Mitteamet lowRISC Google'i ja teiste sponsorite osalusel 5. novembril 2019. esitles projekt OpenTitan, mis nimetatakse "esimese avatud lähtekoodiga projektiks kvaliteetse usaldusvõrgustiku (RoT) avatud arhitektuuri loomiseks riistvaratasemel."

OpenTitan RISC-V arhitektuuril on spetsiaalne kiip, mis paigaldatakse serveritesse andmekeskustes ja muudesse seadmetesse, kus on vajalik laadimise autentimine, püsivara kaitsmine muudatuste eest ja juurkomplektide tõenäosuse välistamine: need on emaplaadid, võrgukaardid, ruuterid, IoT seadmed, mobiilgadgetid jne.

Muidugi, sarnaseid mooduleid leidub tänapäeva protsessorites. Näiteks on Intel Boot Guard riistvaramoodul, mis toimib usaldusvõrgustiku aluseks Intel'i protsessorites. See kontrollib usaldusväärsuse ahelat UEFI BIOSi autentsuse kinnitamiseks enne operatsioonisüsteemi laadimist. Kuid küsimus on, kui palju me võime usaldada patendeeritud usaldusvõrgustikke, arvestades, et meil ei ole garantiid disaini vigade puudumise kohta ning seda ei saa kontrollida? Vaata artiklit „Šrödingeri usaldusväärne laadimine. Intel Boot Guard“ kirjeldab, kuidas „mitme tootja tootmisvea kloonimine aastate jooksul võimaldab potentsiaalsel kurjategijal kasutada seda tehnoloogiat süsteemis kustutamatute (isegi programmeerija poolt) peidetud juurkomplektide loomiseks.“

Seadmete kompromiteerimise oht tarnija ahelas on üllatavalt reaalne: näib, et iga elektroonikahuviline võib juurida serveerimise emaplaati,kasutades varustust, mille hind ei ületa 200 dollarit. Mõned eksperdid kahtlevad, et „organisatsioonid, mille eelarve on sadu miljoneid dollareid, on sellega tegelenud juba aastaid“. Kuigi tõendeid pole, on teoreetiliselt see võimalik.

„Kui te ei saa usaldada riistvara laadijat, on mäng läbi, — ütleb Gavin Ferris, lowRISCi nõukogu liige. — Pole tähtis, mida operatsioonisüsteem teeb — kui te olete operatsioonisüsteemi laadimise ajaks kompromiteeritud, siis on muu vaid tehnika. Teiega on juba lõpetatud.“

Selle probleemi peaks lahendama esmakordne avatud riistvaraplatvorm OpenTitan (GitHubi repositoorium, dokumentatsioon, riistvara spetsifikatsioonid). Kilpimise lahendusest loobumine muudab „käänulise ja ebatäiusliku RoT tööstuse“, usub Google.

Googlei ettevõte alustas Titan arendamist, avastades, et Intel Management Engine (ME) kiipidesse on integreeritud Minix operatsioonisüsteem. See keeruline opsüsteem laienes ettearvamatul ja kontrollimatul viisil rünnakupinda. Google üritas vabaneda Intel Management Engine'ist (ME), kuid ebaõnnestunult.

Mis on usaldusjuure?

Iga süsteemi käivitamise etapp kontrollib järgmise etapi autentimist, luues seeläbi usaldusketi.

Usaldusjuur (Root of Trust, RoT) on riistvara autentimise mehhanism, mis tagab, et esimesena täidetava juhise allikas usaldusketis on muutumatu. RoT on võtmeelement juurdepääsu kaitse rutiinide vastu. See on oluline käivitamisprotsessi etapp, mis osaleb süsteemi edasises käivitamises – BIOS-ist kuni operatsioonisüsteemi ja rakendusteni. See peab kinnitama iga järgmist käivitamisetappi. Selleks kasutatakse igas etapis digitaalsete allkirjadega võtmestikku. Üks populaarsemaid riistvarakaitse võtme standardeid on TPM (Trusted Platform Module, usaldusväärne platvormimoodul).

Usaldusjuure kehtestamine. Ülaltoodud näitab viie-etapilist laadimist, mis loob usaldusketi ja algab muutumatust mälust, asuvast käivitajast. Igas etapis kasutatakse avalikku võtit, millega kinnitatakse järgmise laaditava komponendi autentimine. Illustreeriv joonis Perry Lee raamatust „Asjade Interneti arhitektuur“

RoT-i saab käivitada erinevates viisides:

• pildi ja usaldusvõtme laadimine püsivara või muutumatust mälust;
• usaldusvõtme hoidmine ühekordselt programmeeritavas mälus fuse-bitide abil;
• koodi laadimine kaitstud mälupiirkonnast kaitstud salvestusse.

