクション攻撃,
データベース攻撃、
パスワード・アタック、 OSレベルのファイル共有リスク等
Rootkits, Bootkits
BIOSやBMCに対する 改ざんファームウェアによる攻撃、 流通過程での攻撃
管理者用インターフェースからの サービス・プロセッサーへの攻撃
従来のトップダウン・セキュリティー・ アプローチ
H/W
Firmware
Hypervisor
OS
App
ボトムアップを加えて
包括的なセキュリティー・アプローチ
Firmware
App
OS
Hypervisor
H/W
ボトムアップ防御

5. 5
ハードウェアに対するセキュリティ懸念
開発/工場
倉庫
データセンター
メーカー作成
ファームウェアのバグ による脆弱性は
ないだろうか
製造における
ファームウェア
書き込み工程に
リスクはないだろうか
第三者により
流通過程で改ざん
ファームウェアが
仕込まれないだろうか
脆弱性や人為的ミス、 悪意による情報漏えい を防ぐ必要がある

6. 6
5月のニュース
http://www.itmedia.co.jp/news/articles/1405/15/news096.html

7. 7
信頼のルートはハードウェア
参考：http://www.ibm.com/systems/jp/x/manual/2011/1111/uEFI1AAD001.pdf
TPMとCRTMの連携により、電源投入時にファームウェア の改ざんを検出「セキュア・ブート(Verified Boot)」
※)Core Root of Trust for Measurement

8. 8
サーバーのTPM大事
–オプションならいれとく
Intelのテクノロジー大事
–Intel TXT(uEFI/BIOS設定要確認)
–Intel BIOS GUARD
サーバー入れるとき気をつけること

9. 9
ESXi 5.1 with patch ESXi510-201407001 and ESXi 5.5 Update 2 might fail to boot if TXT is disabled but TPM is enabled in the system BIOS of the host with Intel Xeon processor E5 v3 series
Some systems with Intel Xeon processor E5 v3 series might expose BIOS options for both Trusted Platform Module (TPM) and the Trusted Execution Technology (TXT) features. On such systems, the ESXi host might fail to boot if TXT is disabled but TPM is enabled in the BIOS. This issue occurs as the ESXi host needs both the features to be disabled in the BIOS for a successful boot. Workaround: Ensure that TPM is disabled along with TXT in the BIOS during the configuration of the system BIOS.
KB:2087032

10. 10