Groep werkt voor transparantie in vertrouwd silicium

Beveiliging wordt steeds belangrijker naarmate de connectiviteit van apparaten toeneemt, omdat de grotere aanvalsoppervlakken het gemakkelijker maken om systemen te hacken. Het meest fundamentele beveiligingsniveau is een hardware root of trust (RoT). Hoewel veel chipbedrijven RoT in hardware leveren, zijn de propriëtaire oplossingen onder vuur komen te liggen vanwege een gebrek aan transparantie; bedrijven die met hen ontwerpen, moeten hen blind vertrouwen.

Een nieuwe groep belooft het voor ontwikkelaars gemakkelijker te maken om vertrouwde beveiliging in hun systemen op metaalniveau te ontwerpen door beveiliging toegankelijker en transparanter te maken. Het OpenTitan-project zegt dat het het eerste open-source silicium root of trust (RoT)-ontwerp zal opleveren, waarmee een nieuwe lat wordt gelegd voor transparantie in vertrouwd silicium.

Het project brengt een coalitie van bedrijven samen — waaronder ETH Zürich, G+D Mobile Security, Google, Nuvoton Technology en Western Digital — en wordt beheerd door het onafhankelijke, non-profitbedrijf lowRISC CIC (Cambridge, VK). Met behulp van een evolutie van Google's Titan-chip en een RISC-V-kern van ETH Zürich, wil de groep een meer open, transparante en hoogwaardige RoT leveren die het vertrouwen in silicium voor kritieke systeemcomponenten zal verankeren.

OpenTitan zei dat zijn aanpak een radicaal niveau van transparantie zal opleveren, waarbij vrijwel alles wordt geopend, tot aan de 'gieterijgrens'. Bemand door ingenieurs die de partners vertegenwoordigen, bouwt de groep op transparante wijze het logische ontwerp van een silicium RoT, inclusief een open-source microprocessor (de lowRISC Ibex, een op RISC-V gebaseerd ontwerp van ETH Zürich), cryptografische coprocessors, een hardware random- nummergenerator, een geavanceerde sleutelhiërarchie, geheugenhiërarchieën voor vluchtige en niet-vluchtige opslag, verdedigingsmechanismen, I/O-randapparatuur en veilig opstarten. OpenTitan zei dat het een RoT-ontwerp en integratierichtlijnen van hoge kwaliteit zal leveren voor gebruik in datacenterservers, opslag, randapparatuur en andere apparaten.

Open sourcing van het siliciumontwerp maakt het transparanter, betrouwbaarder en uiteindelijk veiliger. Een silicium RoT kan ervoor zorgen dat de hardware-infrastructuur en de software die erop draait in hun beoogde, betrouwbare staat blijven door te verifiëren dat de kritieke systeemcomponenten veilig opstarten met behulp van geautoriseerde en verifieerbare code. Het helpt ervoor te zorgen dat een server of een apparaat opstart met de juiste firmware en niet is geïnfecteerd door malware op laag niveau, en het biedt een cryptografisch unieke machine-identiteit zodat een operator kan controleren of een server of een apparaat legitiem is. Het beschermt ook coderingssleutels tegen manipulatie, zelfs door mensen met fysieke toegang tot een product (bijvoorbeeld tijdens verzending), en biedt gezaghebbende, fraudebestendige auditrecords en andere runtime-beveiligingsservices.

"Systeemintegriteit moet worden verankerd in silicium", zei Google Cloud's OpenTitan-lead, Dominic Rizzo, tijdens het lanceringsevenement van het project. “Bij Google hebben we onze eigen siliciumbasis van vertrouwen opgebouwd met de Titan-chipfamilie. Dit was eigendom van Google. We hebben veel geleerd van de integratie in onze datacenters, zoals het belang van transparante integratie en instructie-integriteit. Dit was geweldig voor onze klanten, maar [was] eigendom, net als andere vertrouwenswortels. Dus OpenTitan is ontworpen om open en flexibel te zijn.” Met OpenTitan, voegde hij eraan toe, is het "blinde vertrouwen van ontwerpers niet langer nodig."

Waarom open source?

OpenTitan stichtende partners (Afbeelding:OpenTitan)

In een typische implementatie wordt de RoT fysiek tussen de opstartprocessor in het systeem en de niet-vluchtige ROM of flash geplaatst die de initiële opstartfirmware bevat. De RoT kan daarom de integriteit van de firmware valideren terwijl deze door de opstartprocessor wordt gelezen voordat het systeem mag opstarten. De RoT kan ook een pad naar herstel bieden als latente firmware-bugs een compromis mogelijk maken. De RoT-module wordt meestal geleverd in de vorm van een afzonderlijke chip of intellectueel eigendom ingebed in een system-on-chip.

Een silicium RoT kan worden gebruikt in servermoederborden, netwerkkaarten, clientapparaten (zoals laptops en telefoons), consumentenrouters en IoT-apparaten. Google heeft vertrouwd op zijn op maat gemaakte RoT-chip, Titan, om ervoor te zorgen dat machines in de datacenters van Google opstarten vanuit een bekende betrouwbare staat met geverifieerde code.

Google zei:"We erkennen het belang van het verankeren van het vertrouwen in silicium en willen samen met onze partners de voordelen van betrouwbare silicium RoT-chips verspreiden naar onze klanten en de rest van de industrie. Wij geloven dat de beste manier om dat te bereiken is door middel van open-source silicium.”

