ארגון ללא כוונת רווח lowRISC עם Google וספונסרים אחרים ב-5 בנובמבר 2019 מוצג פרויקט OpenTitan, אשר מכנה "פרויקט הקוד הפתוח הראשון ליצירת ארכיטקטורת שבבים פתוחה ואיכותית עם שורש אמון (RoT) ברמת החומרה."

OpenTitan המבוסס על ארכיטקטורת RISC-V הוא שבב ייעודי להתקנה על שרתים במרכזי נתונים ובכל ציוד אחר שבו יש צורך להבטיח אותנטיות אתחול, להגן על הקושחה משינויים ולבטל את האפשרות של rootkits: אלו לוחות אם, כרטיסי רשת, נתבים, מכשירי IoT, גאדג'טים ניידים וכו'.

כמובן, מודולים דומים קיימים במעבדים מודרניים. לדוגמה, מודול Intel Hardware Boot Guard הוא שורש האמון במעבדי אינטל. הוא מאמת את האותנטיות של UEFI BIOS באמצעות שרשרת אמון לפני טעינת מערכת ההפעלה. אבל השאלה היא, עד כמה אנחנו יכולים לסמוך על שורשי אמון קנייניים, בהתחשב בכך שאין לנו ערובה שלא יהיו באגים בעיצוב, ואין דרך לבדוק זאת? ראה מאמר "הורדה מהימנה של שרדינגר. Intel Boot Guard" עם תיאור של "איך באג ששובט במשך שנים בייצור של מספר ספקים מאפשר לתוקף פוטנציאלי להשתמש בטכנולוגיה הזו כדי ליצור rootkit מוסתר במערכת שלא ניתן להסיר (אפילו עם מתכנת).

האיום של פשרות ציוד בשרשרת האספקה ​​אמיתי באופן מפתיע: ככל הנראה, כל מהנדס אלקטרוניקה חובב יכול להלחים באג בלוח האם של השרתבאמצעות ציוד שעולה לא יותר מ-$200. כמה מומחים חושדים ש"ארגונים עם תקציבים של מאות מיליוני דולרים יכולים לעשות זאת במשך שנים רבות". למרות שאין ראיות, זה אפשרי תיאורטית.

"אם אתה לא יכול לסמוך על טוען האתחול של החומרה, המשחק נגמר," הוא מדבר גאווין פריס, חבר מועצת המנהלים של lowRISC. - זה לא משנה מה מערכת ההפעלה עושה - אם עד שמערכת ההפעלה נטענת אתה נפגע, אז השאר זה עניין של טכנולוגיה. אתה כבר סיימת."

בעיה זו צריכה להיפתר על ידי פלטפורמת החומרה הפתוחה הראשונה מסוגה OpenTitan (מאגר GitHub, תיעוד, מפרטי חומרה). התרחקות מפתרונות קנייניים תעזור לשנות את "תעשיית ה-RoT האטית והפגומה", אומרת גוגל.

גוגל עצמה החלה לפתח את Titan לאחר שגילתה את מערכת ההפעלה Minix המובנית בשבבי Intel Management Engine (ME). מערכת הפעלה מורכבת זו הרחיבה את משטח ההתקפה בדרכים בלתי צפויות ובלתי נשלטות. גוגל ניסה להיפטר מ-Intel Management Engine (ME), אך ללא הצלחה.

מהו שורש האמון?

כל שלב בתהליך האתחול של המערכת בודק את האותנטיות של השלב הבא, ובכך מייצר שרשרת אמון.

Root of Trust (RoT) הוא אימות מבוסס חומרה המבטיח שלא ניתן לשנות את המקור של הוראת ההפעלה הראשונה בשרשרת האמון. RoT היא ההגנה הבסיסית מפני rootkits. זהו שלב מרכזי בתהליך האתחול, המעורב באתחול שלאחר מכן של המערכת - מ-BIOS ועד OS ויישומים. עליו לאמת את האותנטיות של כל שלב הורדה עוקב. לשם כך, נעשה שימוש בסט של מפתחות חתומים דיגיטלית בכל שלב. אחד התקנים הפופולריים ביותר להגנה על מפתח חומרה הוא TPM (Trusted Platform Module).

ביסוס שורש של אמון. למעלה יש תהליך אתחול בן חמישה שלבים שיוצר שרשרת של אמון, החל עם טוען האתחול בזיכרון בלתי ניתן לשינוי. כל שלב משתמש במפתח ציבורי כדי לאמת את זהות הרכיב הבא שייטען. איור מתוך ספרה של פרי לי "ארכיטקטורת האינטרנט של הדברים"

ניתן להפעיל את RoT בדרכים שונות:

• טעינת התמונה ומפתח השורש מקושחה או זיכרון בלתי ניתן לשינוי;
• אחסון מפתח השורש בזיכרון חד-פעמי שניתן לתכנות באמצעות סיביות נתיך;
• טעינת קוד מאזור זיכרון מוגן לאחסון מוגן.

