概要
本稿では、NFC（Near Field Communication）に対応するセキュリティ用のソリューションを紹介します。そのソリューションでは、アナログ・デバイセズのDeepCover®技術を適用したセキュア認証用ICとトランスポンダICを使用します。これらのICは、SHA-3をベースとするチャレンジ＆レスポンス方式の認証機能を備えています。このソリューションを利用すれば、医療／民生／産業用のシステムにおける消耗品の認証、追跡、管理を実現可能です。また、偽造品が使われたり、不正な再使用が行われたりすることを防止できます。
はじめに
今日の世界は、様々な物が相互に接続されることで成り立っています。その結果、多くの業界ではセキュア認証の機能が不可欠なものになりました。同機能を使用する目的は、重要なデータや、安全に関連する情報、認証済みの消耗品などを保護できるようにすることです。実際、ヘルスケア機器、民生用の電子機器、産業環境で使われる装置などでは、部品の真正性と完全性を検証する機能が非常に重要になります。そうした機器にセキュア認証用ICを適用すれば、非正規の部品や偽造された部品、期限切れの部品を拒絶できます。仮にそのような部品が使われると、機器の品質や安全性が損なわれたり、規制を遵守できなくなったりする可能性があります。データのセキュリティや製品の真正性への懸念が高まるなか、多くの企業はシステムの完全性を確保するための高度なソリューションを求めるようになりました。
NFCは多くの電力を消費することなく、近距離／非接触の通信を実現する技術です。NFCを利用すれば、非常に実用的なソリューションを実現できます。NFCに対応する機器は、有線システムと無線システムの中間的な位置づけにあると言えます。NFCは、可搬型の機器や、頻繁な交換／移動が必要になる消耗品に対して様々なメリットをもたらします。有線の接続には物理的なコネクタとケーブルが必要です。そのため、医療用の輸液ポンプや産業用のフィルタなどで有線の接続を使用すると、振動や摩耗が原因で接続部の切断や故障が生じるおそれがあります。そうすると、アプリケーション全体としての信頼性が低下します。それに対し、NFCは非接触（無線）の通信技術なので、物理的な摩耗について配慮する必要がありません。特に、NFCによる認証が完了した部品を取り扱ったり、定期的に交換したりする場合には、耐久性や信頼性が向上することになります。また、部品の交換も容易になります。
NFCには、Wi-FiやBluetooth®といった無線技術と比べても優れている点があります。Wi-FiやBluetoothを利用すれば、NFCと比べてより広い範囲を対象とした無線接続を実現できます。しかし、通信距離が長いことから、潜在的なアタック・サーフェス（攻撃対象領域）が広くなります。その結果、通信の傍受や不正なアクセスを防止するための強固な暗号化技術が必要になります。それに対し、NFCの通信距離は数cm程度です。そのため、NFCを使用する場所において、十分な配慮が行き届いた状態で安全に通信を実施できます。また、NFCは低消費電力の技術です。NFCに対応するタグ（トランスポンダ）は、リーダーから受動的に電力を受け取ることで動作することが可能です。また、アクティブになるまでは休止状態を維持できるので、エネルギー効率が向上します。継続的な給電を必要とするWi-FiやBluetoothと比べると、この点が大きく異なります。
「MAX66301」は、DeepCover技術を採用したセキュア認証用ICです。同ICは、SHA-3をベースとするチャレンジ＆レスポンス認証の機能を提供します。この機能は、不正なアクセスや偽造品からの保護を実現するために使用されます。また、同ICをトランスポンダICである「MAX66250」と組み合わせれば、NFCに対応するアプリケーションを構成できます。その場合、MAX66301をリーダーとして使用し、MAX66250をタグとして使用します。それにより、偽造品の排除、消耗品の寿命の監視、使用履歴の追跡といったアプリケーションを実現可能です。NFCに対応する従来のタグでは、改ざん、不正使用、複製に対する十分な保護を実現できませんでした。それに対し、MAX66301とMAX66250を組み合わせれば、よりセキュアな認証を実施することが可能になります。
