Silicon Labs lanceert Secure Vault: Hardware-gebaseerde oplossing om IoT-apparaatbeveiliging te versterken

Als het om Internet of Things (IoT)-beveiliging gaat, horen chipvendors vaak dezelfde kritiek: ontwerpers en fabrikanten behandelen beveiliging niet als een kernvereiste. De heersende rechtvaardiging is dat beveiliging kosten toevoegt, en als het niet essentieel is, waarom zou je er dan in investeren? Veel apparaten incorporeren beveiliging ook alleen als een nagedachte, wat ze kwetsbaar maakt voor compromittering.

Over de hele wereld verstrengen regeringen de regels. Californië's SB-327 trad in werking in januari 2020, Europa's ETSI-standaard vereist nu cyberbeveiliging voor consumenten-IoT, en de Britse overheid werkt aan een nieuwe wet over IoT-beveiliging. Als reactie intensiveren vendors hun bewustwordingscampagnes.

Deze week kondigde Silicon Labs een nieuwe hardware-gebaseerde beveiligingsaanbieding aan voor zijn wireless system-on-chip (SoC)-oplossingen. De Secure Vault-technologie is een uitgebreide suite ontworpen om apparaatfabrikanten te helpen de stijgende IoT-dreigingen aan te pakken en aan regelgevende eisen te voldoen. Het is al geïntegreerd in het Wireless Gecko Series 2-platform, dat software-beveiligingsfuncties combineert met physically unclonable function (PUF)-hardware om het risico op inbreuken te verminderen en intellectueel eigendom te beschermen.

Silicon Labs beschrijft Secure Vault als een kosteneffectieve, wireless SoC die een geoptimaliseerd beveiligingsniveau levert. Het subsysteem – bestaande uit een toegewijde kern, bus en geheugen – is geïsoleerd van de host-processor, wat ervoor zorgt dat sleutelbeheer, cryptografie en andere kritieke functies beschermd blijven. Deze hardware-scheiding is met name waardevol voor bedrijven die navigeren door GDPR in Europa en Californië's SB-327.

We vroegen Gregory Guez, Senior Director of Product Marketing voor IoT-beveiliging bij Silicon Labs, hoe Secure Vault verschilt van andere oplossingen zoals trusted execution environments (TEE). Hij legde uit, „Secure Vault biedt isolatie tussen het secure element en de klantapplicatie in hardware, niet software. Terwijl andere leveranciers sleutelbeheer met beperkte opslag kunnen bieden, levert ons PUF-gebaseerde ontwerp veilige sleutelopslag over de gehele geheugenruimte.”

Secure Vault biedt ook tamper-resistente versleutelde sleutels. Guez voegde toe, „De versleutelde sleutels worden beschermd door configureerbare detectors en reacties. Secure Vault's veilige identiteitscertificaten stellen fabrikanten in staat om apparaatauthenticiteit te bewijzen – een essentiële vereiste in het huidige IoT-ecosysteem.”

Senior cybersecurity-analist Tanner Johnson van Omdia merkt op dat ingebouwde beveiliging een non-negotiable vereiste is. „Software-updates alleen kunnen geen kwetsbaarheden oplossen die geworteld zijn in onveilige hardware. Hardware-componenten moeten de voorste verdedigingslijn vormen, vooral omdat nieuwe wetgeving IoT-productbeveiliging target.”

Door hardware en software te combineren, helpt Secure Vault fabrikanten merkreputatie, ontwerpintegriteit en consumentendata te beschermen. Het insluiten van het beveiligingssysteem binnen de wireless SoC vereenvoudigt ontwikkeling en stelt veilige over-the-air (OTA)-updates in gedurende de productlevenscyclus. Het leveren van echte, vertrouwde firmware mitigateert onvoorziene exploits, dreigingen en regelgevende gaten.

Secure Vault adresseren de vier pijlers van IoT-beveiliging – vertrouwelijkheid, authenticiteit, integriteit en privacy – via veilige apparaatidentiteit, robuust sleutelbeheer en geavanceerde tamper-detectie.

Veilige apparaatidentiteit lost de uitdaging van post-implementatie-authenticatie op. Silicon Labs' factory-gebaseerde trust-provisioning-service genereert een uniek apparaat-identiteitscertificaat tijdens IC-fabricatie – vergelijkbaar met een geboortecertificaat – wat post-implementatie-beveiliging, authenticiteit en attestatie-gebaseerde gezondheidschecks toelaat. Het certificaat garandeert de authenticiteit van de chip voor de levensduur.

Secure Vault biedt veilige sleutelopslag, met sleutels versleuteld met een master-versleutelingssleutel gegenereerd via een PUF (Afbeelding: Silicon Labs)

Sleutelgeheimhouding is cruciaal voor apparaat- en datatoegang. Secure Vault versleutelt en isoleert sleutels van toepassingscode. Alle sleutels worden versleuteld met een master-sleutel gegenereerd door een PUF, en power-up-handtekeningen zijn uniek per apparaat. Mastersleutels worden gegenereerd tijdens power-up, wat opgeslagen mastersleutels elimineert en aanvalsvectoren reduceert.

Tamper-detectie varieert van behuizingstamper-weerstand tot geavanceerde silicium-niveau-detectie van spanning, frequentie- en temperatuursmanipulaties. Configureerbare tamper-response-functies laten ontwikkelaars interrupts, resets of zelfs geheime sleutelverwijdering activeren wanneer anomalieën gedetecteerd worden.

Secure Link versleutelt de interface tussen een microcontroller en een Wi-Fi-chip om aanvallers te verhinderen SSIDs of wachtwoorden te ontgrendelen (Afbeelding: Silicon Labs)

Additionele Secure Vault-functies omvatten anti-rollback-bescherming – het voorkomen dat oudere, kwetsbare firmware herladen wordt – en Secure Link, wat de microcontroller-Wi-Fi-interface versleutelt met per-sessie, per-apparaat Diffie-Hellman-sleuteluitwisselingen. De link is uniek beveiligd per apparaat en sleutels worden bij elke power-cycle gegenereerd, wat exploitatie bemoeilijkt.

Silicon Labs steekt momenteel Secure Vault-ingeschakelde wireless SoCs, gepland voor release in late Q2 2020.