Icke-vinstdrivande organisation med deltagande av Google och andra sponsorer den 5 november 2019 projektet , som kallas "det första öppen kÀllkodsprojektet för att skapa en öppen, kvalitativ mikrochiparkitektur med Root of Trust (RoT) pÄ hÄrdvarunivÄ".
OpenTitan pÄ RISC-V-arkitekturen Àr en specialiserad mikrochip designad för installation pÄ servrar i datacenter och i annan utrustning dÀr autentisering av uppstart, skydd av firmware frÄn förÀndringar och uteslutning av rootkits Àr nödvÀndig: detta inkluderar moderkort, nÀtverkskort, routrar, IoT-enheter, mobila gadgets med mera.
Visst finns sÄdana moduler i moderna processorer. Till exempel Àr den hÄrdvarumodul som Intel Boot Guard fungerar som Root of Trust i Intels processorer. Den verifierar UEFI BIOS:s Àkthet via en kedja av förtroende innan operativsystemet laddas. Men frÄgan Àr hur mycket vi kan lita pÄ proprietÀra roots of trust nÀr vi inte har garantier mot buggar i designen och det inte gÄr att kontrollera? Se artikeln som beskriver hur "en Äratal klonad tillverkningsbugg hos flera leverantörer gör det möjligt för potentiella angripare att anvÀnda denna teknologi för att skapa en osynlig (Àven för programmeraren) rootkit i systemet".
Hotet om kompromittering av utrustning i leveranskedjan Ă€r förvĂ„nansvĂ€rt verkligt: tydligen kan en hobbyelektroniker , med utrustning som kostar mindre Ă€n 200 dollar. Vissa experter misstĂ€nker att "organisationer med budgetar pĂ„ hundratals miljoner dollar kan ha sysslat med detta i mĂ„nga Ă„r". Ăven om det inte finns nĂ„gra bevis, sĂ„ Ă€r det teoretiskt möjligt.
âOm du inte kan lita pĂ„ hĂ„rdvaruuppstarten, Ă€r spelet över, - Gavin Ferris, styrelseledamot för lowRISC. - Det spelar ingen roll vad operativsystemet gör - om du Ă€r komprometterad innan operativsystemet startas, dĂ„ Ă€r resten bara teknik. Du Ă€r redan ute."
Detta problem Ă€r vad den första i sitt slag, öppna hĂ„rdvaruplattformen OpenTitan ska lösa (, , ). Att gĂ„ bort frĂ„n proprietĂ€ra lösningar kommer att förĂ€ndra âden tröga och ofullkomliga RoT-industrinâ, anser Google.
SjÀlva företaget Google inledde utvecklingen av Titan efter att ha upptÀckt operativsystemet Minix inbÀddat i Intel Management Engine (ME)-chip. Detta komplexa operativsystem utvidgade attackytan pÄ ett oförutsÀgbart och okontrollerat sÀtt. Google , men utan framgÄng.
Vad Àr en grund för förtroende?
Varje steg i systemets uppstart process kontrollerar Àktheten hos nÀsta steg, vilket formar en kedja av förtroende.
En grund för förtroende (Root of Trust, RoT) Ă€r en hĂ„rdvarubaserad autentisering som garanterar att kĂ€llan till den första körbara instruktionen i kedjan av förtroende inte kan Ă€ndras. RoT Ă€r ett grundlĂ€ggande skydd mot rootkits. Det Ă€r ett nyckelsteg i uppstartsprocessen som Ă€r involverad i den fortsatta driften av systemet â frĂ„n BIOS till operativsystem och applikationer. Den ska autentisera varje efterföljande steg i uppstarten. För detta anvĂ€ndes en uppsĂ€ttning nycklar med digitala signaturer vid varje steg. En av de mest populĂ€ra standarderna för hĂ„rdvaruskydd av nycklar Ă€r TPM (Trusted Platform Module, SĂ€ker Plattformmodul).
Etablering av grund för förtroende. Ovan visas en femstegsuppstart som bildar en kedja av förtroende och börjar med bootloadern som finns i oförÀnderlig minne. Vid varje steg anvÀnds en offentlig nyckel som verifierar Àktheten av nÀsta komponent som laddas. Illustration frÄn Perry Lee:s
RoT kan startas pÄ olika sÀtt:
- ladda en bild och en grundnyckel frÄn firmware eller oförÀnderlig minne;
- lagra grundnyckeln i en engÄngsprogrammerbar minne med hjÀlp av fuse-bitar;
- ladda koden frÄn ett skyddat minnesomrÄde till en sÀker lagring.
I olika processorer implementeras grunden för förtroende pÄ olika sÀtt. Intel och ARM
stöder följande teknologier:
- ARM TrustZone. ARM sĂ€ljer en proprietĂ€r silikonblock till chipstillverkare, som tillhandahĂ„ller en rot av förtroende och andra sĂ€kerhetsmekanismer. DĂ€rigenom separeras mikroprocessorn frĂ„n det osĂ€kra kĂ€rnan; den kör ett Trusted OS â ett sĂ€kert operativsystem med en tydligt definierad grĂ€nssnitt för interaktion med osĂ€kra komponenter. Skyddade resurser finns inom det betrodda kĂ€rnan och bör vara sĂ„ lĂ€ttviktiga som möjligt. ĂvergĂ„ngen mellan komponenter av olika typer sker med hjĂ€lp av hĂ„rdvarubaserad kontextvĂ€xling, vilket eliminerar behovet av sĂ€kermjukvara för övervakning.