本稿では、まずNFCについて解説します。その上で、MAX66301とMAX66250を使用して重要なシステムを保護する方法について説明します。両ICの高度な暗号化機能とセキュアなデータ・ストレージを組み合わせれば、認証、有効期限の管理、使用状況の監視を必要とするアプリケーションのニーズに対応できます。また、本稿では、このソリューションの長所が際立つ3つの活用事例を紹介することにします。
NFCとは何なのか？
ここでは、NFCの概要や動作の仕組みについて説明します。また、この技術の限界について解説を加えます。
技術の概要
NFCは、短い距離を対象とする無線通信技術です。通常、NFCを適用した機器によるデータの交換は数cm以内の距離で行われます。通信に使用する周波数は13.56MHzです。NFCは、非接触型の決済システム、セキュア・アクセス、製品の認証といった広範な用途で使用されています。NFCの一部のプロトコルは、NFCのカテゴリには含まれるものの、ISO/IEC規格には準拠していないことがあります。とはいえ、ほとんどの実装はISO/IEC14443やISO/IEC 15693に準拠しています。それにより、様々な業界にまたがる互換性や統合の容易さが確保されます。
動作の仕組み
NFCでは、それぞれリーダー、タグと呼ばれる2つのデバイスを使用します。リーダーとタグは、それらの間の磁気誘導を利用して動作します。リーダーのアンテナが生成するのは交番磁界です。その磁界は、パッシブなタグのコイルに電流を誘導します。それにより、タグは電力を得ます。電力が供給されたら、タグは磁界を変調する（負荷変調と呼ばれます）ことでリーダーにデータを送信します。なお、リーダーからのデータの送信には振幅変調が使われます。この構成は、コンパクトで電力効率の高い設計を可能にします。通常、タグの動作によって消費される電力は、数μWから数mWのレベルに抑えられます。
セキュリティ上の制約
NFCを採用すれば利便性と柔軟性が得られます。但し、セキュリティの面では以下に列挙するような固有の制約が生じます。
- 短距離の通信に伴うセキュリティ上のリスク：近接した通信というNFCの要件を満たした状態でも、盗聴、傍受、リレー攻撃に対して脆弱性を示すことがあります。
- 偽造されたタグによるリスク：ロバスト（堅牢性が高い）な認証が行われない場合、非正規のタグや偽造されたタグからの保護を実現できない可能性があります。
- データの完全性に関するリスク：NFCの標準的なタグは、有効期限の追跡や使用履歴に関するセキュアなメカニズムを備えていないことがあります。
NFCの詳細については、アプリケーション・ノート「Secure Microcontrollers NFC Overview（NFCに対応するセキュアなマイクロコントローラの概要）」をご覧ください。
セキュア認証用ICの概要
MAX66301は、DeepCover技術を採用したセキュア認証用ICです。NFCを利用するアプリケーションでは、このICをリーダーとして使用します。一方、セキュア認証用のトランスポンダICであるMAX66250は、NFCのタグとして使用されます。MAX66250は、3つの主要な機能によって上述した脆弱性に対処します。3つの機能とは、ロバストな認証機能、有効期限の管理機能、使用状況のセキュアな追跡機能のことです。セキュリティの面で中核を成すのは、SHA-3をベースとするチャレンジ＆レスポンス認証の機能です。この認証方式では、まずリーダーがタグに対してランダムなチャレンジを送信します。それを受けたタグは、秘密鍵を使用して暗号化されたレスポンスを算出します。そのレスポンスをリーダーが検証します。この認証方式では、レスポンスがマッチしている場合だけタグの真正性が認められます。
MAX66250は、消耗品のライフサイクルを管理するために使用されます。この用途に向けて、同ICは、17ビットのデクリメント専用カウンタを搭載しています。このカウンタは不揮発性のものであり、1回だけ設定することが可能です。また、このカウンタの値には認証が成功した場合にだけアクセスできます。このような機能を利用することで、改ざんや不正なリセットを防止できます。MAX66250が備える使用履歴の追跡機能は、様々な要素によって強化されています。例えば、機密データ用のセキュアなストレージ、ユーザ・データ用のセキュアなEEPROM（256ビット）、不正アクセスや露見を阻止する暗号化機能といった要素です。これらを組み合わせることにより、最高レベルのセキュリティと完全性が要求される重要な用途に適した認証／監視／管理のための多層ソリューションを実現できます。