Erinevates protsessorites on usaldusjuur rakendatud erinevalt. Intel ja ARM
toetavad järgmisi tehnoloogiaid:

• ARM TrustZone. ARM müüb chipitootjatele patenteeritud siiplaadi, mis pakub usaldusjuurt ja muid turvamehhanisme. Seega eraldatakse mikroprotsessor ebatäiuslikust tuumast; see käitab Trusted OS-i — kaitstud operatsioonisüsteemi, millel on selgelt määratletud suhtlemisliides ebatäiuslike komponentidega. Kaitstud ressursid asuvad usaldusväärses tuumas ja peavad olema võimalikult kergkaalulised. Üleminek erinevat tüüpi komponentide vahel toimub riistvara konteksti vahetuse kaudu, mis elimineerib vajaduse turvalise tarkvara järele jälgimiseks.
• Intel Boot Guard on riistvaraline mehhanism, mis kontrollib alglaadimismooduli autentimisprotsessi krüptograafiliste meetodite või mõõtmise protsessi abil. Alglaadimismooduli kontrollimiseks peab tootja genereerima 2048-bitise võtme, mis koosneb kahest osast: avalikust ja eraisikust. Avalik võti trükitakse plaadile ‘detoneerimise’ kaudu fusible bitide etapis tootmisprotsessis. Need bitid on ühekordsed ja neid ei saa muuta. Erakordne osa võtme genereerib digitaalse allkirja edasise autentimise etapi jaoks.

OpenTitani platvorm avab võtmeosad sellisest riistvara-tarkvara süsteemist nagu alloleval joonisel on näha.

OpenTitani platvorm

OpenTitani platvormi arendust juhib mittetulundusühing lowRISC. Inseneride kogukond asub Cambridge'is (Suurbritannia) ja peamine sponsore on Google. Asutajad hõlmavad Šveitsi Föderaalse Tehnolooge Mingiülikooli, G+D Mobile Security, Nuvoton Technology ja Western Digital.

Google avalikustas kuulutuse projekti Google Open Source'i ettevõtte blogis. Ettevõte teatas, et OpenTitan püüab ‘anda kvaliteetseid disainisoovitusi ja RoT-i integreerimist serverites, andmekeskustes, salvestusseadmetes, äärelineadustes ja mujal.’

Usaldusjuur on esimene lüli usaldusketis kõige madalamal tasemel usaldusväärses arvutisüsteemis, mida süsteem alati täielikult usaldab.

RoT on kriitilise tähtsusega rakendustele, sealhulgas avalike võtmete infrastruktuurile (PKI). See on turvasüsteemi alus, mille peal põhineb keeruline süsteem nagu IoT-rakendus või andmekeskus. Seetõttu on mõistetav, miks Google seda projekti toetab. Praegu on tal 19 andmekeskit viiel kontinendil. Andmekeskused, salvestusvõimalused ja kriitilise tähtsusega rakendused koosnevad ulatuslikust rünnaku pinnast, ning Google töötas algselt välja oma usaldusjuure Titan mikroskeemi selle infrastruktuuri kaitsmiseks.

Proprietaarne Titan kiip Google'i andmekeskuste jaoks tutvustati esmakordselt märtsis 2017 Google Cloud Next konverentsil. „Meie arvutid viivad läbi krüptograafilise kontrolli igale tarkvara paketile ja seejärel otsustavad, kas anda sellele juurdepääs võrgu ressurssidele. Titan integreerub sellesse protsessi ja pakub lisakaitse kihte,“ ütlesid Google'i esindajad sellel esitlusel.

Titan mikroskeem Google'i serveris

Titan arhitektuur kuulus Google'ile, kuid nüüd muutub see avalikuks omandiks avatud koodiga projekti raames.

Projekti esimene etapp on RoT loogilise disaini loomine mikroskeemi tasandil, sealhulgas avatud lähtekoodiga mikroprosessor lowRISC ibex, krüptograafilised protsessorid, riistvaraline juhuslike numberite generaator, võtmehierarhiad ja mälu energiat säästmiseks ja energiat mittesäästvaks salvestamiseks, kaitsemehhanismid, sisend-väljundseadmed ja turvalised käivitamisprotsessid.

Google ütleb, et OpenTitan põhineb kolmel peamisel printsiipele:

• igaühel on võimalus platvormi kontrollida ja panustada;
• suurem paindlikkus, avades loogiliselt turvalise disaini, mille ei takista tootja omandiõigused;
• kvaliteet, mida tagavad mitte ainult disain ise, vaid ka viidatud püsivara ja dokumentatsioon.

„Tänapäeva usaldusjuurtega kiibid on väga patenteeritud. Nad väidavad, et on ohutud, kuid reaalsuses peate te sellele uskuma ja ei saa neid ise kontrollida,” ütleb Google Titani turbeekspert Dominic Rizzo. „Nüüd on esmakordselt võimalus tagada turvalisus ilma pimeusku patenteeritud usaldusjuurte disainimate.”

Rizzo lisas, et OpenTitanit võib pidada „radikaalselt läbipaistvaks disainiks võrreldes praeguse olukorraga”.

Arendajate sõnul ei tohi OpenTitanit mingil juhul pidada valmistoote jaoks, kuna arendustööd pole veel lõpule viidud. Nad avasid spetsifikatsioonid ja disaini teadlikult arenduse keskpaiku, et kõik saaksid seda kontrollida, panustada ja süsteemi täiustada enne tootmise algust.

OpenTitani kiipide tootmise alustamiseks tuleb esitada taotlus ja läbida sertifitseerimine. Tundub, et litsentsitasusid ei ole vaja maksta.

Allikas: habr.com