Volgens Richard New, de vice-president van onderzoek en ontwikkeling van Western Digital, zijn alle RoT-chips die momenteel in gebruik zijn eigendom van eigendom. "Omdat implementaties ondoorzichtig zijn, is er geen manier voor een eindgebruiker om onafhankelijk de kwaliteit van de architectuur, firmware of hardware van de RoT-chip te verifiëren. Dit betekent dat de eindgebruiker van een dergelijk apparaat erop moet kunnen vertrouwen dat de ontwerper van de RoT het correct heeft geïmplementeerd en geen fouten heeft geïntroduceerd.”

Het argument van OpenTitan is dat een open-source silicium RoT vergelijkbare voordelen heeft als open-source software. Het verbetert het vertrouwen en de veiligheid door transparantie van ontwerp en implementatie, met de mogelijkheid om problemen vroegtijdig te ontdekken en vermindert de behoefte aan blind vertrouwen. Het gemeenschapsaspect betekent dat innovatie mogelijk wordt gemaakt en aangemoedigd door bijdragen aan het open-sourceontwerp. En hoewel het niet als standaard wordt gepromoot, kan het helpen bij het bieden van keuzemogelijkheden voor de implementatie en het behouden van een reeks gemeenschappelijke interfaces en garanties voor softwarecompatibiliteit via een gemeenschappelijk, open referentieontwerp.

OpenTitan verwacht een radicaal niveau van transparantie te bieden, waarbij vrijwel alles wordt geopend, tot aan de 'gieterijgrens'. (Afbeelding:OpenTitan)

De OpenTitan-aanpak is geworteld in drie kernprincipes:transparantie, kwaliteit en flexibiliteit. Iedereen kan het ontwerp en de documentatie van OpenTitan inspecteren, evalueren en eraan bijdragen om een ​​transparante, betrouwbare silicium RoT te helpen bouwen. De groep bouwt een hoogwaardig, logisch veilig siliciumontwerp, inclusief referentiefirmware, verificatiemateriaal en technische documentatie. Wat betreft flexibiliteit, zei OpenTitan dat gebruikers de kosten kunnen verlagen en meer klanten kunnen bereiken door een leverancier- en platformonafhankelijk silicium RoT-ontwerp te gebruiken dat kan worden geïntegreerd in datacenterservers, opslag, randapparatuur en andere apparaten.

Tijdens de persconferentie zei Gavin Ferris, mede-oprichter en bestuurslid van lowRISC:"We zijn voor ongeveer 40% tot 50% klaar met het referentieontwerp."

Western Digital's New zei dat OpenTitan "een belangrijk onderdeel van onze strategie zal zijn. Ons bedrijf heeft een lange geschiedenis in het bijdragen aan open source, zoals Linux en RISC-V. Open source is de natuurlijke weg die de industrie moet inslaan.” Hij zei dat Western Digital van mening is dat de veiligste oplossingen gebaseerd zijn op open en inspecteerbare implementaties in combinatie met transparant beleid en beveiligingspraktijken. “Concreet betekent dit dat de beste beveiligingsarchitecturen die zijn die, voor zover mogelijk, openstaan ​​voor en door iedereen gecontroleerd kunnen worden. Dit is een niet-controversiële visie in veiligheidskringen, maar helaas een die in de praktijk niet breed wordt gevolgd.

"OpenTitan heeft het potentieel om het gepatenteerde ontwikkelingsmodel te verstoren en een open en inspecteerbaar RoT-referentieontwerp van hoge kwaliteit te bieden voor de industrie in het algemeen."

Industriereactie

Dus wat vinden anderen in de branche? "De RoT is een cruciaal onderdeel van het IoT", vertelde John Moor, directeur van de IoT Security Foundation, aan EE Times Europe . "Een grote belemmering voor beveiliging zijn de kosten, dus een open-source RoT zou nuttig zijn." Maar hij waarschuwde de noodzaak van due diligence met betrekking tot het open-sourceontwerp. "Als het echt wordt gecontroleerd, is dat een goede zaak", zei hij, eraan toevoegend dat het waarschijnlijk een goede zaak is om de kracht van Google achter de inspanningen te hebben.

Andy Hopper, de voorzitter van lowRISC en een veteraan in de computerindustrie die in 1978 de voorloper van Arm oprichtte, zei:"De siliciumwortel van vertrouwen is een te belangrijke fundamentele beveiligingstechnologie om eigendom te zijn. Het OpenTitan-project is een ander voorbeeld van hoe open-sourceontwikkeling innovatie aanmoedigt en grotere belangen dient door een echt betrouwbaar stuk silicium te creëren. Als iemand die al tientallen jaren betrokken is bij de computerwetenschaps- en hardware-industrie, vind ik het bemoedigend om te zien dat bedrijven op een meer collaboratieve en transparante manier samenwerken met onderzoekers en de open-sourcegemeenschap om te blijven innoveren in een post-Moore's Law-wereld."

Haydn Povey, een andere veteraan in de chipwereld en lid van de uitvoerende raad van bestuur van de IoT Security Foundation, benadrukte de "noodzaak om mensen meer bewust te maken van de noodzaak van een RoT, of het nu open-source of propriëtair is." Povey, CEO en oprichter van Secure Thingz en voorheen verantwoordelijk voor beveiliging bij Arm, voegde toe:"Beveiliging zal nooit perfect zijn, maar het is van vitaal belang dat mensen nadenken over beveiliging om ervoor te zorgen dat er geen hiaten in het denken zijn. Op de juiste manier open source kan zelfs veiliger zijn."

Beveiliging is de volgende grote computergolf, van de 'edge to the enterprise', zei Povey. Hij had geen volledige details over OpenTitan, maar zei dat het een grote stap voorwaarts leek in de beveiliging van open-source computersystemen.