Le aziende Google, AMD, NVIDIA e Microsoft, nell'ambito del progetto collaborativo Caliptra, hanno sviluppato un blocco di progettazione a circuito integrato aperto (IP-block) da integrare nei chip per la creazione di componenti hardware di fiducia (RoT, Root of Trust). Caliptra è un modulo hardware separato con la propria memoria, processore e implementazione di primitive crittografiche, che garantisce la verifica del processo di avvio, dei firmware utilizzati e della configurazione del dispositivo memorizzata nella memoria non volatile.
Caliptra può essere integrato in diversi chip di un modulo hardware indipendente, eseguendo il controllo dell'integrità e garantendo l'utilizzo nel dispositivo di firmware verificati e autorizzati dal produttore. Caliptra può semplificare notevolmente e uniformare l'integrazione di meccanismi hardware crittografici di verifica in CPU, GPU, SoC, ASIC, adattatori di rete, SSD e altre attrezzature.
Gli strumenti di verifica crittografica forniti dalla piattaforma garantiranno la protezione dei componenti hardware da modifiche dannose nei firmware e metteranno in sicurezza il processo di avvio e memorizzazione della configurazione, per prevenire la compromissione del sistema principale a causa di attacchi ai componenti hardware o di sostituzioni dannose nelle catene di fornitura dei chip. Caliptra prevede anche la possibilità di autenticare gli aggiornamenti del firmware e i dati associati alla piattaforma (RTU, Root of Trust for Update), rilevare danneggiamenti nei firmware e nei dati critici (RTD, Root of Trust for Detection), e recuperare firmware e dati danneggiati (RTRec, Root of Trust for Recovery).
Lo sviluppo di Caliptra avviene nel contesto del progetto collaborativo Open Compute, finalizzato a promuovere specifiche hardware aperte per l'equipaggiamento dei data center. Le specifiche relative a Caliptra sono diffuse attraverso l'Open Web Foundation Agreement (OWFa), progettato per la diffusione di standard aperti (simile a una licenza OSS per specifiche). L'uso dell'OWFa consente di creare prodotti e implementazioni derivate basate sulla specifica senza pagare diritti e permette a qualsiasi organizzazione di partecipare allo sviluppo della specifica.
L'implementazione di base dell'IP-block è costruita attorno a un processore RISC-V aperto, SWeRV EL2, ed è dotata di 384KB di RAM (128KB DCCM, 128KB ICCM0 e 128KB SRAM) e 32KB di ROM. Tra gli algoritmi crittografici supportati sono elencati SHA256, SHA384, SHA512, ECC Secp384r1, HMAC-DRBG, HMAC SHA384, AES256-ECB, AES256-CBC e AES256-GCM.
Fonte: opennet.ru