NFCとセキュア認証用ICを組み合わせる
MAX66250は、NFCに対応可能なセキュア認証用ICです。この種の製品は、非接触型のセキュアな通信を必要とする多くの分野で活用されています。その例としては、医療、製造、民生、物流といった分野が挙げられます。これらの分野では、認証、アクセス管理、改ざん防止に対するニーズが高まっています。医療分野を例にとると、NFCに対応するセキュア認証用ICは消耗品の検証に使われています。また、権限を持つ人だけが制限のある区域にアクセスできるようにするためにも、その種のICが利用されています。NFCに対応するセキュア認証用ICを採用すれば、ロバストかつ実用的で電力効率に優れるセキュアなソリューションを実現できます。
多くの業界は、偽造、不正使用、コンプライアンスに関する厳格な要件に直面しています。それを受けて、よりセキュアなNFC技術の必要性が高まりました。従来のNFCのタグは、高度な機能が不足していることが少なくありませんでした。複製、改変、データの傍受に対して脆弱だったのです。このような脆弱性は、安全性と品質に対して真正性が直接影響を及ぼす重要な用途において大きな懸念材料になります。MAX66250を使用すれば、SHA-3をベースとする双方向の認証機能、有効期限の管理機能、使用状況の追跡機能によって上記のようなニーズに対応できます。言い換えれば、標準的なNFCを超えるセキュリティ機能の利用が可能になるということです。
代表的な活用事例
ここからは、MAX66301/MAX66250の機能によってセキュリティ、信頼性、コンプライアンスを高めている現実の活用事例を紹介していきます。
【事例1】医療用の輸液ポンプ
輸液ポンプは現代の医療に欠かせないものです。制御された時間間隔で、正確な量の薬剤を投与するために使用されます。輸液ポンプのシステムは、薬剤カートリッジなどの消耗部材に依存しています。精度と信頼性を維持するためには、それらの消耗部材を定期的に交換しなければなりません。ここで、安全性を確保するために消耗部材の認証を行うメカニズムが存在しないとしたら何が起きるでしょうか。その場合、偽造されたカートリッジや、汚染された部材、監視下にない部材が使用される可能性があります。そうすると、システムの動作に問題が生じてしまうかもしれません。それだけでなく、患者への影響を含むいくつかのリスクを抱えることになります。
偽造された消耗品は、安全の面で患者に対して深刻な脅威をもたらします。非正規の薬剤カートリッジを使用すると、投薬量の精度が損なわれてしまうかもしれません。そうすると、治療の効果だけでなく患者の健康にも影響が及ぶおそれがあります。また、ポンプで使用される部品は液体の汚染による損傷に対して脆弱です。輸液ポンプでは、従来型の電気機械的なインターフェースが広く使用されています。つまり、物理的な接続に依存しています。それらに経年劣化が生じると、液体が漏れて内部の素子が破損してしまうかもしれません。それに対し、NFC技術を利用すれば非接触のインターフェースを実現できます。つまり、物理的なインターフェースに伴うリスクを排除することが可能になります。それだけでなく、ポンプと消耗品の間のセキュアな通信チャンネルを確保できるという重要なメリットが得られます。
本稿で紹介するのは、図1に示すソリューションです。このシステムでは、MAX66301をNFCのリーダーとして使用します。NFCのタグとして使用するのはMAX66250です。このようなシステムにより、上述した脆弱性に包括的に対処することができます。MAX66301は、ポンプで使用するカートリッジのバレル内に組み込まれます。同ICの駆動に利用されるのはマイクロコントローラ「MAXQ610」です。このマイクロコントローラは、ポンプの作動を管理する役割も担います。一方、薬剤カートリッジにはNFCのタグであるMAX66250が付加されます。カートリッジの外部に取り付けられることもあれば、カートリッジ内に直接埋め込まれることもあります。ポンプにカートリッジを挿入すると、リーダー（MAX66301）がタグ（MAX66250）との間でチャレンジ＆レスポンスの認証プロセスを開始します。ポンプは、その認証が成功した場合にだけ作動します。つまり、純正カートリッジ以外は使用できない状態になるということです（図2）。
