12.1.1. デバイス上のアテスターと鍵の保護

アテスティング環境は、クレームを収集するターゲット環境から十分に分離されており、結果として得られるクレームセットにアテステーション鍵で署名して、ターゲット環境が自身に関するエビデンスを偽造できないようにすることが前提となっています。このような分離環境は、プロセス、専用チップ、TEE、仮想マシン、またはその他の安全な動作モードによって提供される場合があります。アテスティング環境は、正しく動作することを保証するために、不正な変更から保護される必要があります。アテスティング環境の署名鍵の機密性保護は、エビデンスを偽造するために悪用されないように極めて重要です。

多くの場合、アテスターの役割を含むデバイスのユーザーまたは所有者は、偽造されたエビデンスの作成を防ぐために、アテスティング環境から鍵を変更または抽出できないようにする必要があります。一般的な例には、携帯電話または FIDO 認証器のユーザーが含まれます。

最小限に保護されたシステムの対策には、高レベルのオペレーティングシステムによって提供されるプロセスまたはアプリケーションの分離と、ルートまたはシステム特権への制限付きアクセスが含まれる場合があります。対照的に、保護モードのオペレーティングシステムを使用しない本当にシンプルな単一用途デバイス（Bluetooth スピーカーなど）の場合、唯一の実際の分離は、デバイスの頑丈な筐体である可能性があります。

適度に保護されたシステムの対策には、TEE などの特別な制限された動作環境が含まれる場合があります。この場合、セキュリティ指向のソフトウェアのみがアテスターと鍵マテリアルにアクセスできます。

高度に保護されたシステムの対策には、チップのデキャッピング攻撃、電源とクロックのグリッチング、故障注入と RF、および電源サイドチャネル攻撃に対する保護を提供するために使用される特殊なハードウェアが含まれる場合があります。