Embedded geheugenbeveiliging: Een hoeksteen voor moderne databescherming

Hoewel geheugen-niveau beveiliging al jaren bestaat, hebben de explosieve groei van remote werk en de uitrol van 5G het belang vergroot. Vandaag is het beschermen van data cruciaaler – en complexer – dan ooit.

Het toevoegen van robuuste beveiliging aan geheugenchips verhoogt onvermijdelijk de ontwerpc complexiteit. Toch manifesteren de voordelen van deze functies zich alleen wanneer ze correct geconfigureerd en geïntegreerd zijn met de rest van het systeem, inclusief besturingssystemen en toepassingsoftware.

Decennialang is beveiliging ingesponnen in geheugen- en netwerkcomponenten in computomgevingen. Electrically erasable programmable read-only memory (EEPROM) aandrijft creditcards, SIM-kaarten en keyless entry; de "S" in SD-kaarten staat voor "secure", en SSD's hebben lang hardware-gebaseerde encryptie ondersteund.

Ondanks deze vooruitgang blijft menselijke fout een alomtegenwoordige dreiging. Beveiligingsprofessionals worstelen nog steeds met gebruikers die kwaadaardige bijlagen openen of routers die verkeerd geconfigureerd zijn. Zelfs de meest geavanceerde geheugen-niveau beschermingen kunnen worden ondermijnd als het systeem niet correct beheerd wordt.

Naarmate meer systemen convergeren – met name met de opkomst van edge computing, het Internet of Things (IoT) en verbonden voertuigen – moet geheugen-gebaseerde beveiliging evolueren om tempo te houden met uitbreidende aanvalsoppervlakken.

Infineon's Semper Secure NOR flash illustreert hoe hardware kan dienen als root of trust terwijl ook diagnostiek en datacorrectie voor functionele veiligheid worden uitgevoerd. (Bron: Infineon)

Bedrijven zoals Rambus bieden producten die elke verbinding beveiligen in reactie op de bandbreedte-eisen van cloud en edge omgevingen. Infineon heeft zijn Cypress Semiconductor Semper NOR flash uitgebreid om de onvermijdelijkheid van alomtegenwoordige connectiviteit te anticiperen, beschermend tegen tampering van flash-inhoud in elk platform – van autonome voertuigen tot industriële, medische en IoT-apparaten.

Encryption key management is essentieel, zoals analist Thomas Coughlin benadrukt. Het insluiten van beveiliging in non-volatile geheugen wordt steeds belangrijker omdat data persisteert zelfs wanneer een apparaat uitgeschakeld is.

De echte uitdaging, volgens Coughlin, is ervoor te zorgen dat gebruikers deze beveiligingsfuncties gemakkelijk kunnen gebruiken. De zwakste schakel in de meeste systemen is nog steeds de menselijke operator.

Moderne smartphones fungeren nu als authenticatie-agents, die traditionele wachtwoorden vervangen door biometrie. Hoewel dit de afhankelijkheid van wachtwoorden vermindert, introduceert het ook het risico op onbedoelde blootstelling van onversleutelde data. Coughlin benadrukt dat gebruiksgemak, buiten encryptie hinaus, cruciaal is.

Vice President of Marketing bij Virtium, Scott Phillips, stelt dat encryptie alleen onvoldoende is. Een multi-layered, centraal beheerde benadering is nodig, met name bij het implementeren van de Trusted Computing Group's Opal specificatie voor pre-boot authenticatie. "Zelfs een aanzienlijk bedrijf activeert vaak geen holistische, geavanceerde beveiliging," zegt Phillips.

Met 5G-implementatie die versnelt, zijn er inspanningen om datapaden van de edge tot het datacenter te beveiligen, maar hardware-gebaseerde beveiliging ondervindt nog steeds implementatiehinderpalen.

Integratie-eisen

Industriële sectoren eisen consolidatie van disparatesystemen, terwijl hyper-scalers zoals Amazon Web Services en Microsoft Azure data beveiliging kampvechten. Toch moeten deze verdedigingen de eindgebruiker bereiken.

Ondanks een uitbreidende reeks standaarden, blijven compatibiliteitsproblemen bestaan. Leveranciers wervelen om zich te positioneren als leiders in beveiligde producten en diensten, maar hackers benutten constant eventuele overgebleven gaten. "Het vereist een gecentraliseerde, minuieuze IT-functie om al die gaten te dichten," voegt Phillips toe.

Beveiliging direct in een geheugenapparaat insluiten – in plaats van het later te bevestigen – is vergelijkbaar met de DevSecOps-filosofie, die beveiliging en privacy integreert door de hele ontwikkelcyclus.

Confidential computing is een opkomend framework dat data in gebruik beschermt door berekeningen te isoleren binnen een hardware-gebaseerde trusted execution environment (TEE). Data is versleuteld in het geheugen en blijft beschermd tijdens verwerking.

Intel SGX demonstreert hoe een trusted execution environment kan worden gecreëerd binnen een processor, wat zorgt dat code en data die binnen geladen worden beschermd zijn voor confidentialiteit en integriteit.

Zowel software- als hardwareleveranciers, inclusief Google en Intel, bevorderen confidential computing. Google kondigde recent container-niveau capaciteiten aan, terwijl Intel's Software Guard Extensions (SGX) TEEs mogelijk maken voor cloudproviders zoals Microsoft Azure.

Confidential computing vereist gedeelde verantwoordelijkheid. Simon Johnson, senior principal engineer voor Intel's Product Assurance and Security Architecture, herinnert ons dat de mens de zwakste schakel blijft.

Intel's SGX biedt hardware-gebaseerde geheugenencryptie die toepassingscode en data isoleert binnen private "enclaves." Deze granulatie helpt te verdedigen tegen aanvallen zoals cold-boot attacks en beschermt tegen gecompromitteerde besturingssystemen, drivers, BIOS of virtuele machine managers.

Door encryptiesleutels dichter bij de workload te brengen, kan confidential computing latentie verminderen en analytics mogelijk maken op datasets die gebruikers niet bezitten. Vandaag zijn software-only beschermingen onvoldoende; hardware-beschermingen zijn essentieel.

Virtium's Phillips merkt op dat push-button geheugenencryptie het ultieme doel is, maar uitgebreide beveiliging zal extra lagen bovenop die fundering vereisen.

Confidential computing is meer dan geheugenencryptie; het gaat om het garanderen van volledige data-isolatie, toegangscontrole en verifieerbaarheid in een heterogene omgeving.

>> Dit artikel is oorspronkelijk gepubliceerd op onze zustersite, EE Times.