このソリューションは、ロバストな認証機能を提供します。それだけでなく、有効期限の管理機能と使用状況の追跡機能をサポートします。MAX66250は、不揮発性のデクリメント専用カウンタを内蔵しています。この17ビットのカウンタは、認証を伴う読み出し機能を備えており、1回だけ設定が可能です。システムでこれを利用すれば、カートリッジの有効期限や使用限度を確実に遵守できます。例えば、有効期限については、経過した時間または使用回数に基づいて判定可能です。その判定結果に従えば、安全な期間内に消耗品を交換できることになります。それに関連するデータは、カートリッジの製造日、使用開始日、総使用回数といった詳細な情報と共に、EEPROMにセキュアな形で保存されます。このストレージは暗号を用いることで保護されています。暗号と認証を活用すれば、適切な権限がない限りデータの改変／読み出しは行えない状態にすることが可能になります。つまり、改ざんを防止しつつ、外部接続を使用することなく、監査が可能な使用履歴を提供できるようになるということです。
このシステムでは、NFC技術が適用されていることから安全性と信頼性が高まります。それだけでなく、医療従事者や患者に対しては操作が容易になるというメリットがもたらされます。また、NFCでは通信用の物理的なコネクタを使用しないので、摩耗や損傷を最小限に抑えられます。加えて、非接触で通信を行うことから、内部の液体が汚染される可能性が低くなります。言い換えれば、ポンプ内の重要な部品に問題が生じにくくなるということです。更に、NFCに対応するソリューションにより、カートリッジをシームレスかつセキュアに交換することが可能になります。ユーザとしては、最小限の労力でポンプの機能を維持できることになります。
期限切れの消耗品を自動的に無効化するのは、必ずしも現実的な対処法ではないのかもしれません。しかし、システムから明確な警告を発することにより、交換が必要なことをユーザに認識させられます。深刻な状況が生じた場合、ポンプはバイパスが可能な遮断を強制的に実行します。そして、有効なカートリッジが取り付けられるまで作動しない状態になります。このような柔軟性の高いアプローチにより、安全性と使い勝手のバランスをとることができます。医療提供者としては、安全性を損なうことなく患者のケアを優先することが可能になります。
輸液ポンプのセキュリティについては、MAX66301/MAX66250によって新たな基準が確立されます。両ICを利用すれば、重大な脆弱性に対処すると共に、使いやすく汚染に強いシステムを構築することが可能になります。図1に示したソリューションは、セキュア認証技術によって医療分野を変革できることを示す好例です。このソリューションは、患者の安全性を向上させると共に、信頼性の高い運用を可能にします。
【事例2】民生用の浄水フィルタ
事例1では、医療用の輸液ポンプを対象としたソリューションを紹介しました。それと同様の原理に基づくものとして、ここではNFCに対応する民生用の浄水フィルタの事例を取り上げます。そのソリューションは、冷蔵庫の浄水システムに適用するためのものです。冷蔵庫の浄水システムは、輸液ポンプと同様に浄水フィルタという消耗部材に依存しています。品質と安全性を維持するためには、このフィルタを定期的に交換しなければなりません。しかし、このシステムも医療用の輸液ポンプと同様の課題を抱えることになります。例えば、偽造された消耗品に適切に対処できるようにしなければなりません。また、認証用のメカニズムが用意されていないことがあります。更には、使用状況や有効期限の追跡手段が不十分なケースもあります。
NFCに対応する浄水システムでは、NFCのリーダー（MAX66301）を浄水フィルタのハウジングに実装します。一方、NFCのタグ（MAX66250）は浄水フィルタのカートリッジに組み込みます。それにより、正規のフィルタだけを使用できる状態になります。このシステムでは、新しいフィルタが挿入されると、NFCのリーダーとタグの間でチャレンジ＆レスポンスの認証プロセスが開始されます。認証に成功したら、システムはフィルタが正当なものであると判断し、水が流れるように制御を行います（図3）。
