OpenTitan: Пионер прозрачных, open-source кремниевых корней доверия для более безопасных систем

По мере расширения коннективности устройств растет риск кибератак. В ядре безопасного железа лежит корень доверия (Root of Trust, RoT). Хотя многие производители встраивают RoT в кремний, проприетарные дизайны часто лишены прозрачности, заставляя дизайнеров ставить слепую веру в невидимые компоненты.

Входит OpenTitan — коалиция, приверженная делающей доверенную безопасность доступной прямо на кремниевом уровне через беспрецедентную открытость и доступность.

Инициатива объединяет лидеров вроде ETH Zurich, G+D Mobile Security, Google, Nuvoton Technology и Western Digital, и управляется независимой, некоммерческой lowRISC CIC (Кембридж, Великобритания). Используя эволюцию Google Titan чипа и ETH RISC-V ядра, проект нацелен на доставку более открытого, прозрачного и высококачественного RoT, который будет подкреплять доверие в критические системы.

OpenTitan обещает радикальную степень прозрачности — всё, вплоть до границы фабрики, открыто. Инженеры от партнерских компаний открыто создают логический дизайн кремниевого RoT, включая lowRISC Ibex RISC-V процессор, криптографические сопроцессоры, аппаратный генератор случайных чисел, сложную иерархию ключей, volatile и non-volatile память интерфейсы, защитные механизмы, I/O периферию и secure-boot логику. Результатом будет высококачественный RoT дизайн и руководства по интеграции, подходящие для дата-центр серверов, хранилищ, периферии и больше.

Open-sourcing кремниевого дизайна повышает прозрачность, доверие и в конечном счете безопасность. Кремниевый RoT гарантирует, что аппаратный стек и его софт остаются в верифицированном, доверенном состоянии аутентифицируя boot firmware, предотвращая low-level malware и предоставляя криптографически уникальную машину identity. Он также защищает ключи шифрования от подделки — даже во время поставки — и доставляет tamper-evident аудиторские следы и runtime сервисы безопасности.

«Целостность системы должна быть заякорена в кремнии», — заявил Доминик Риццо, лидер OpenTitan в Google Cloud, на запуске проекта. «Мы построили наш собственный проприетарный Titan RoT для дата-центров Google, узнав, что прозрачная интеграция и целостность инструкций критичны. OpenTitan делает тот же уровень доверия открыто доступным и гибким, устраняя потребность в слепой вере».

Почему open source?

Основатели OpenTitan (Изображение: OpenTitan)

В большинстве дизайнов RoT сидит физически между boot процессором и non-volatile ROM или flash, держащим начальную firmware. RoT валидирует целостность firmware перед тем как процессор может начать boot, и может предоставлять recovery path если latent firmware баги возникают. RoT модуль типично отдельный чип или IP-блок встроенный в SoC.

Кремниевые RoT находят применение в серверных материнках, сетевых картах, клиентских устройствах вроде ноутбуков и телефонов, потребительских роутерах и IoT устройствах. Google полагалась на свой кастомный Titan RoT для гарантии что ее дата-центр машины boot только от верифицированного кода.

Google подчеркнула необходимость «заякорить доверие в кремнии» и заявила: «Вместе с нашими партнерами мы нацелены разделить выгоды надежных RoT чипов по индустрии делая их open source».

Ричард Нью, вице-президент R&D Western Digital, отметил, что все RoT чипы в обращении сегодня проприетарны. «Потому что реализации непрозрачны, конечные пользователи не могут независимо верифицировать качество архитектуры, firmware или hardware дизайна RoT», — сказал он. «Пользователи должны доверять, что дизайнер реализовал это правильно и без ошибок».

OpenTitan аргументирует, что open-source кремниевый RoT предлагает те же trust-building преимущества как open-source софт: прозрачный дизайн, раннее обнаружение проблем и сниженную слепую веру. Комьюнити contributions движут инновации, в то время как общий референс-дизайн предоставляет выбор реализации и сохраняет консистентность интерфейсов.

OpenTitan ожидает доставить радикальный уровень прозрачности, открывая практически всё, вплоть до «foundry boundary». (Изображение: OpenTitan)

Стратегия OpenTitan опирается на три столпа: прозрачность, качество и гибкость. Кто угодно может инспектировать, оценивать и контрибьютить в дизайн и документацию, обеспечивая прозрачный, доверенный кремниевый RoT. Группа доставляет высококачественный, логически защищенный дизайн, с референс firmware, верификационным collateral и исчерпывающей документацией. Гибкость позволяет принявшим снизить стоимости и достичь более широких рынков интегрируя vendor-agnostic RoT в серверы, хранилища, периферию и другие устройства.

На пресс-конференции Гавин Феррис, lowRISC сооснователь и член совета, сказал: «Мы примерно 40-50% завершили на референс-дизайне».

Нью добавил: «OpenTitan сыграет большую роль в нашей стратегии. Western Digital долгое время чемпионировала open source — думайте Linux и RISC-V — и верит, что самые защищенные решения возникают из открытых, инспектируемых реализаций в сочетании с прозрачными политиками. OpenTitan имеет потенциал разрушить проприетарную модель и предложить отрасли высококачественный, открытый референс RoT».

Реакция индустрии

Джон Мур, управляющий директор IoT Security Foundation, сказал EE Times Europe что RoT критичен для IoT безопасности. «Стоимость — главный барьер, так что open-source RoT помог бы», — сказал он, добавляя что скрутинь и поддержка Google придают надежность.

Энди Хоппер, lowRISC председатель и бывший основатель компании, ставшей Arm, заметил: «Кремниевый корень доверия слишком критичен чтобы быть проприетарным. OpenTitan примеряет как open-source разработка стимулирует инновации и доставляет по-настоящему доверенный кремний. В post-Moore's-Law мире, коллаборация и прозрачность — путь вперед».

Хейден Повей, CEO Secure Thingz и бывший security lead в Arm, подчеркнул необходимость поднять осведомленность о RoT — будь то открытые или проприетарные. «Безопасность никогда не будет идеальной, но поощрение открытого обсуждения предотвращает пробелы. Когда сделано правильно, open source может быть даже более защищенным», — сказал он.

Повей подсветил, что безопасность — следующая computing граница — от edge до enterprise — и что OpenTitan представляет значительный шаг к open-source системной безопасности.