{"id":52523,"date":"2019-11-10T00:00:00","date_gmt":"2019-11-09T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/opensorsnyj-chip-opentitan-zamenit-proprietarnye-korni-doveriya-intel-i-arm"},"modified":"2020-02-18T14:00:16","modified_gmt":"2020-02-18T11:00:16","slug":"opensorsnyj-chip-opentitan-zamenit-proprietarnye-korni-doveriya-intel-i-arm","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sl\/blog\/administrirovanie\/opensorsnyj-chip-opentitan-zamenit-proprietarnye-korni-doveriya-intel-i-arm","title":{"rendered":"Odpiranje odprtokodnega \u010dipa OpenTitan bo nadomestilo lastni\u0161ke korenine zaupanja Intel in ARM","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Odpiranje
\n
\nNeprofitna organizacija lowRISC<\/a><\/noindex> v sodelovanju z Googlom in drugimi sponzorji 5. novembra 2019 je predstavilo<\/a><\/noindex> projekat OpenTitan<\/a><\/noindex>, ki ga imenujejo \"prvi odprtokodni projekt za ustvarjanje odprte in kakovostne arhitekture \u010dipov s korenino zaupanja (RoT) na strojni ravni.\"<\/p>\n

OpenTitan na arhitekturi RISC-V je specializiran \u010dip za namestitev na stre\u017enikih v podatkovnih centrih in v kateri koli drugi opremi, kjer je treba zagotoviti avtentikacijo nalaganja, za\u0161\u010dititi programsko opremo pred spremembami in odpraviti mo\u017enost rootkitov: to so mati\u010dne plo\u0161\u010de, omre\u017ene kartice, usmerjevalniki, IoT naprave, mobilne naprave in druge.<\/p>\n

Seveda so tovrstni moduli prisotni v sodobnih procesorjih. Na primer, strojni modul Intel Boot Guard je korenina zaupanja v procesorjih Intel. Verificira avtenti\u010dnost UEFI BIOS pred nalaganjem OS prek verige zaupanja. Vendar je vpra\u0161anje, koliko lahko zaupamo lastni\u0161kim koreninam zaupanja, glede na to, da nimamo garancij glede odsotnosti napak v oblikovanju, preveriti pa ga ne moremo? Oglejte si \u010dlanek \u201eZaupljivo nalaganje \u0160r\u00f6dingerja. Intel Boot Guard\u201c<\/a><\/noindex> s opisom, \u201ekako dolgoletna napaka pri proizvodnji ve\u010d dobaviteljev omogo\u010da potencialnemu napadalcu uporabo te tehnologije za ustvarjanje neizbrisnega (tudi s programatorjem) skritega rootkita v sistemu.\u201c
\n<\/a><\/noindex>
\nGro\u017enja kompromitacije opreme v dobavni verigi je presenetljivo resni\u010dna: o\u010ditno lahko kateri koli elektronikk, ki ima ljubiteljske sposobnosti vgradi vohunsko napravo v mati\u010dno plo\u0161\u010do stre\u017enika<\/a><\/noindex>, pri \u010demer uporablja opremo, ki stane manj kot 200 dolarjev. Nekateri strokovnjaki sumijo, da \"organizacije s prora\u010dunom v stotinah milijonov dolarjev to po\u010dnejo \u017ee vrsto let.\" \u010ceprav ni dokazov, je teoreti\u010dno to mogo\u010de.<\/p>\n

\u201e\u010ce ne morete zaupati strojni nalagalniku, je igra kon\u010dana, \u2014 ka\u017ee<\/a><\/noindex> Gavin Ferris, \u010dlan upravnega odbora lowRISC. \u2014 Ni pomembno, kaj po\u010dne operacijski sistem \u2014 \u010de ste \u017ee ob nalaganju operacijskega sistema kompromitirani, je ostalo le tehnika. \u017de ste kon\u010dani.\u201c<\/p><\/blockquote>\n

\nTo te\u017eavo bi morala re\u0161iti prva tak\u0161na odprta strojna platforma OpenTitan (GitHub repozitorij<\/a><\/noindex>, dokumentacija<\/a><\/noindex>, strojne specifikacije<\/a><\/noindex>). Odhod od proprietarnih re\u0161enj \u0107e omogu\u0107iti promenu \u201enepokretne i nesavr\u0161ene RoT industrije\u201c, smatra Google.<\/p>\n

Sama kompanija Google zapo\u010dela je razvoj Titan, otkriv\u0161i operativni sistem Minix, ugra\u0111en u Intel Management Engine (ME) \u010dipove. Ovaj slo\u017eeni operativni sistem je na nepredvidiv i neovladiv na\u010din pro\u0161irivao povr\u0161inu napada. Google poku\u0161ala je da se oslobodi Intel Management Engine (ME)<\/a><\/noindex>, ali bez uspeha.<\/p>\n

\u0160ta je koren poverenja?<\/h1>\n

\nSvaka faza procesa bootovanja sistema proverava autenti\u010dnost slede\u0107e faze, formiraju\u0107i tako lanac poverenja<\/i>.<\/p>\n

Koren poverenja (Root of Trust, RoT) je hardverska provera autenti\u010dnosti koja garantuje da izvor prve izvr\u0161ne instrukcije u lancu poverenja nije podlo\u017ean izmeni. RoT je osnovna za\u0161tita od rootkit-a. To je klju\u010dna faza procesa bootovanja koja u\u010destvuje u daljem pokretanju sistema \u2014 od BIOS-a do operativnog sistema i aplikacija. Treba da proveri autenti\u010dnost svake slede\u0107e faze bootovanja. Za to se u svakoj fazi koristi skup klju\u010deva sa digitalnim potpisom. Jedan od najpopularnijih standarda hardverske za\u0161tite klju\u010deva je TPM (Trusted Platform Module, povereni platform modula).<\/p>\n

\"Odpiranje
\nUsmeravanje korena poverenja. Izlo\u017eena je petfazna boot logika koja formira lanac poverenja i po\u010dinje od u\u010ditava\u010da koji se nalazi u nepromenljivoj memoriji. U svakoj fazi koristi se javni klju\u010d kojim se potvr\u0111uje autenti\u010dnost slede\u0107e u\u010ditane komponente. Ilustracija iz knjige Perija Li \u00abArhitektura interneta stvari\u00bb<\/a><\/noindex><\/i><\/p>\n

RoT se mo\u017ee pokretati na razli\u010dite na\u010dine:<\/p>\n