セキュアブートとファームウェア更新｜IoT中級

一言でいうと、セキュアブートは「起動時に偽物を動かさない」仕組み、ファームウェア更新は「出荷後に弱点を直す」仕組みです。

IoT機器は長く使われるため、出荷後に脆弱性が見つかるのは避けられません。一方で、更新の仕組みがあると、攻撃者が偽のファームウェアを送り込む入口にもなりえます。そこで、正規のメーカーが署名したものだけを受け入れ、起動時にも改めて確かめる、という二重の守りが必要になります。

IETF の RFC 9019（2021年）は、資源の限られた IoT機器向けのファームウェア更新の構成を示し、更新に認証と完全性の保護が必要だとしています。米国 NIST の SP 800-193（2018年5月）は、ファームウェアを守る考え方を「保護・検知・復旧」の3つに整理しています（いずれも2026年9月27日確認）。

セキュアブートは、信頼を一段ずつ受け渡していく仕組みです。代表的な流れは次のとおりです。

1. 1電源を入れると、書き換えできない ROM などに置かれた最初のコード（信頼の起点）が動く。
2. 2信頼の起点は、あらかじめ保管したメーカーの公開鍵で、ブートローダの署名を検証する。
3. 3検証に成功したブートローダが、次に OS（またはファームウェア本体）の署名を検証する。
4. 4同じように、次に動かすプログラムを順に検証してから実行する。
5. 5どこかで署名が合わなければ、その先を実行せず、起動を止めるか、保存しておいた正常な版で起動する。

要点は、最初の一段だけは検証されずに信頼されることです。だからこそ、その部分と公開鍵は書き換えられない場所に置き、ハードウェアで守ります。最初の一段を書き換えられると、それ以降の検証はすべて意味を失います。

署名の検証には、公開鍵暗号とハッシュ関数を使います。メーカーは秘密鍵で署名し、機器は公開鍵で確かめます。証明書や署名の考え方は電子証明書とPKIとはで解説しています。

OTA（Over The Air）更新は、ネットワーク経由で機器のファームウェアを書き換える方法です。台数が多く、現地に行きにくい IoT機器では欠かせません。安全に行うための主な対策を表にまとめます。

表の最後の行が取り違えやすい点です。暗号化は中身を読ませない対策で、書き換えを見つける対策ではありません。改ざんの検出には署名とハッシュを使います。

機器に含まれるソフトウェア部品の一覧を管理しておくと、どの機器に更新が必要かを判断しやすくなります。この考え方は SBOM の記事で扱っています。

MCPC の公式ページでは、IoTシステム技術検定 中級（80問・90分・4者択一・CBT）の出題カテゴリ「IoT情報セキュリティ対策技術」の比率が20〜25%と図で示され、内訳に「対策技術」が挙がっています（2026年9月27日確認）。当サイトでは、公式テキスト『IoT技術テキスト 第4版』の第7章「IoT情報セキュリティ」がこの範囲に当たると推定しています（章名からの当サイトの判断です）。

出題頻度は公表されていないため、次は考えられる観点の例です。

• 目的の区別：セキュアブートは改ざんの検出、暗号化は秘匿、と役割を取り違えていないか。
• 鍵の使い分け：署名はメーカーの秘密鍵、検証は機器の公開鍵。
• 信頼の起点：検証が書き換えられない場所から始まる理由。
• 更新の安全策：署名の検証、古い版への書き戻しの防止、失敗時の復旧。

試験の形式・日程はIoTシステム技術検定 中級とはにまとめています。

選択肢が左の列のように書かれていたら、右の問いで確かめてください。

IoTを狙う攻撃全体の流れはIoTの脅威と脆弱性で確認できます。

セキュアブートの説明として、最も適切なものはどれか。

1. 1起動時に署名を検証し、改ざんされたプログラムを動かさない
2. 2起動時にファームウェアを暗号化し、中身を読まれないようにする
3. 3起動時に通信を監視し、外部からの不正な接続を遮断して守る
4. 4起動時に処理を省き、電源を入れてから動くまでの時間を縮める

正解：1。セキュアブートは、次に動かすプログラムの署名を順に検証し、正規のものだけを起動する仕組みです。

2は暗号化による秘匿の説明で、改ざんを見つける仕組みとは目的が異なります。3はファイアウォールなどの通信の制御の説明です。4は高速起動の説明で、安全性とは関係がありません。

次の記述ア・イの正誤の組合せとして、正しいものはどれか。

ア：ファームウェアの署名は、メーカーが保管する秘密鍵で作成する。

イ：機器は、自分の中に保存した秘密鍵を使って署名を検証する。

1. 1ア：正　イ：正
2. 2ア：正　イ：誤
3. 3ア：誤　イ：正
4. 4ア：誤　イ：誤

正解：2。アは正しい内容です。イは誤りで、機器が検証に使うのはメーカーの公開鍵です。多数の機器に秘密鍵を配ると、一台から漏れただけで偽の署名を作られてしまいます。

1と3はイを正しいとしている点、4はアまで誤りとしている点で当てはまりません。

OTA 更新で、改ざんされた更新ファイルの適用を防ぐ対策として最も適切なものはどれか。

1. 1更新ファイルを暗号化してから、機器へ送るようにしておく
2. 2更新ファイルの署名を、機器が書き込む前に検証しておく
3. 3更新を配る時刻を、利用の少ない夜間に限るようにしておく
4. 4更新ファイルの容量を、差分だけにして小さくしておく

正解：2。署名を検証すれば、正規の発行元から届き、途中で書き換えられていないことを確かめられます。

1は中身を読ませないための対策で、書き換えの検出にはなりません。3は利用者への影響を減らす運用上の工夫です。4は通信量を減らす工夫で、改ざんを防ぐ効果はありません。

同じ分野の問題を本番と同じ4択で試したい場合は、登録不要のIoT中級の無料お試し20問で、全問の解説まで確認できます。