Mittekasumit taotlemata organisatsioon lowRISC Google'i ja teiste sponsorite osalusel 5. novembril 2019 esituse projekt OpenTitan, mida nimetatakse „esimese avatud lähtekoodiga projektiks, mille eesmärk on luua avatud, kvaliteetne usaldusjuurte (RoT) arhitektuur riistvaral”.

OpenTitan RISC-V arhitektuuril on spetsiaalselt serverites, andmekeskustes ja igasugustes seadmetes, kus on vajalik käivitusautentsuse tagamine, püsivara kaitsmine muudatuste eest ning juuretagantõukamise tõenäosuse välistamine: emaplaadid, võrgukaartide, ruuterid, IoT-seadmed, mobiilseadmed jne.

Muidugi, selliseid mooduleid leidub tänapäeva protsessorites. Näiteks Intel Boot Guard on riistvaramoodul, mis on Intel protsessorite usaldusjuur. See verifitseerib usaldusväärsuse ahelat UEFI BIOS-i autentsuse enne operatsioonisüsteemi käivitamist. Kuid küsimus on, kui palju saame usaldada patenteeritud usaldusjuuri, arvestades, et meil pole garantiid, et disainis pole vigu, ja selle kontrollimiseks pole võimalust? Vaata artiklit „Šrödingeri usaldusväärne käivitus. Intel Boot Guard” kirjeldus selle kohta, kuidas "aastaid kloonitud viga mitmete tootjate toodetes võimaldab potentsiaalsel kurjategijal kasutada seda tehnoloogiat süsteemis kustutamatute (isegi programmeerija poolt) peidetud rootkitide loomiseks."

Varustuse kompromiteerimise oht tarneahelas on üllatavalt reaalne: tundub, et iga elektroonikahuviline võib kinnitada nuhiku serveri emaplaati, kasutades seadmeid maksma mitte rohkem kui 200 dollarit. Mõned eksperdid kahtlustavad, et "organisatsioonid, mille eelarve on sadades miljonites dollarites, võivad sellega tegeleda juba aastaid." Kuigi tõendeid ei ole, on see teoreetiliselt võimalik.

"Kui te ei saa riistvaralisele laadijale usaldada, on mäng läbi," — ütleb Gavin Ferris, lowRISCi nõukogu liige. — "Pole vahet, mida operatsioonisüsteem teeb — kui te olete operatsioonisüsteemi laadimise ajaks juba kompromiteeritud, siis ülejäänud on tehnika küsimus. Teiega on juba kõik."

Seda probleemi peaks lahendama esimene oma liigist avatud riistvaraplatform OpenTitan (GitHubi hoidla, dokumentatsioon, riistvaraspetsifikatsioonid). Proprietaarsetest lahendustest eemaldumine võimaldab muuta «koma ja ebamugava RoT tööstuse», arvab Google.

Google ise alustas Titan'i väljatöötamist, avastades Intel Management Engine (ME) kiipidesse integreeritud operatsioonisüsteemi Minix. See keeruline operatsioonisüsteem laiendas ootamatult ja kontrollimatult rünnakupinda. Google püüdles Intel Management Engine (ME) kõrvaldamise poole, kuid ebaõnnestunult.

Mis on usaldusroot?

Iga etapp süsteemi käivitamise protsessis kontrollib järgmise etapi autentimist, moodustades sellega usaldusketi.

Usaldusväärsuse juur (Root of Trust, RoT) on riistvaraline autentimisprotsess, mis garanteerib, et esimese täidetava käsu allikas usaldusketis on muutmatu. RoT on rutiinide kaitse aluseks. See on oluline etapp alglaadimisprotsessis, mis osaleb süsteemi käivitamises — alates BIOS-ist kuni operatsioonisüsteemi ja rakendusteni. See peab kontrollima iga järgmise alglaadimise etapi autentimist. Selleks kasutatakse igas etapis digitaalallkirjastatud võtmete komplekti. Üks populaarsemaid riistvaralise võtme kaitse standardeid on TPM (Trusted Platform Module, usaldusväärne platvormi moodul).

Usaldusväärsuse juure loomine. Ülaltoodud on viieetapiline alglaadimine, mis moodustab usaldusketi ja algab alglaadijaga, mis asub muutmatul mälul. Igas etapis kasutatakse avalikku võtit, millega autentitakse järgmine laaditav komponent. Illustratsioon Perry Lee raamatust. „Asjade interneti arhitektuur“

RoT-i saab käivitada erinevate meetoditega:

• pildi ja juure võtme laadimine püsivara või muutmatu mälu kaudu;
• juure võtme hoidmine ühekordsetes programmeeritavates mäludes füsbitide abil;
• koodi laadimine kaitstud mälupiirkonnast kaitstud salvestusse.