輸液ポンプと浄水フィルタの設計には、共通する重要な特徴があります。それは、円筒形のソレノイド・アンテナという革新的な手法を採用しているというものです。それにより、NFC用のトロイダル（ドーナツ型）な磁界が生成され、リーダーとタグの間でロバストな通信が実行されます。そのトロイダルな磁界を使用することから、曲面上における信頼性の高い認証が実現されます。つまり、リーダーとタグのアンテナの間で正確な位置合わせを行う必要はありません。カートリッジのタグから一定の距離を置いた位置でソレノイド・アンテナを円筒形のホルダに巻き付けることにより、タグの向きに依らずシームレスな通信を実施することが可能になります。
MAX66250をタグとして使用することにより、有効期限の管理と使用状況の追跡の機能をサポートできます。それだけでなく、更なる機能の追加を図ることも可能です。MAX66250は、先述したデクリメント専用カウンタを備えています。これを利用することで、有効期限に基づく運用を強制的に適用したり、濾過された水の総量に基づいて使用状況を追跡したりすることが可能になります。セキュアなEEPROMには、設置日、使用開始日、総使用量の履歴といった重要なデータを保存できます。つまり、メンテナンスや交換に関連する包括的な記録が得られるということです。EEPROMに保存されたデータは、暗号化のメカニズムによって保護されます。そのため、権限のない第三者からのアクセスや改ざんなどを阻止できます。
運用の面から見ると、NFCに対応する設計によって耐久性と信頼性が向上します。このソリューションでは、通信用の物理的なコネクタを使用しません。そのため、従来の接続方法では経年劣化が問題になる可能性がある湿度の高い環境においても、摩耗や損傷を最小限に抑えられます。また、NFC用のトロイダルな磁界により、アンテナの正確な位置合わせを行う必要がなくなります。これらの特徴により、一貫性のある認証性能が維持されます。加えて、ユーザによるカートリッジ交換の作業が大幅に簡素化されます。
フィルタの有効期限が近づいたり、安全に使用できる限度を超えたりしたとします。その場合には、冷蔵庫のインターフェースまたは接続用のアプリを介し、システムからユーザに対して警告を発することができます。深刻な状況が生じた場合には、バイパスが可能な遮断を強制的に実行し、有効なフィルタが取り付けられるまで水流を止めることも可能です。このようなシステムにより、水質を維持しつつ、必要に応じてフィルタを交換できるという柔軟性が得られます。
この設計では、医療用の輸液ポンプで使用したセキュア認証のフレームワークを浄水フィルタ向けに拡張しています。それにより、MAX66301とMAX66250を組み合わせることで得られる汎用性と適応性を有効に活用しています。また、曲面上のトロイダルな磁界という概念を導入することで、設計が更に洗練されています。この設計により、ロバストな認証、有効期限の管理、使用履歴の追跡といった機能を、日常的に使用される家電製品にシームレスに統合できることが実証されました。NFCに対応するこのシステムは、水を濾過するための技術に大きな進歩をもたらします。具体的には、安全性、真正性、使いやすさが得られるようになります。
【事例3】産業用のHEPAフィルタ
NFC技術は汎用性の高さを特徴とします。その効果により、輸液ポンプや浄水フィルタの例では円筒形の設計を採用することができました。この汎用性の高さは、産業用のHEPAフィルタ（High Efficiency Particulate Air Filter）でも実証されています。NFCを活用すれば、産業用のHEPAフィルタにおいて、平面上でセキュアかつ信頼性の高い統合を実現することが可能です。HEPAフィルタは、クリーンルーム、医薬品の製造現場、食品の加工場といった環境の空気の質を維持するために不可欠な要素です。過酷な条件にさらされることが多いのにもかかわらず、HEPAフィルタの性能は安全性とコンプライアンスに直接影響を及ぼします。従来は、同フィルタの汚れを測定するために光センサーなどを使用した追跡メカニズムが使われていました。しかし、それだけでは品質と安全性を十分に確保することはできません。