- Intel Boot Guard Àr en hÄrdvarumechanism för autentisering av den initiala boot-blocket genom kryptografiska medel eller genom en mÀtprocess. För att verifiera det initiala blocket mÄste tillverkaren generera en 2048-bitars nyckel som bestÄr av tvÄ delar: en offentlig och en privat. Den offentliga nyckeln trycks pÄ kretskortet genom 'detonation' av fuse-bitar under tillverkningssteget. Dessa bitar Àr engÄngs och kan inte Àndras. Den privata delen av nyckeln genererar en digital signatur för efterföljande autentisering av boot-steget.
OpenTitan-plattformen avtÀcker nyckelkomponenter av ett sÄdant hÄrdvaru-mjukvarusystem, som visas i diagrammet nedan.
OpenTitan-plattformen
Utvecklingen av OpenTitan-plattformen leds av den ideella organisationen lowRISC. Ingenjörsteamet Ă€r baserat i Cambridge (Storbritannien) och huvudsponsorn Ă€r Google. Grundpartners inkluderar ETH ZĂŒrich, G+D Mobile Security, Nuvoton Technology och Western Digital.
Google av projektet pÄ Google Open Source företagsbloggen. Företaget meddelade att OpenTitan strÀvar efter att "tillhandahÄlla högkvalitativa rekommendationer för design och integration av RoT för anvÀndning i datacenter, lagringsenheter, perifera enheter och mycket mer."
Rot av förtroende Àr det första ledet i förtroendekedjan pÄ den lÀgsta nivÄn i det betrodda datormodulen, som alltid Àr helt litat pÄ av systemet.
RoT Àr avgörande för applikationer, inklusive infrastrukturer för offentliga nycklar (PKI). Detta Àr grunden för det sÀkerhetssystem som ligger till grund för komplexa system som IoT-applikationer eller datacenter. DÀrför Àr det förstÄeligt varför Google stöder detta projekt. För nÀrvarande har det 19 datacenter pÄ fem kontinenter. Datacenter, lagringsutrymmen och kritiska applikationer utgör en stor yta för attacker, och för att skydda denna infrastruktur har Google frÄn början utvecklat sin egen root of trust pÄ Titan-chippet.
för Googles datacenter introducerades först pÄ konferensen Google Cloud Next. "VÄra datorer utför kryptografisk validering av varje paket med mjukvara och avgör sedan om det ska beviljas Ätkomst till nÀtverksresurser. Titan integreras i denna process och erbjuder extra skyddslager", berÀttade representanter för Google vid den presentationen.
Titan-chippet i Google-servern
Arkitekturen för Titan var Àgd av Google, men blir nu allmÀn egendom inom ramen för ett öppen kÀllkodsprojekt.
Det första steget i projektet Àr att skapa en logisk design för RoT pÄ chipnivÄ, inklusive en öppen kÀllkods mikroprocessor , kryptografiska processorer, en hÄrdvarugenerator för slumpmÀssiga nummer, nyckelhierarkier och minne för energiberoende och oberoende lagring, skyddsmekanismer, in- och utmatningsenheter och sÀkra startprocesser.
Google sÀger att OpenTitan bygger pÄ tre huvudprinciper:
- alla har möjlighet att verifiera plattformen och bidra;
- ökad flexibilitet genom att öppna en logiskt sÀker design som inte blockeras av leverantörernas proprietÀra förbud;
- och kvalitet, som sÀkerstÀlls inte bara av sjÀlva designen utan Àven av referensfirmwaren och dokumentationen.
«Dagens mikrochip med rotĂ€kerhet Ă€r mycket proprietĂ€ra. De pĂ„stĂ„r sig vara sĂ€kra, men i verkligheten mĂ„ste du lita pĂ„ dem utan att kunna verifiera det sjĂ€lv, sĂ€ger Dominic Rizzo, ledande sĂ€kerhetsspecialist pĂ„ Google Titan. â Nu finns det för första gĂ„ngen en möjlighet att sĂ€kerstĂ€lla sĂ€kerhet utan att blint lita pĂ„ utvecklarna av proprietĂ€ra rotdesign. SĂ„ grunden Ă€r inte bara stark, den kan verifieras».
Rizzo tillade att OpenTitan kan betraktas som «radikalt transparent design, jÀmfört med den nuvarande situationen».
Enligt utvecklarna bör OpenTitan absolut inte betraktas som en fÀrdig produkt, eftersom utvecklingen inte Àr klar. De har medvetet öppnat specifikationer och design mitt i utvecklingen sÄ att alla kan verifiera det, bidra och förbÀttra systemet innan produktionen startar.
För att börja producera OpenTitan-chips mÄste man ansöka och genomgÄ certifiering. Tydligen krÀvs inga licensavgifter.
KĂ€lla: habr.com
