ゼロトラストセキュリティを強化するNVIDIAのDPU：Dell製サーバ「PowerEdge」に搭載予定（2/2 ページ）

[Gary Hilson，EE Times]

マルチクラウド環境、エッジでのセキュリティを増強する

　CPUとGPUの負担を取り除くことに加え、DPUのプログラマビリティは、マルチクラウド環境のセキュリティとエッジでのセキュリティを増強する役割を果たすという。Deierling氏は「加えて、分散型アプリケーションの需要も高まっている」と述べた。

　単一のモノリシックなアプリケーションに代わり、マイクロサービスがデータセンター全体にわたり広がっており、エッジではさらなる計算が行われている。これら全てについて、安全性を確保する必要がある。

　ゼロトラストセキュリティが効果を示すのはそうした領域である。

　Deierling氏は「ゼロトラストセキュリティは、データセンター内のあらゆることが信頼できないことを意味する。つまり、全てのユーザー、デバイス、データを認証／検証する必要があるということだ」と述べた。

　NVIDIAのプラットフォームは、「デバイスがゼロトラストセキュリティの基盤である」というアプローチを取っている。ロードされる全てのファームウェアは、ブート環境と実行環境で認証されるため、データセンターを動作させる全てのものが信頼できるという考え方だ。

　もちろん、ハードウェアのセキュリティ保護には暗号化が不可欠だ。しかし、Deierling氏が指摘するように、暗号化は非常に高コストのCPU集約型のプロセスである。

　BlueField-2 DPUは、暗号化と復元をハードウェアで引き継いで高速化することが可能で、データの伝送中と保存されている状態の両方で、全てのデータ（East-Westトラフィック：データセンター内のサーバ間の通信）を暗号化できる。

BlueField-2 DPUは、VMware vSphere 8をベースにした仮想化ワークロードのパフォーマンスを向上させる目的で、DellのPowerEdgeシステムに導入される予定［クリックで拡大］ 出所：NVIDIA

　同プラットフォームはこの他にも、GPUとDPUを連携してAIを適用することで、人間が入力できない程の素早いパスワード入力などの異常な動作を検出する機能も搭載している。DPUとAIを組み合わせることで、ユーザーがデータセンターとどのようにやりとりしているかを調べ、データが暗号化されている場合でも異常な動作を検出できるという。

デバイスレベルでのセキュリティ

　概念としてのゼロトラストは、主にIT管理者の領域だった。それは単なるテクノロジーではなく、ベストプラクティスやプロセスを含むサイバーセキュリティの哲学である。ゼロトラストの概念の核心は、ユーザーがアプリケーションやデータ、サービスにアクセスできるのは、業務の遂行に必要な場合のみであることだ。しかし、米国の産業用制御システム（ICS）への攻撃が激化し、重要インフラ、特に公益事業者が狙われている中で、ハードウェアレベルでの運用技術（OT）のセキュリティ保護がますます重要になっている。

　“ゼロトラスト”という名称を使っていなくても、メモリであれネットワークインタフェースカードであれ、デバイスレベルでセキュリティを追加する企業は増えている。メモリのセキュリティ機能は、エッジコンピューティングやIoT（モノのインターネット）、コネクテッドカーが爆発的に成長するずっと前から普及が進んでいた。SDカードの「S」は「secure」を表しており、E2PROM（Electrically Erasable Programmable Read-Only Memory）はクレジットカードやSIMカード、キーレスエントリーシステムに採用されている。

　フラッシュベースのSSDには何年も前から暗号化が搭載されているが、ドライブのパフォーマンスにどのように影響するかについては懸念があった。米国の組み込みメモリベンダーであるVirtiumなどの自己暗号化ドライブは、ホスト上でソフトウェアを実行する必要がないAES（Advanced Encryption Standard）を使用した専用の暗号化エンジンを搭載している。抵抗変化メモリ（ReRAM）を手掛ける米国のCrossBarは最近、ReRAMとPUF（物理複製困難関数）技術を使用したセキュアコンピューティングに焦点を当てている。

　ハードウェアベースのセキュリティ機能は、接続されている全てのシステムの必然性を反映している。ハッカーの改ざんによって1つのデバイスが不正アクセスされると、“車輪のついたサーバ”とも呼ばれる自動運転車や、5G（第5世代移動通信）ネットワークで接続された産業機器、医療機器、IoTデバイスなど、さまざまなコンピューティングプラットフォームに影響が及ぶ恐れがある。

　デバイス側に最初からセキュリティを組み込むことは、「DevSecOps」のコンセプトにも合致する。このコンセプトでは、開発者は、後付けでセキュリティを組み込むのではなく、ソフトウェアアプリケーションの開発プロセスの最初の段階でセキュリティについて考えるというマインドセットを持っている。また、セキュリティ機能がアプリケーションのパフォーマンスを低下させる可能性も低くなる。NVIDIAがセキュリティの役割をDPUに移し、GPUとCPUの負担を軽減するというアプローチは、この哲学と合致するものだ。

【翻訳：青山麻由子、滝本麻貴、編集：EE Times Japan】

原文へのリンク