安価で扱いやすいラズパイは、教育やホビーの定番として広く使われている。その一方で「セキュリティが甘い」と見られがちで、製品や産業用途に持ち込むには不安が残る。出回っている対策も、表面をなぞる程度のものが多い。組み込みLinuxを手がけるembetrixが公開したYoctoレイヤー「meta-raspberrypi-secure」は、Raspberry Pi 4/5とCompute Module 5を、本格的なセキュアプラットフォームへ引き上げようとする取り組みだ。GitHubでオープンソース（GPL-3.0）として公開されている。Yoctoは組み込み向けLinuxを部品（レイヤー）の組み合わせで構築する仕組みで、このレイヤーは公式のラズパイ向けレイヤーに重ねて使う。
中核となるのはセキュアブートだ。電源を入れた瞬間からラズパイのブートローダーを起点に「信頼の連鎖」を築き、正規の鍵で署名されたソフトしか起動しないようにする。専用ユーティリティで有効化でき、本気で固める場合はチップ内のOTP（一度だけ書き込めるメモリ）に鍵のハッシュを焼き込む。こうすると設定は元に戻せなくなり、正規の署名がないファームウェアは一切動かなくなる。
システム本体は読み取り専用にして、書き換えが必要な領域だけをSoCに紐づいた鍵で暗号化する。dm-verityやIMA/EVMといった仕組みで、起動時から実行中まで、ファイルが改ざんされていないかを継続的に検知する。アクセス制御にはSELinuxを強制モードで使い、ネットワークは通信をまず遮断するファイアウォール、USBはUSBGuardで不正な機器の接続を防ぐ。
更新の安全性にも配慮している。システムをA/Bの2系統に分け、片方を更新してから切り替える方式を採るため、更新に失敗しても元の系統に戻せる。さらに各デバイスに固有のECDSA鍵をOTP内に作り、PKCS#11という標準の仕組みを通じて、デバイスの本人確認やTLS通信に使える。鍵はハードウェアの中に隔離され、外部へ取り出せない。
ビルドにはkasというツールを使い、開発用と本番用の設定を切り替えられる。対応機種はRaspberry Pi 4 Model B、Raspberry Pi 5、Compute Module 5だ。教育やホビーの入り口だったラズパイを、改ざんや不正アクセスに耐える製品レベルの土台へ変えるこの試みは、個人と企業のものづくりの距離が縮まっていることを示す一例と言えるだろう。embetrixはコミュニティからのフィードバックを募っている。