Icke-vinstdrivande organisation med deltagande av Google och andra sponsorer den 5 november 2019 projektet , som kallas "det första öppen kÀllkodsprojektet för att skapa en öppen, kvalitativ arkitektur för rot av förtroende (RoT) pÄ hÄrdvarunivÄ".
OpenTitan pÄ RISC-V-arkitektur Àr en specialiserad chip för installation pÄ servrar i datacenter och i vilken annan utrustning som helst dÀr autentisering av laddning behövs, för att skydda firmware frÄn förÀndringar och utesluta risken för rootkits: detta inkluderar moderkort, nÀtverkskort, routrar, IoT-enheter, mobila enheter med mera.
SjÀlvklart finns sÄdana moduler i moderna processorer. Till exempel Àr Intel Boot Guard en hÄrdvarumodul som fungerar som en rot av förtroende i Intel-processorer. Den verifierar kedjan av förtroende för Àktheten av UEFI BIOS innan operativsystemet laddas. Men frÄgan Àr hur mycket vi kan lita pÄ proprietÀra rötter av förtroende med tanke pÄ att vi inte har garantier för att det inte finns nÄgra buggar i designen, och att det inte gÄr att verifiera? Se artikel med en beskrivning av hur en lÄngvarig kloningsfel hos flera leverantörer kan göra det möjligt för en potentiell angripare att anvÀnda denna teknik för att skapa en osynlig (Àven för programmeraren) rootkit i systemet.
Hotet av kompromettering av utrustning i leveranskedjan Ă€r överraskande verkligt: det verkar som att varje hobbyelektronikentusiast , med utrustning som kostar högst 200 dollar. Vissa experter misstĂ€nker att "organisationer med en budget pĂ„ hundratals miljoner dollar kan ha sysslat med detta i mĂ„nga Ă„r". Ăven om det inte finns nĂ„gra bevis, Ă€r det teoretiskt möjligt.
"Om du inte kan lita pÄ den hÄrdvarubaserade bootloadern, sÄ Àr spelet över, - Gavin Ferris, styrelseledamot för lowRISC. -Det spelar ingen roll vad operativsystemet gör - om du Àr komprometterad vid tidpunkten för operativsystemets start Àr resten bara teknik. Du Àr redan ute."
Detta problem ska den första sin sortens öppna hÄrdvaruplattform, OpenTitan, lösa (, , ). Att överge proprietÀra lösningar kommer att förÀndra "den tröga och ofullkomliga RoT-industrin", anser Google.
SjÀlva företaget Google började utveckla Titan efter att ha upptÀckte operativsystemet Minix inbÀddat i Intel Management Engine (ME) -chipp. Detta komplexa operativsystem utvidgade attackytan pÄ ett oförutsÀgbart och okontrollerat sÀtt. Google , men utan framgÄng.
Vad Àr en root of trust?
Varje steg i systemets uppstartprocess verifierar Àktheten av nÀsta steg och skapar pÄ sÄ sÀtt en kedja av förtroende.
En root of trust (RoT) Àr en hÄrdvaruÀkthetsverifiering som sÀkerstÀller att kÀllan till den första exekverbara instruktionen i kedjan av förtroende inte kan Àndras. RoT Àr ett grundlÀggande skydd mot rootkits. Det Àr ett nyckelsteg i uppstartsprocessen som medverkar till vidare systemstart - frÄn BIOS till operativsystem och applikationer. Den mÄste verifiera Àktheten av varje efterföljande steg i uppstarten. För detta anvÀnds en uppsÀttning nycklar med digital signatur vid varje steg. En av de mest populÀra standarderna för hÄrdvaruskydd av nycklar Àr TPM (Trusted Platform Module, Trusted Platform Module).
Etablering av root of trust. Ovan visas en femstegsuppstart som skapar kedjan av förtroende och börjar med bootloadern som finns i oförÀndrad minne. Vid varje steg anvÀnds en offentlig nyckel för att bekrÀfta Àktheten av nÀsta laddade komponent. Illustration frÄn Perry Lee
RoT kan startas pÄ olika sÀtt:
- ladda bilden och rootnyckeln frÄn firmware eller oförÀndrat minne;
- lagra rootnyckeln i engÄngsprogrammerbar minne med hjÀlp av fuse-bitar;
- ladda koden frÄn ett skyddat minnesomrÄde till ett skyddat förrÄd.
I olika processorer implementeras root of trust pÄ olika sÀtt. Intel och ARM
stödjer följande teknologier:
- ARM TrustZoneARM sĂ€ljer en proprietĂ€r silikonblock till chipproducenter som tillhandahĂ„ller rot av förtroende och andra sĂ€kerhetsmekanismer. DĂ€rmed separeras mikroprocessorn frĂ„n den osĂ€kra kĂ€rnan; den kör Trusted OS â ett sĂ€kert operativsystem med en tydligt definierad grĂ€nssnitt för interaktion med osĂ€kra komponenter. De skyddade resurserna finns i den betrodda kĂ€rnan och bör vara sĂ„ lĂ€tta som möjligt. ĂvergĂ„ngen mellan komponenter av olika typer görs genom hĂ„rdvarubaserad kontext-switching, vilket eliminerar behovet av sĂ€ker mjukvara för övervakning.
