2414149_ja-JP

是

SE052の採用に関する質問：EdDSA/X25519の可用性、非FIPSバリアントのロードマップ、アプレットの制限

こんにちは、

現在、 SE050E2 (アプレット 7.2.0、dieはATRで「SE051」を報告し、AppletConfig 0x3F9F)は2つの設計で報告されており、次のハードウェアリビジョンのために SE052 を評価中です。コミットする前に、SE052のデータシート(Rev 1.5)、AN14028、AN14277、AN13904、AN12543(Rev 4.5)、Plug & Trust MWのドキュメント(AN13030 Rev 2.7)を読み、いくつかの点が決定を妨げています。ご説明いただければ幸いです。

私たちの2つのユースケース:

メッシュ/トランスポートノード(LoRa + イーサネット)で、その識別子は X25519 + Ed25519 キーペアで生成され、SE内で使用されます(ECDH経由 ECDHGenerateSharedSecret on ID_ECC_MONT_DH_25519経由、署名 EdDSASign with ED25519PURE_SHA_512経由)。
署名デバイス secp256k1 ECDSA （事前計算済みダイジェスト）および Ed25519 ユーザーIDで保護されたセッションを使用して、異なるターゲットに対して使用します。

質問:

バリエーション。AN14277では、SE052F（OEF B501、FIPS 140-3）が「リリースされた唯一のバリアント」であり、GetInfoではEDDSA/DH_MONTが除外されていると表示されます。FIPS非準拠のSE052構成（CONFIG_EDDSAおよびCONFIG_DH_MONTが有効になっているSE050E/SE051に相当）に関するロードマップはありますか？もしそうなら、おおよその期間とOEF(排卵期間)は教えてください。
SE052FでEdDSA / Montgomery DHを有効にします。SetAppletFeaturesはNXP所有のRESERVED_ID_FEATURE(0x7FFF0204)を必要とするため、SE052FでEd25519/X25519を有効にするカスタマーパス(例:EdgeLock 2GOによるカスタム構成)をFIPS承認モードの喪失を受け入れる方法はありますか?それとも、FIPS OSビルドは、アプレットの機能ビットに関係なく、それらの曲線をブロックするのでしょうか？
FIPSとEdDSA。FIPS 186-5はEdDSAを承認している。将来的にSE052アプレット/OSバージョン(SEMS Liteや新しいOEF経由で)で、Ed25519とX25519をサポートしつつFIPS 140-3の承認を維持しつつ計画はありますか?
APDUスループット制限。AN14028 §2.3.1 / AN13904 §8.4 では、1,000,000 APDU / 34 日間の制限 (SW 66A6) と、500,000 APDU ごとに実行される FIPS セルフテストについて説明しています。これらはFIPS認証のみに関連するものであり、仮にFIPS認証を受けていないSE052バリアントが存在した場合、これらの機能は存在しないのでしょうか？RST_Nによるリセットだけで、NVMに影響を与えることなくカウンタをクリアできますか？
署名のユースケースのためのApplet機能ロードマップ。AN12543 Rev 4.5では以下の内容は見つかりませんでした。7.2.x向けに予定されているものはありますか？ラインか、それともFUTUREのアプレットか?
- SE内部のハード化された子鍵導出(スカラー加算法n、BIP32スタイル)により、派生秘密鍵がチップから出ることはない。
- secp256k1 の Schnorr 署名 (BIP340)。
- デターミニスティックECDSAノンセ(RFC 6979)および/または低S正規化。
- 事前にハッシュされたEd25519(Ed25519ph)またはストリーミングEdDSAモードを使用しており、IFSC(0xFE)より長いメッセージはT=1の連鎖に依存しません。
アプレット7.2.22におけるUserIDの動作。SE050E2(7.2.0)では、TAG_MAX_ATTEMPTSが尽きたUserIDオブジェクトは削除できなくなり(DeleteSecureObject → プラットフォームSCP03上でも削除できず)、試行カウンター属性は常に0と表示されることを観察しました。表1 AN14028、属性は最大試行回数を示していることを示しています。2022年7月2日：（a）残りのカウンター／使用済みカウンターは報告されますか？(b) 使い果たされたUserIDはSCP03プラットフォームのユーザーによって削除可能か?
ECDH NVMの摩耗（現行のSE050E2にも適用されます）。AN12543 §4.10.3 によると、MONT_DH_25519 の ECDHGenerateSharedSecret は、公開鍵がバイト配列 (TAG_2) として渡された場合は呼び出しごとに NVM に書き込みますが、一時的なECPublicKey オブジェクト (TAG_3) を介して渡された場合は書き込みません。これはSE050Eのアプレット7.2.0にも当てはまること、そして呼び出し間にWriteECKeyで一時的なオブジェクトの内容を更新してもNVM自体は書き込まれないということを確認していただけますか?
長寿。このSE050E2はNXPの製品寿命プログラムでカバーされているのか、また予定されているEOL(終了終了)はありますか?これは、次回の改訂でもSE050E2を使い続けるかどうかを決定するものです。

