{ “target”: “Network Engineers, IoT System Architects”, “protocol”: “HMTFTP (Authenticated Encryption for TFTP)”, “draft_source”: “draft-harkins-tftp-aead-00”, “status”: “Individual Draft”, “key_mechanisms”: [“AEAD”, “RFC 2347 Option Extension”, “Key Exchange”] }
本記事はGeminiの出力をプロンプト工学で整理した業務ドラフト（未検証）です。
draft-harkins-tftp-aead：TFTPへのAEAD暗号化導入によるIoT安全更新の実現
【背景と設計目標】
TFTPの軽量性を維持しつつ、AEADによる機密性と完全性を提供し、低リソースなIoTデバイスのセキュアなファームウェア更新を実現する。
従来のTFTP（RFC 1350）は認証や暗号化の仕組みを持たず、UDP上で平文転送を行うため、中間者攻撃や改ざんに対して無防備でした。HMTFTPは、RFC 2347（Option Extension）を利用してAEAD（Authenticated Encryption with Associated Data）パラメータを交渉し、最小限のオーバーヘッドでセキュアな転送路を構築することを目的としています。
【通信シーケンスと動作】
HMTFTPは、最初の読み取り要求（RRQ）または書き込み要求（WRQ）の中で、暗号化アルゴリズムと公開鍵（またはキー識別子）をオプションとして提示します。
sequenceDiagram
participant "Client as HMTFTP Client"
participant "Server as HMTFTP Server"
Note over Client, Server: 1. オプション交渉とキー交換
Client ->> Server: RRQ/WRQ (Option: "aead", "pubkey")
Server -->> Client: OACK (Option: "aead", "pubkey", "nonce")
Note over Client, Server: 2. AEAD保護されたデータ転送
Server ->> Client: DATA (Encrypted Payload + Authentication Tag)
Client -->> Server: ACK (Block Number)
Note over Client, Server: 3. 転送完了
Server ->> Client: DATA (Last Block)
Client -->> Server: ACK (Final)
【データ構造 / パケットフォーマット】
HMTFTPでは、標準のTFTP DATAパケットのデータフィールドが、AEADアルゴリズム（AES-GCM等）によって生成された「Nonce」「暗号文」「認証タグ」の組み合わせに置き換わります。
0 1 2 3 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+ | Opcode (3) | Block # | Nonce | +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+ (Variable Length) | | | +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+ | Encrypted Data | | (Variable Length) | +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+ | Authentication Tag | | (Variable Length) | +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
Opcode (16bit): 3 (DATA)
Block # (16bit): シーケンス番号
Nonce: AEADで使用する一意の数値（リプレイ攻撃防止）
Encrypted Data: 元の512バイト（または交渉済みサイズ）のペイロードの暗号文
Authentication Tag: データの完全性と送信元認証を保証するMAC値
【技術的な特徴と比較】
HMTFTPは、フルスタックのTLS/DTLSを実装できない極小リソースのマイコン等での利用を想定しています。
| 特徴 | 標準TFTP (RFC 1350) | TFTP over DTLS | HMTFTP (Draft) |
|---|---|---|---|
| 暗号化 | なし | あり (DTLS層) | あり (ペイロード直列) |
| ハンドシェイク | なし | 複雑 (複数往復) | 簡素 (1往復+オプション) |
| オーバーヘッド | 極小 | 大 (DTLSヘッダ等) | 中 (Nonce+Tagのみ) |
| 実装難易度 | 非常に低い | 高い | 中 (AEADライブラリ依存) |
| 0-RTT | 対応 | 非対応 | 対応 (事前共有鍵使用時) |
技術キーワード解説
AEAD: 暗号化と同時にデータの改ざん検知を行う手法。AES-GCMやChaCha20-Poly1305が代表的。
RFC 2347: TFTPのオプション拡張。ブロックサイズやタイムアウトの交渉に使われる仕組みを暗号化に流用。
MTU配慮: 暗号化タグ分パケットサイズが増えるため、パスMTUディスカバリまたは控えめなブロックサイズ設定が重要。
【セキュリティ考慮事項】
リプレイ攻撃への耐性: 各パケットにNonce（またはカウンタ）が含まれており、認証タグによって保護されているため、攻撃者が古いパケットを再送しても受信側で破棄可能です。
機密性と完全性の同時保証: AEADの採用により、パケット内容の隠蔽だけでなく、1ビットの改ざんも検知できます。これはバイナリ配信において極めて重要です。
鍵管理の課題: DH（Diffie-Hellman）による鍵交換を行う場合、中間者攻撃（MITM）を防ぐために、サーバー側の公開鍵に対する信頼の起点（Root of Trust）が必要です。
【まとめと実装への影響】
ネットワークエンジニアおよび開発者が留意すべき点は以下の3点です。
既存インフラとの互換性: HMTFTP非対応のサーバー/クライアントは「aead」オプションを無視するため、フォールバックが発生します。強制的なセキュリティ確保にはポリシー設定が必要です。
計算リソースの確保: ソフトウェア実装のAESは低速なMCUに負荷をかけます。ハードウェア暗号化アクセラレータを持つチップの選定が推奨されます。
断片化の回避: 認証タグとNonceによって有効ペイロードサイズが減少します。ネットワークのMTU（通常1500）を超えないよう、
blksizeオプションを適切に調整（例: 1400以下）する必要があります。
