【入門編】 TPM 2.0におけるPCR(Platform Configuration Register)の役割と改ざん検知 – 暗号理論・認証基盤 & エンドポイントセキュリティ防御ガイド

「PCの心臓」を守る鍵：TPM 2.0とPCRが実現する「絶対的な信頼」の仕組み

こんにちは！現場で泥臭くインシデントと戦い続けているセキュリティエンジニアです。

今日は、皆さんのPCの中にひっそりと、しかし極めて重要な役割を担って鎮座している「TPM 2.0」という小さなチップのお話をしましょう。「名前は聞いたことがあるけれど、実際何をしているの？」という疑問を、身近な例えを交えて紐解いていきますね。

—

「家の鍵」を預ける「頑固な金庫」の話

想像してみてください。あなたは大切な機密書類を「金庫」に入れて、その金庫を頑丈な玄関に置いています。普通なら鍵さえあれば開きますよね？でも、もしその鍵を「泥棒が家の中に侵入して、勝手に合鍵を作ってコピーしていたら」どうでしょう。

これこそが、セキュリティの世界で最も恐ろしい「OS起動前の改ざん」です。

WindowsやLinuxが立ち上がる前、つまり「家」であるOSが起動するよりも前に、泥棒（悪意ある攻撃者）がメモリを書き換えたり、怪しいプログラムを仕込んだりする。TPM（Trusted Platform Module）は、この「家が建つ前の状態」を常に監視する、めちゃくちゃ頑固で融通の利かない警備員なんです。

PCR：PCの「健康診断の結果」を書き込むノート

TPMの中には「PCR（Platform Configuration Register）」という特殊なレジスタがあります。これは、例えるなら「PCの健康診断記録ノート」です。

PCが電源ボタンを押された瞬間から、BIOS（UEFI）、ブートローダー、OSのカーネルと、読み込まれるすべてのプログラムの「ハッシュ値（指紋のようなもの）」を、このノートに順番に書き込んでいきます。

ここでのポイントは、「一度書いたら消しゴムで消せない（追記しかできない）」という性質です。もし途中で悪意あるプログラムが割り込めば、当然ながら計算されるハッシュ値が変わり、ノートに記録される結果も変わってしまいます。

「封印（Sealing）」：条件付きで鍵を開ける魔法

さて、ここからが本題です。TPMの真骨頂は「Sealing（封印）」という機能にあります。

例えば、ハードディスクを暗号化する鍵をTPMに保管するとしましょう。TPMはこう言います。
「この鍵を渡してほしいなら、PCRの値が正常な時のものと完全に一致していることを証明しなさい」

もし泥棒がOSに細工をして、PCRの記録が正常値とズレていれば、TPMは「お前は信頼できない奴だ！」と判断し、ハードディスクの復号鍵を渡しません。結果として、OSは立ち上がらず、データも守られるわけです。

—

実務で触れる「PCRの構成」を知ろう

開発者やインフラ担当者が扱う際、よく目にするのは「PCR 0」から「PCR 7」あたりの値です。これらは起動プロセスの初期段階を司っています。

PCR 0: システムのファームウェア（BIOS/UEFI）のコード
PCR 7: セキュアブートの状態（これが有効でないと、そもそも保護が成り立ちません）

もし皆さんがサーバーの構成管理を行う場合、以下のような考え方でセキュリティポリシーを設計します。

# Linuxで現在のPCR値を確認する例（tpm2-toolsを使用）
# 起動時の測定値が正しいか、スクリプトで検証する際のロジックイメージです
tpm2_pcrread sha256:0,7 > current_pcr_values.txt

# 正常時の値（ベースライン）と比較する
# もし値が異なれば、システムが改ざんされたと判断してアラートを飛ばす
diff baseline_pcr_values.txt current_pcr_values.txt
if [ $? -ne 0 ]; then
    echo "警告：ブート測定値に異常を検知しました！"
    # ここで自動的に暗号鍵を破棄したり、ネットワークから隔離する処理を記述
fi

私たちエンジニアができること

「難しい設定は苦手…」という方も、まずは「UEFIのSecure Bootを有効にする」こと、そして「TPMを無効化しない」こと。たったこれだけで、先ほどの「頑固な警備員」を雇い入れることができます。

攻撃者は、OSの上のセキュリティソフト（アンチウイルスなど）を無効化する術をよく知っています。しかし、ハードウェアの物理的なチップ（TPM）そのものを偽装するのは、極めてコストが高く、困難です。

だからこそ、私たちは「ソフトだけで守る」のではなく、「ハードウェアの信頼性」に根ざした認証基盤を構築しなければなりません。

—

最後に：セキュリティは「疑うこと」から始まる

TPMのPCRを理解することは、「自分のPCが正しく起動していると、どうやって確信するか？」という哲学的な問いに技術で答えることです。

最初は難しく感じるかもしれませんが、「PCの起動プロセスという物語の、各章のハッシュ値をノートに書き留めている」とイメージしてみてください。物語の途中で改ざんという「嘘」が混ざれば、最後には必ずバレるようになっている。そう考えると、少しだけワクワクしませんか？

皆さんのシステムが、今日も堅牢に守られていることを願っています。また次の記事でお会いしましょう！