データダイオード、デジタル署名、およびmTLSを用いた、信頼できないネットワークを介したSecure 転送

信頼できる環境と信頼できない環境の間でデータを安全に転送することは、特に中継ネットワークが信頼できない場合、大きな課題となります。クロスドメインファイル転送アーキテクチャは、一方向のデータフロー、暗号署名、および相互認証された転送を組み合わせることで、環境間でデータを安全に転送することができます。この設計では、中継ネットワークが敵対的であると想定し、双方向通信を排除することで、データの完全性、真正性、およびシステムの隔離を維持するための、堅牢かつ監査可能なアプローチを提供します。

ドメイン間データ転送システムでは、データを共有するという運用上の必要性と、不正アクセス、データ漏洩、およびコマンド＆コントロール経路を防止するセキュリティ対策とのバランスをとらなければならない。攻撃者が転送ネットワークを監視したり、侵害したりする可能性があるため、セキュリティ対策は従来のネットワークベースの保護手段のみに依存することはできない。

ここで紹介するアーキテクチャは、交通ネットワークが信頼できず、侵害される可能性があるという前提に基づいて設計されており、物理的な隔離と暗号による検証を通じてセキュリティが確保されています。

このアーキテクチャは 3 つのセキュリティゾーンで構成されており、システムはどの時点においても、セキュリティ境界をまたぐ双方向の接続を許可しません。

1. 信頼ゾーン（署名用）
2. 信頼できないトランジットネットワーク
3. 信頼できないゾーンの検証ドメイン

信頼できないドメインでは、受信したファイルに対して暗号による検証が行われます。ダイオードは、データを受け入れる前に、デジタル署名、証明書チェーン、およびポリシー上の制約を検証します。検証に失敗したデータは拒否され、ログに記録されます。

このドメインにおける信頼は、承認された公開鍵または証明書、ならびに検証ロジックおよびポリシーの適用に限定されます。その結果、ネットワーク層やトランスポート層に対しては一切信頼が置かれません。

このアーキテクチャは、強力なセキュリティ保証を提供します。たとえトランジットネットワークが完全に侵害されたとしても、攻撃者は信頼されたデータを偽造したり、信頼されたシステムに影響を及ぼしたりすることはできません。主なセキュリティ保証には、以下のものが含まれます：

• 物理的に強制された一方向のデータフロー
• 転送方式に依存しない暗号的完全性および真正性
• インタラクティブな攻撃対象領域の排除
• 傍受、再送信、改ざんに対する耐性
• 職務と監査範囲の明確な区分