鍵アテステーション
ある鍵がハードウェアの内部で生成され、外部に取り出せないことを、そのハードウェア自身が署名して示す証明。
公開鍵を見ても、対応する秘密鍵がどこにあるかは分からない。HSMの中かもしれないし、誰かのノートPCにあるテキストファイルかもしれない。アテステーションを使うと、モジュールが「デバイス内で生成された」「エクスポート不可」といった鍵の属性を述べた文書を発行し、製造元まで証明書チェーンがたどれるデバイス鍵で署名する。
認証局はこれを使い、コード署名用の鍵が本当にハードウェア内にあることを確認する。CA/Browser Forumは2023年からこれを要求している。YubiHSM、クラウドHSMサービス、Android Keystoreがそれぞれ同種の仕組みを備える。信頼は結局メーカーのルート鍵に懸かっているので、アテステーションは「なぜあなたを信頼するのか」という問いに答えるのではなく、一段上に移すだけである。