事前に感謝いたします。

SE050

Re: SE052 adoption questions: EdDSA/X25519 availability, non-FIPS variant roadmap, applet limits

こんにちは、 @cvaldess さん。

ご連絡いただきありがとうございます！一つずつ説明していきましょう。

Q1 — 非FIPS SE052バリアントロードマップ

ご指摘のとおり、SE052F（OEF B501）は現在リリースされている唯一のSE052バリアントであり、そのAppletConfig 0x26F2にはEdDSAまたはDH_MONTは含まれていません。具体的なロードマップのスケジュールは公開の場で共有できませんが、NDAに基づく要件について話し合うために、地元のDistiやNXP FAEに連絡することをお勧めします。そこではロードマップの詳細を直接確認できます。

Q2 — SE052FでEdDSA / Montgomery DHの有効化

SE052Fではこれらのアルゴリズムを有効にする顧客ルートはありません。RESERVED_ID_FEATURE (0x7FFF0204)はNXP所有のオブジェクトであり、お客様によって変更や削除はできません。EdgeLock2GOはこれを有効化する仕組みではありません。より根本的には、SE052F FIPS 140-3 OSビルドでは、認証された構成の一部としてTwisted Edwards(Ed25519)およびMontgomery(Curve25519)のOS/ハードウェアレベルでの曲線サポートが除外されています。SEMS Lite経由でカスタムアプレットを読み込んでも、OSレイヤーに存在しない曲線を再有効化することはできず、AN14277が明示的に指摘するように、モジュールはFIPS準拠でなくなります。

Q3 — 将来のSE052アプレット/OEFにおけるFIPS 140-3 + EdDSA

FIPS 186-5(2023年2月)はEdDSAを承認しているため、基準の基盤は存在します。ただし、新しいFIPS 140-3認証の下でEd25519/X25519をサポートするSE052 OEFは、CMVPの再認証申請を全面的に行う必要があります。私たちは公開の場で計画やスケジュールを確認する立場にはありません。この件に関する秘密保持契約（NDA）のご相談については、お近くの販売代理店またはNXPのFAEまでお問い合わせください。

Q4 — APDUスループット制限(SW 66A6)

はい、1,000,000 APDU / 34日間のカウンターと500,000 APDUの定期自己診断テストは、SE052Fに特有のFIPS 140-3準拠要件です。仮説上の非FIPS SE052変異体は、これらの制約の対象とはならない。

リセットに関して：T=1oI2Cチップリセット（RST_Nトグルまたは電源サイクル）が、文書化された復旧手順です。APDUカウンタはセッションに常駐するRAM内の値であり、NVMへの書き込みなしにコールドリセットによってクリアされます。Plug & Trust MWには、phNxpEse_resetを使用してこの復旧を正確に実証するapdu_throughput_limitデモが含まれています。メッシュ/トランスポートノードのユースケースでは、持続時間約340 APDU/分であれば実際にはこの制限は気にならないはずですが、ホストドライバーが自動リセットで SW_66A6 をスムーズに処理できるようにしてください。

Q5 — アプレット機能ロードマップ（BIP32、Schnorr、RFC 6979、Ed25519ph）

あなたが挙げた機能――BIP32強化チャイルドキー導出オンチップ、Schnorr/BIP340、デターミニスティックECDSAナンセス(RFC 6979)、低S正規化、Ed25519ph―はいずれもAN12543 Rev 4.5や現在のSE05xドキュメントには含まれておらず、7.2.xにもこれらの公表はありませんライン。地元のDisti/NXP FAEを通じて正式な製品強化リクエストを提出することをお勧めします。そうすれば、当社の製品チームが追跡できるようにしてください。

