{"id":52523,"date":"2019-11-10T00:00:00","date_gmt":"2019-11-09T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/opensorsnyj-chip-opentitan-zamenit-proprietarnye-korni-doveriya-intel-i-arm"},"modified":"2020-02-18T14:00:16","modified_gmt":"2020-02-18T11:00:16","slug":"opensorsnyj-chip-opentitan-zamenit-proprietarnye-korni-doveriya-intel-i-arm","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/administrirovanie\/opensorsnyj-chip-opentitan-zamenit-proprietarnye-korni-doveriya-intel-i-arm","title":{"rendered":"Avatud l\u00e4htekoodiga kiip OpenTitan asendab Intel ja ARM omandi \u00f5igusi","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Avatud
\n
\nMitteamet lowRISC<\/a><\/noindex> Google'i ja teiste sponsorite osalusel 5. novembril 2019. esitles<\/a><\/noindex> projekt OpenTitan<\/a><\/noindex>, mis nimetatakse \"esimese avatud l\u00e4htekoodiga projektiks kvaliteetse usaldusv\u00f5rgustiku (RoT) avatud arhitektuuri loomiseks riistvaratasemel.\"<\/p>\n

OpenTitan RISC-V arhitektuuril on spetsiaalne kiip, mis paigaldatakse serveritesse andmekeskustes ja muudesse seadmetesse, kus on vajalik laadimise autentimine, p\u00fcsivara kaitsmine muudatuste eest ja juurkomplektide t\u00f5en\u00e4osuse v\u00e4listamine: need on emaplaadid, v\u00f5rgukaardid, ruuterid, IoT seadmed, mobiilgadgetid jne.<\/p>\n

Muidugi, sarnaseid mooduleid leidub t\u00e4nap\u00e4eva protsessorites. N\u00e4iteks on Intel Boot Guard riistvaramoodul, mis toimib usaldusv\u00f5rgustiku aluseks Intel'i protsessorites. See kontrollib usaldusv\u00e4\u00e4rsuse ahelat UEFI BIOSi autentsuse kinnitamiseks enne operatsioonis\u00fcsteemi laadimist. Kuid k\u00fcsimus on, kui palju me v\u00f5ime usaldada patendeeritud usaldusv\u00f5rgustikke, arvestades, et meil ei ole garantiid disaini vigade puudumise kohta ning seda ei saa kontrollida? Vaata artiklit \u201e\u0160r\u00f6dingeri usaldusv\u00e4\u00e4rne laadimine. Intel Boot Guard\u201c<\/a><\/noindex> kirjeldab, kuidas \u201emitme tootja tootmisvea kloonimine aastate jooksul v\u00f5imaldab potentsiaalsel kurjategijal kasutada seda tehnoloogiat s\u00fcsteemis kustutamatute (isegi programmeerija poolt) peidetud juurkomplektide loomiseks.\u201c
\n<\/a><\/noindex>
\nSeadmete kompromiteerimise oht tarnija ahelas on \u00fcllatavalt reaalne: n\u00e4ib, et iga elektroonikahuviline v\u00f5ib juurida serveerimise emaplaati,<\/a><\/noindex>kasutades varustust, mille hind ei \u00fcleta 200 dollarit. M\u00f5ned eksperdid kahtlevad, et \u201eorganisatsioonid, mille eelarve on sadu miljoneid dollareid, on sellega tegelenud juba aastaid\u201c. Kuigi t\u00f5endeid pole, on teoreetiliselt see v\u00f5imalik.<\/p>\n

\u201eKui te ei saa usaldada riistvara laadijat, on m\u00e4ng l\u00e4bi, \u2014 \u00fctleb<\/a><\/noindex> Gavin Ferris, lowRISCi n\u00f5ukogu liige. \u2014 Pole t\u00e4htis, mida operatsioonis\u00fcsteem teeb \u2014 kui te olete operatsioonis\u00fcsteemi laadimise ajaks kompromiteeritud, siis on muu vaid tehnika. Teiega on juba l\u00f5petatud.\u201c<\/p><\/blockquote>\n

\nSelle probleemi peaks lahendama esmakordne avatud riistvaraplatvorm OpenTitan (GitHubi repositoorium<\/a><\/noindex>, dokumentatsioon<\/a><\/noindex>, riistvara spetsifikatsioonid<\/a><\/noindex>). Kilpimise lahendusest loobumine muudab \u201ek\u00e4\u00e4nulise ja ebat\u00e4iusliku RoT t\u00f6\u00f6stuse\u201c, usub Google.<\/p>\n

Googlei ettev\u00f5te alustas Titan arendamist, avastades, et Intel Management Engine (ME) kiipidesse on integreeritud Minix operatsioonis\u00fcsteem. See keeruline ops\u00fcsteem laienes ettearvamatul ja kontrollimatul viisil r\u00fcnnakupinda. Google \u00fcritas vabaneda Intel Management Engine'ist (ME)<\/a><\/noindex>, kuid eba\u00f5nnestunult.<\/p>\n

Mis on usaldusjuure?<\/h1>\n

\nIga s\u00fcsteemi k\u00e4ivitamise etapp kontrollib j\u00e4rgmise etapi autentimist, luues seel\u00e4bi usaldusketi<\/i>.<\/p>\n

Usaldusjuur (Root of Trust, RoT) on riistvara autentimise mehhanism, mis tagab, et esimesena t\u00e4idetava juhise allikas usaldusketis on muutumatu. RoT on v\u00f5tmeelement juurdep\u00e4\u00e4su kaitse rutiinide vastu. See on oluline k\u00e4ivitamisprotsessi etapp, mis osaleb s\u00fcsteemi edasises k\u00e4ivitamises \u2013 BIOS-ist kuni operatsioonis\u00fcsteemi ja rakendusteni. See peab kinnitama iga j\u00e4rgmist k\u00e4ivitamisetappi. Selleks kasutatakse igas etapis digitaalsete allkirjadega v\u00f5tmestikku. \u00dcks populaarsemaid riistvarakaitse v\u00f5tme standardeid on TPM (Trusted Platform Module, usaldusv\u00e4\u00e4rne platvormimoodul).<\/p>\n

\"Avatud
\nUsaldusjuure kehtestamine. \u00dclaltoodud n\u00e4itab viie-etapilist laadimist, mis loob usaldusketi ja algab muutumatust m\u00e4lust, asuvast k\u00e4ivitajast. Igas etapis kasutatakse avalikku v\u00f5tit, millega kinnitatakse j\u00e4rgmise laaditava komponendi autentimine. Illustreeriv joonis Perry Lee raamatust \u201eAsjade Interneti arhitektuur\u201c<\/a><\/noindex><\/i><\/p>\n

RoT-i saab k\u00e4ivitada erinevates viisides:<\/p>\n