DICE (Device Identifier Composition Engine)

개요

DICE(Device Identifier Composition Engine)는 저사양 임베디드 시스템이나 IoT 디바이스에서도 보안 부팅, 장치 인증, 키 생성 등의 보안 기능을 구현할 수 있도록 설계된 하드웨어 기반 신뢰 실행 모델입니다. Trusted Computing Group(TCG)에서 제안한 경량 보안 아키텍처로, TPM(Trusted Platform Module)이 없는 환경에서도 디바이스 고유 식별자와 보안 파생 키를 생성할 수 있어, 저전력·비용 제한 환경에서의 IoT 보안 표준으로 주목받고 있습니다.

---

1. 개념 및 정의

DICE는 하드웨어 내 보안 영역에서 다음 두 가지를 생성합니다:

• 디바이스 고유 식별자(Unique Device Secret): ROM 또는 eFUSE로부터 유도된 고유 시드
• 소프트웨어 기반의 계층별 파생 키 및 식별자(Derived Keys): 부트 단계의 코드 해시를 기반으로 생성됨

이 방식은 장치마다, 부팅 소프트웨어마다 고유한 식별자와 키를 구성할 수 있게 해줍니다.

---

2. DICE 보안 구조 흐름

단계	구성 요소	설명
1단계	Device Secret	하드웨어 내 고정 시드 (eFuse, ROM 등)
2단계	Compound Device Identifier (CDI)	Device Secret + 초기 부트 코드 해시로 생성
3단계	Software Identity	각 소프트웨어 계층의 해시 기반 ID
4단계	Key Derivation	CDI로부터 암호화/서명용 키 유도
5단계	인증/신뢰 전달	파생 키를 통한 서명, 신뢰 체인 전달

CDI = H(Device Secret || Boot Measurement) 이 핵심 개념입니다.

---

3. 특징 및 장점

항목	설명	효과
하드웨어 독립 보안	TPM, TEE 없이도 보안 부팅 및 인증 구현	경량 임베디드 환경에 적합
고유 식별자 구성	부트코드 기준 파생 ID	디바이스 클로닝 및 위변조 방지
파생 키 자동 생성	키 저장 없이 매번 동일하게 생성 가능	보안성과 복구성 동시 확보
보안 체인 확장성	Trust Anchor → FW → OS → App 계층 신뢰 전달	다계층 신뢰 기반 구축

DICE는 특히 TPM이 불가능한 MCU, IoT, 전장 시스템 등에서 유용합니다.

---

4. 활용 분야

분야	설명	적용 예시
IoT 인증	디바이스마다 고유 ID + 인증 키 구성	산업 IoT, 헬스케어 디바이스
보안 부트	부트로더 무결성 검증 및 파생 키 생성	펌웨어 신뢰체인 구축
하드웨어 기반 보안	디바이스 클로닝 방지 및 무단 접근 차단	스마트홈, 산업기기, 전장 네트워크
Edge AI 장치 보호	로컬 모델 서명 및 실행 인증	MLOps 보안 구성 요소로 사용 가능

특히 ARM TrustZone MCU 기반 IoT 환경에 적용 최적화되어 있습니다.

---

5. 표준 및 연동 기술

표준	설명
TCG DICE	Trusted Computing Group의 DICE 기술 사양
RIoT Core	DICE 기반 마이크로신뢰코어(Refactored IoT Core) 구현체
DICE Attestation Architecture	TCG의 다계층 인증 아키텍처 확장
Azure Device Provisioning	DICE 기반 X.509 인증서 생성 지원

DICE는 보안 ID 기반 자동 프로비저닝과도 쉽게 통합됩니다.

---

6. 구현 시 고려사항

항목	설명	전략
하드웨어 시드 보안성	ROM, OTP, eFUSE 등 물리적 안전성 확보 필요	정해진 메모리 보호 설계 적용
부트 측정 코드 무결성	해시 대상이 악성 코드일 경우 신뢰 무의미	측정 범위 고정 및 Hash Chain 검증 필요
개발 도구 제한	MCU 벤더별 지원 여부 상이	TCG RIoT 또는 ST/Digilent 등 SDK 활용
정책 통합	플랫폼 인증 정책과 연계 필요	Azure DPS, TPM 대체 구조 고려

DICE는 디바이스 수명 전체에서 보안 루트 역할을 수행해야 합니다.

---

7. 결론

DICE는 고전적인 보안 모듈(TPM/TEE) 없이도, 하드웨어 고유 시드와 소프트웨어 측정값만으로 경량화된 신뢰 실행 환경을 구성할 수 있는 보안 아키텍처입니다. IoT 시대의 디바이스 인증, 펌웨어 보안, 인증서 자동 발급 등을 위한 표준적인 기반 기술로, 향후 모든 디바이스가 내장형 보안 루트를 가져야 하는 시대에 핵심이 될 것입니다.