Ed25519のT=1チェーンに関する注意点:このアプレットはIFSC(0xFE)を超えたAPDUデータに対するマルチブロックT=1チェインをサポートしているため、メッセージ長はトランスポート層で処理され、EdDSA操作の機能的制限にはなりません。

Q6 — アプレット7.2.22におけるユーザーIDの動作

（a）カウンターの可読性： GetAttributes レスポンスは、残りのカウントではなく、設定されたTAG_MAX_ATTEMPTS値（最大値）を返します。現在のアプレットバージョンでは、内部デクリメントカウンターは直接読み取り可能な属性として公開されていません。

(b) SCP03 を介した使用済み UserID の削除: 7.2.0 で確認された、ロックされた UserID の削除時に発生する 6986 エラーは既知の制限事項です。AN13904は、プラットフォームSCP03削除の文脈で7.2.22におけるこの振る舞いの変更を明示的に記録していません。SE052F評価用ハードウェア（またはバージョン7.2.22が動作するSE051サンプル）で直接検証することをお勧めします。回避策として、ロックされたユーザーIDがオブジェクトマネジメントをブロックした場合、プラットフォームSCP03を経由した RESERVED_ID_FACTORY_RESET による工場出荷時リセットが確認済みのパスとなりますが、これによりすべてのユーザーオブジェクトが削除されるため、オブジェクトレイアウトの計画が重要です。

Q7 — ECDH NVMの摩耗（アプレット7.2.0搭載のSE050E）

確認済み。AN12543では、 ID_ECC_MONT_DH_25519上のECDHGenerateSharedSecretは、公開鍵がバイト配列(TAG_2)として渡された場合にのみ、呼び出しごとにNVM書き込みを引き起こすことが明示的に述べられています。公開鍵が一時的な ECPublicKey オブジェクト (TAG_3) を介して渡される場合、NVM への書き込みは発生しません。この挙動は、アプレット7.2.0を搭載したSE050Eにも当てはまります。SE050E2は同じ7.xアプレット世代(GetInfo ATRが確認した通りSE051ダイとアプレットファミリー)を使用しています。

WriteECKey 一時オブジェクトへの書き込みはSRAMのみに行われるため、呼び出し間で一時オブジェクトのコンテンツを更新してもNVMの摩耗は発生しません。ノードに推奨されるパターンは次のとおりです。起動時に永続的な一時的 ECPublicKey を 1 つ割り当て、各 ECDH 操作の前に WriteECKey (SRAM のみ) を呼び出し、次にその一時的オブジェクトを参照する TAG_3 を使用して ECDHGenerateSharedSecret を呼び出します。これにより、通話ごとのNVMの摩耗を完全に回避できます。

Q8 — SE050E2製品の寿命

SE050E2は2022年に発売されました。NXPの製品寿命プログラムは、登録製品に対して発売日から最低10年または15年の利用期間を約束しています。SE050E2の最終的な加入状況と継続期間については、 NXP製品長寿ページ (完全な表にはサインインが必要)をご確認いただくか、NXP FAEに確認をお願いください。

あなたの2つのユースケースに対する全体的なおすすめ

あなたの設計はEd25519(EdDSASign)やX25519(ECDHGenerateSharedSecret MONT_DH_25519)に依存しているため、 SE052Fは現在あなたの暗号要件を満たしていません。SE050E2 / SE051ファミリは、これらのアルゴリズムを搭載したSE052バリアントが登場するまで適切な選択肢として残ります。NXP FAEに長期使用状況を確認し、非FIPS SE052相当製品の製品要件を登録することをお勧めしますSE050E2。

これが決定事項の明確化に役立つことを願っています。ご質問がありましたら、お気軽にお知らせください。

すてきな一日を、
カン

-------------------------------------------------------------------------------
注記：
この投稿があなたの質問への回答になっている場合は、「正解としてマーク」ボタンをクリックしてください。ありがとうございます!
- 前回の投稿から7週間Threadをフォローしており、その後の返信は無視しています
もし後で関連する質問があれば、新しいThreadを開き、閉じたThreadを参照してください。
-------------------------------------------------------------------------------