מעבדים שונים מיישמים את שורש האמון בצורה שונה. אינטל ו-ARM
תמיכה בטכנולוגיות הבאות:

• ARM TrustZone. ARM מוכרת בלוק סיליקון קנייני ליצרני שבבים המספק שורש של אמון ומנגנוני אבטחה אחרים. זה מפריד בין המיקרו-מעבד לבין הליבה הלא מאובטחת; הוא מריץ Trusted OS, מערכת הפעלה מאובטחת עם ממשק מוגדר היטב לאינטראקציה עם רכיבים לא מאובטחים. משאבים מוגנים נמצאים בליבה המהימנה וצריכים להיות קלים ככל האפשר. המעבר בין רכיבים מסוגים שונים נעשה באמצעות החלפת הקשר חומרה, ומבטל את הצורך בתוכנת ניטור מאובטחת.
• אינטל אתחול גארד הוא מנגנון חומרה לאימות האותנטיות של בלוק האתחול הראשוני באמצעים קריפטוגרפיים או באמצעות תהליך מדידה. כדי לאמת את החסימה הראשונית, היצרן חייב ליצור מפתח של 2048 סיביות, המורכב משני חלקים: ציבורי ופרטי. המפתח הציבורי מודפס על הלוח על ידי "פיצוץ" פיוזים במהלך הייצור. סיביות אלו הן בשימוש חד פעמי ואינן ניתנות לשינוי. החלק הפרטי של המפתח יוצר חתימה דיגיטלית לאימות שלאחר מכן של שלב ההורדה.

פלטפורמת OpenTitan חושפת חלקים מרכזיים של מערכת חומרה/תוכנה כזו, כפי שמוצג בתרשים שלהלן.

פלטפורמת OpenTitan

הפיתוח של פלטפורמת OpenTitan מנוהל על ידי ארגון ללא מטרות רווח lowRISC. צוות ההנדסה ממוקם בקיימברידג' (בריטניה), והספונסר הראשי הוא גוגל. השותפים המייסדים כוללים את ETH Zurich, G+D Mobile Security, Nuvoton Technology ו-Western Digital.

Google פרסם הודעה פרויקט בבלוג הארגוני של Google קוד פתוח. החברה אמרה ש-OpenTitan מחויבת "לספק הדרכה באיכות גבוהה על עיצוב ושילוב RoT לשימוש בשרתי מרכזי נתונים, אחסון, התקני קצה ועוד".

שורש האמון הוא החוליה הראשונה בשרשרת האמון ברמה הנמוכה ביותר במודול מחשוב מהימן, אשר תמיד בוטח במלואו על ידי המערכת.

RoT הוא קריטי עבור יישומים כולל תשתיות מפתח ציבורי (PKI). זהו הבסיס למערכת האבטחה עליה מבוססת מערכת מורכבת כמו אפליקציית IoT או מרכז נתונים. אז ברור למה גוגל תומכת בפרויקט הזה. כעת יש לה 19 מרכזי נתונים בחמש יבשות. מרכזי נתונים, אחסון ויישומים קריטיים למשימה מציגים משטח התקפה עצום, וכדי להגן על תשתית זו, גוגל פיתחה בתחילה שורש אמון משלה על שבב Titan.

שבב Titan קנייני עבור מרכזי הנתונים של Google הוצג לראשונה במרץ 2017 בכנס Google Cloud Next. "המחשבים שלנו מבצעים בדיקות קריפטוגרפיות על כל חבילת תוכנה ואז מחליטים אם להעניק לה גישה למשאבי רשת. טיטאן משתלב בתהליך זה ומציע שכבות נוספות של הגנה", אמרו נציגי גוגל במצגת ההיא.

שבב Titan בשרת גוגל

ארכיטקטורת Titan הייתה בעבר בבעלות גוגל, אך כעת הופכת לנחלת הכלל כפרויקט קוד פתוח.

השלב הראשון של הפרויקט הוא יצירת עיצוב RoT לוגי ברמת השבב, כולל מיקרו-מעבד קוד פתוח יעלי lowRISC, מעבדים קריפטוגרפיים, מחולל מספרים אקראיים בחומרה, היררכיות מפתח וזיכרון לאחסון לא נדיף ולא נדיף, מנגנוני אבטחה, ציוד קלט/פלט היקפי ותהליכי אתחול מאובטחים.

גוגל אומרת ש-OpenTitan מבוססת על שלושה עקרונות מפתח:

• לכולם יש הזדמנות לבדוק את הפלטפורמה ולתרום;
• הגמישות מוגברת על ידי פתיחת עיצוב מאובטח מבחינה לוגית שאינו חסום על ידי הגבלות ספק קנייניות;
• איכות מובטחת לא רק על ידי העיצוב עצמו, אלא גם על ידי קושחה ותיעוד.

"שבבים נוכחיים עם שורשי אמון הם קנייניים מאוד. הם טוענים שהם מאובטחים, אבל במציאות, אתה לוקח את זה כמובן מאליו ולא יכול לאמת את זה בעצמך, אומר דומיניק ריזו, מומחה אבטחה מוביל בפרויקט Google Titan. "עכשיו, לראשונה, ניתן לספק אבטחה ללא אמונה עיוורת במפתחים של עיצוב שורש קנייני של אמון. אז הבסיס לא רק מוצק, אלא ניתן לאמת אותו".

ריזו הוסיף כי OpenTitan יכול להיחשב "עיצוב שקוף באופן קיצוני בהשוואה למצב הנוכחי".

לדברי המפתחים, OpenTitan בשום אופן לא אמור להיחשב כמוצר מוגמר, כי הפיתוח עדיין לא הסתיים. הם פתחו בכוונה את המפרטים ותכננו את אמצע הפיתוח כך שכולם יוכלו לסקור אותו, לספק מידע ולשפר את המערכת לפני תחילת הייצור.

כדי להתחיל לייצר שבבי OpenTitan, עליך להגיש בקשה ולקבל אישור. ככל הנראה, לא נדרשות דמי רישוי.

מקור: www.habr.com