- Intel Boot Guard Àr en hÄrdvarumekanism för autentisering av den initiala boot-blocket med hjÀlp av kryptografiska metoder eller genom en mÀtprocess. För att verifiera den initiala boot-blocket mÄste tillverkaren skapa en 2048-bitars nyckel som bestÄr av tvÄ delar: en öppen och en sluten. Den offentliga nyckeln trycks pÄ kretskortet genom att "detonera" fuse-bitar under tillverkningssteget. Dessa bitar Àr engÄngsanvÀndning och kan inte Àndras. Den slutna delen av nyckeln genererar en digital signatur för den efterföljande autentiseringen av boot-steget.
OpenTitan-plattformen öppnar nyckeldelar av sÄdan en hÄrdvaru-mjukvarusystem, vilket visas i diagrammet nedan.
OpenTitan-plattformen
Utvecklingen av OpenTitan-plattformen sker under ledning av den ideella organisationen lowRISC. Ingenjörsteamet Ă€r baserat i Cambridge (Storbritannien), och huvudsponsorn Ă€r Google. GrundlĂ€ggande partners inkluderar ETH ZĂŒrich, G+D Mobile Security, Nuvoton Technology och Western Digital.
Google av projektet i Googles företagsblogg för öppen kÀllkod. Företaget meddelade att OpenTitan strÀvar efter att "tillhandahÄlla högkvalitativa design och integrationsrekommendationer för RoT anvÀndande i datacenter-servrar, lagringslösningar, perifera enheter och mycket mer".
Rot av förtroende Àr det första lÀnket i förtroendekedjan pÄ den lÀgsta nivÄn i en betrodd datormodul, som alltid fullt ut litas pÄ av systemet.
RoT Àr avgörande för applikationer, inklusive infrastruktur för öppna nycklar (PKI). Det Àr fundamentet för sÀkerhetssystemet som ligger till grund för komplexa system som IoT-applikationer eller datacenter. DÀrför Àr det förstÄeligt varför Google stöder detta projekt. Idag har de 19 datacenter pÄ fem kontinenter. Datacenter, lagringsenheter och kritiska applikationer utgör en stor yta för attacker, och för att skydda denna infrastruktur har Google frÄn första början utvecklat sin egen betrodda rot i Titan-chipet.
för Googles datacenter presenterades först pÄ konferensen Google Cloud Next. "VÄra datorer genomför kryptografisk verifiering av varje paket med programvara och beslutar sedan om det ska ges Ätkomst till nÀtverksresurser. Titan integreras i denna process och erbjuder ytterligare skyddsskikt," berÀttade representanter för Google vid den presentationen.
Titan-chipet i Google-servern
Titan-arkitekturen var en Googles egen teknik, men nu blir den allmÀnt tillgÀnglig inom ramen för ett öppen kÀllkodsprojekt.
Det första steget i projektet Àr att skapa en logisk design för RoT pÄ chipnivÄ, inklusive en öppen kÀllkods mikroprocessor , kryptografiska processorer, hÄrdvaru- slumpgeneratorer, nyckelhierarkier och minne för energihÄllande och icke-energihÄllande lagring, skyddsmekanismer, in-och-ut-enheter samt sÀkra startprocesser.
Google sÀger att OpenTitan Àr baserat pÄ tre nyckelprinciper:
- alla har möjlighet att verifiera plattformen och bidra;
- ökat flexibilitet genom att öppna en logiskt sÀker design som inte blockeras av proprietÀra leverantörsrestriktioner;
- kvalitet som sÀkerstÀlls inte bara genom designen sjÀlv, utan ocksÄ genom referensfirmware och dokumentation.
âDe nuvarande chipsen med förtroendsrötter Ă€r vĂ€ldigt proprietĂ€ra. De pĂ„stĂ„r sig vara sĂ€kra, men i verkligheten tar du det pĂ„ tro och kan inte verifiera dem sjĂ€lv, sĂ€ger Dominic Rizzo, ledande sĂ€kerhetsexpert pĂ„ Google Titan-projektet. â Nu finns det för första gĂ„ngen en möjlighet att sĂ€kerstĂ€lla sĂ€kerhet utan blind tro pĂ„ utvecklarna av proprietĂ€r design av förtroendsrötter. SĂ„ grunden Ă€r inte bara stark, utan den kan ocksĂ„ verifieras.â
Rizzo tillade att OpenTitan kan anses vara âradikalt transparent design, jĂ€mfört med den nuvarande situationen.â
Enligt utvecklarna bör OpenTitan absolut inte betraktas som en fÀrdig produkt, eftersom utvecklingen inte Àr avslutad. De öppnade specifikationerna och designen mitt under utvecklingen sÄ att alla kan verifiera det, bidra och förbÀttra systemet innan produktionen börjar.
För att pÄbörja produktionen av OpenTitan-chips mÄste man ansöka och genomgÄ certifiering. Tydligen krÀvs det inga licensavgifter.
KĂ€lla: habr.com