Erinevates protsessorites on usaldusväärsuse juur rakendatud erinevalt. Intel ja ARM
toetavad järgmisi tehnoloogiaid:

• ARM TrustZone. ARM müüb kiibitootjatele patendi alusel valmistatud siinkrooni, mis pakub usaldusväärsuse juurt ja teisi turvamehhanisme. Nii eraldatakse mikroprotsessor ebaturvalisest tuumast; see käitab Trusted OS-i — kaitstud operatsioonisüsteemi, millel on selgelt määratletud suhtlemisliides ebaturvaliste komponentidega. Kaitstud ressursid asuvad usaldusväärses tuumas ja need peaksid olema võimalikult kerged. Üleminek erinevat tüüpi komponentide vahel toimub riistvaralise konteksti vahetuse kaudu, mis elimineerib vajaduse turvalise tarkvara järele jälgimiseks.
• Intel Boot Guard — see on riistvaraline mehhanism krüptograafiliste meetodite või mõõtmise protsessi abil käivitusploki autentimise kontrollimiseks. Käivitusploki kontrollimiseks peab tootja genereerima 2048-bitise võtme, mis koosneb kahest osast: avalikust ja privaatsetest võtmetest. Avalik võti prinditakse plaadile „detoneerimise” kaudu tootmisetapis. Need bitid on ühekordsed ja ei ole muudetavad. Privaatne võtmeosa genereerib digitaalse allkirja käivitusprotsessi autentimise järgneval etapil.

OpenTitani platvorm avab võtmeosad sellisest riistvara-tarkvarasüsteemist, nagu on näidatud alloleval diagrammil.

OpenTitani platvorm

OpenTitani platvormi arendust juhib mittetulundusühing lowRISC. Inseneride meeskond asub Cambridge'is (Ühendkuningriigis) ning põhisponsoriks on Google. Asutajapartnerite hulka kuuluvad Zürichis asuv Šveitsi Föderaalse Tehnikaülikooli, G+D Mobile Security, Nuvoton Technology ja Western Digital.

Google avalikustas teadaande projekti Google Open Source'i ettevõtte ettevõtte blogis. Ettevõte teatas, et OpenTitan püüdleb «kvaliteetsete RoT disaini- ja integreerimissoovituste pakkumise suunas serverites, andmekeskustes, servaseadmetes ja mujal».

Usaldusjuur on usaldusväärse arvutusmooduli madalaima taseme usaldusketi esimene lüli, mida süsteem alati täielikult usaldab.

RoT on kriitilise tähtsusega rakendustes, sealhulgas avalike võtmete infrastruktuurides (PKI). See on keeruliste süsteemide, nagu IoT rakendus või andmekeskus, turvasüsteemi alus. Seetõttu on arusaadav, miks Google seda projekti toetab. Praegu on neil 19 andmekeskust viiel mandril. Andmekeskused, ladustamine ja kriitilised rakendused moodustavad ulatusliku rünnakupinna ja selle infrastruktuuri kaitsmiseks on Google oma Titan kiibi usaldusjuure algselt välja töötanud.

Proprietaarne Titan kiip Google'i andmekeskustele esitlemine toimus esmakordselt märtsis 2017 Google Cloud Next konverentsil. "Meie arvutid teevad iga tarkvara paketi osas krüptograafilise kontrolli ja otsustavad seejärel, kas anda sellele ligipääs võrgu ressurssidele. Titan integreerib selle protsessi ja pakub lisakaitse kihte," rääkisid Google'i esindajad esitluses.

Google'i serveri Titan kiip

Titan arhitektuur oli Google'i omand, kuid nüüd muutub see avatud lähtekoodiga projekti raames avalikuks.

Projekti esimene etapp — RoT loogilise disaini loomine kiibi tasemel, sealhulgas avatud lähtekoodiga mikroprotsessor lowRISC ibex, krüptograafilised protsessorid, riistvara juhuslike arvude generaator, võtmete ja mälu hierarhiad energia sõltumatuks ja sõltumatuks salvestamiseks, kaitsemehhanismid, sisend-väljund seadmed ja turvalised laadimisprotsessid.

Google ütleb, et OpenTitan põhineb kolmel põhialusel:

• igaühel on võimalus platvormi kontrollida ja oma panus anda;
• suurem paindlikkus tänu loogiliselt turvalise disaini avamisele, mis ei ole piiratud omaniku keeldudega.
• kvaliteet, mida tagavad mitte ainult disain ise, vaid ka viidatud töötlus ja dokumentatsioon.

„Tänapäeva usaldusväärsus mikrokiibides on väga omanikupõhine. Nad deklareerivad turvalisust, kuid tegelikult peate selle usaldama ja ei saa seda ise kontrollida,“ räägib Google Titan projekti juhtiv turbeekspert Dominic Rizzo. „Käärida on esmakordselt võimalus, et tagada turvalisus ilma arendajate omavahelise usaldusliku disaini pimeuseta. Seega on alus mitte lihtsalt tugev, vaid seda saab ka kontrollida."

Rizzo lisas, et OpenTitanit võib pidada "radikaalselt läbipaistvaks disainiks, võrreldes praeguse olukorraga".

Arendajate sõnul ei tohiks OpenTitanit kindlasti käsitleda valmis tootena, kuna arendustööd pole veel lõpule viidud. Nad avasid spetsifikatsioonid ja disaini spetsiaalselt arenduse käigus, et kõik saaksid seda kontrollida, panustada ja süsteemi täiustada enne tootmise algust.

OpenTitani kiipide tootmise alustamiseks tuleb esitada taotlus ja läbida sertifitseerimine. Tundub, et litsentsitasusid ei nõuta.

Allikas: habr.com