光をベースとするセンサーには共通の課題があります。それは不正な操作のターゲットになりやすいというものです。フィルタを洗浄して再度設置すると、センサーが使用状況のデータを誤ってリセットしてしまう可能性があります。これについては、高いコスト効率が得られるように感じる方もいるかもしれません。しかし、実際にはフィルタの効果が大幅に低下してしまいます。しかも、劣化したフィルタを使用し続けると、ユーザが危険にさらされるおそれがあります。この脆弱性に対処するための手段として、NFCに対応するソリューションを利用できます。つまり、セキュア認証によって第三者による改変を防いだり、使用状況を追跡するメカニズムを統合したりすることが可能になります。
図4に示したのは、NFCを採用して設計したHEPAフィルタの例です。NFCのリーダー（MAX66301）をフィルタのハウジングに実装し、NFCのタグ（MAX66250）をフィルタの平らな面に組み込んでいます。平らな形状を活用することにより、定められた位置に確実にタグを取り付けることができます。その結果、ロバストで一貫性のある通信が実現されます。フィルタの真正性は、チャレンジ＆レスポンスの認証プロセスによって事前に確認されます。それにより、正規のフィルタしか使用できない状態になります。光をベースとするセンサーを使用する場合とは異なり、タグに保存された使用状況のデータは暗号化によって保護されます。そのため、改ざんや不正な改変などを防止できます。
このシステムではMAX66250を採用しています。そのため、HEPAフィルタの使用状況を正確に追跡することが可能です。その結果、フィルタを適切な時間間隔で交換できるようになります。この実装では、セキュアなEEPROMに保存された認証済みのデータを基にフィルタのライフサイクルを直接追跡します。汚れの蓄積といった環境面の測定結果に頼るのではありません。保存される情報には、フィルタの設置日、使用開始日、総稼働時間や総稼働サイクルのデータが含まれています。それにより、信頼性が高く、改ざんが不可能な、使用状況に関する記録が得られます。この記録は、暗号を用いた認証を経ることなく変更されることはありません。このアプローチにより、フィルタの再使用に関するリスクが排除されます。つまり、劣化したフィルタがシステムで再使用されることはありません。
NFCを平面上に実装することから、運用の面でいくつかのメリットが得られます。通信用の物理的なコネクタや機械的なインターフェースを使わないので、振動の多い産業分野の環境においても耐久性が得られます。また設置も容易になります。加えて、NFCのリーダーとタグの設計はコンパクトです。そのため、大きな変更を加えることなく、既存のフィルタのハウジングにシームレスに統合できます。
NFCを利用した認証機能と追跡機能を実装することで、空気の品質基準を遵守した産業用のHEPAフィルタを実現することが可能になります。また、偽造品や不適切にメンテナンスされたフィルタが使われることによるリスクからユーザを保護することができます。このソリューションでは、NFC技術の動的な性質を拡張しています。完成したソリューションは、様々な形状や環境に対するNFCの適応性を示す好例だと言えます。MAX66301とMAX66250の組み合わせは、円筒形のカートリッジにも平坦なフィルタにも適用できます。そのような形で堅牢性と柔軟性に優れる基盤が提供されます。結果として、多様なアプリケーションの安全性、信頼性、運用効率を向上させることが可能になります。
まとめ
本稿では、セキュリティ、安全性、コンプライアンスが非常に重要なアプリケーションに注目しました。そうしたアプリケーションに対しては、MAX66301とMAX66250を組み合わせて使用する方法が有効です。それにより、セキュアな認証、有効期限の管理、使用状況の追跡といった機能を提供するNFC対応の包括的なソリューションが得られます。本稿では、具体的な活用事例として、医療用の輸液ポンプ、民生用の浄水フィルタ、産業用のHEPAフィルタを取り上げました。上記のソリューションにより、それぞれに固有の脆弱性に対処することができます。それだけでなく、製品の完全性を実現することも可能になります。更に、ユーザの安全性を確保することにも貢献します。NFCに対応するセキュア認証システムは、様々な業界においてセキュアで効率的な運用を実現するための新たな基準を確立することになるでしょう。