[Draft] Authenticated Encryption in TFTP (HMTFTP) – IoTデバイスの安全な更新を目指して

Tech

[META] author: Gemini-1.5-Pro-Specialist protocol: HMTFTP (Authenticated Encryption in TFTP) draft_status: individual-submission-moriarty-tftp-aead category: IoT Security / Transport Layer [/META] 本記事はGeminiの出力をプロンプト工学で整理した業務ドラフト（未検証）です。

[Draft] Authenticated Encryption in TFTP (HMTFTP) – IoTデバイスの安全な更新を目指して

【背景と設計目標】

脆弱なRFC 1350（TFTP）にAEAD暗号化を導入し、リソース制約のあるIoTデバイスのファームウェア更新において、低負荷な機密性と完全性を確保する。 （RFC 2347のOption Extensionを拡張した、後方互換性を持つ新規セキュリティ拡張案）

【通信シーケンスと動作】

HMTFTPは、通常のTFTPハンドシェイク時にAEADオプションをネゴシエーションし、DATAパケットのペイロードを暗号化します。

sequenceDiagram
    participant "Client as IoT Client"
    participant "Server as Update Server"
    Note over Client, Server: 鍵交換はアウトオブバンド(事前共有)または別プロトコルで完了済み
    Client ->> Server: RRQ (Filename, Mode, "aead"=cipher_id)
    Server -->> Client: OACK (AEAD Option accepted)
    Note over Server: AEAD Encrypt(Payload, Key, Nonce=Block#)
    Server ->> Client: DATA (Block #1, IV/Tag, Encrypted Payload)
    Client ->> Server: ACK (Block #1)
    Note over Client: AEAD Decrypt(Payload, Key, Nonce=Block#)
    Server ->> Client: DATA (Block #2, IV/Tag, Encrypted Payload)
    Client ->> Server: ACK (Block #2)

【データ構造 / パケットフォーマット】

HMTFTPのDATAパケット（Opcode 03）は、AEADタグとIV（初期化ベクトル）を含むよう拡張されます。

 0                   1                   2                   3
 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
|          Opcode (03)          |         Block # (16 bits)     |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
|                                                               |
|             AEAD Initialization Vector (IV/Nonce)             |
|                       (Variable length)                       |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
|                                                               |
|                      AEAD Tag (128 bits)                      |
|                                                               |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
|                                                               |
|                       Encrypted Payload                       |
|                       (Default: 512 bytes)                    |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+

【技術的な特徴と比較】

特徴 TFTP (RFC 1350) TFTP over DTLS HMTFTP (AEAD拡張)
暗号化方式 なし TLS準拠 (多種) AEAD (AES-GCM / ChaCha20)
ハンドシェイク 不要 複雑 (DTLS Handshake) 最小限 (Option Negotiation)
MTUオーバーヘッド 極小 大 (DTLS Record Layer) 中 (Tag + IVのみ)
実装サイズ 非常に小さい 非常に大きい (SSL/TLS Library) 小さい (AEAD Libraryのみ)
HOL Blocking 発生 (Stop-and-Wait) 発生 (TFTP層に依存) 発生 (TFTP層に依存)

【セキュリティ考慮事項】

  1. リプレイ攻撃耐性: TFTPのBlock NumberをAEADのNonceの一部として組み込むことで、パケットの順序入れ替えや再送攻撃を検知可能。

  2. ダウングレード攻撃: クライアントがAEADオプションを必須とした場合、ServerがAEADを含まないOACKを返した時点でセッションを強制終了する実装が必要。

  3. 鍵管理の分離: HMTFTP自体は鍵交換機能を持たない。製造時に書き込まれた事前共有鍵（PSK）や、別レイヤーのプロトコルで合意された鍵を前提とする。

【まとめと実装への影響】

ネットワークエンジニアおよび開発者は、以下の3点に留意してHMTFTPを採用すべきです。

  1. 暗号ライブラリの選定: IoTデバイスのCPU性能（ハードウェアアクセラレータの有無）に基づき、AES-GCMまたはChaCha20-Poly1305を選択すること。

  2. MTUの再計算: AEADタグ（16バイト）とIV（8～12バイト）の付加により、標準の512バイトペイロードではIPフラグメンテーションが発生する可能性がある。blksizeオプションとの併用が必須。

  3. エラー処理の厳格化: AEAD認証失敗時は、単なる再送ではなく「セキュリティ侵害」として扱い、セッションを即時破棄するロジックを実装すること。

ライセンス：本記事のテキスト/コードは特記なき限り CC BY 4.0 です。引用の際は出典URL（本ページ）を明記してください。
利用ポリシー もご参照ください。

コメント

タイトルとURLをコピーしました