Silicon Labs запускает Secure Vault: аппаратное решение для усиления безопасности IoT устройств

Когда речь идет о безопасности Интернета вещей (IoT), вендоры чипов часто слышат ту же критику: дизайнеры и производители не относятся к безопасности как к основному требованию. Преобладающее оправдание в том, что безопасность добавляет стоимость, и если она не обязательна, зачем беспокоиться? Многие устройства также включают безопасность только как послемышление, оставляя их уязвимыми для компрометации.

По всему миру правительства ужесточают правила. Калифорнийский SB-327 вступил в силу в январе 2020, европейский стандарт ETSI теперь требует кибербезопасность для потребительского IoT, а правительство Великобритании готовит новый закон о безопасности IoT. В ответ вендоры усиливают свои кампании по осведомленности.

На этой неделе Silicon Labs анонсировала новое аппаратное предложение безопасности для своих беспроводных систем-на-чипе (SoC). Технология Secure Vault — это комплексный набор, разработанный помочь производителям устройств справляться с растущими IoT угрозами и соответствовать регуляторным требованиям. Она уже интегрирована в платформу Wireless Gecko Series 2, которая паря программные функции безопасности с аппаратной физически неклонируемой функцией (PUF) для снижения риска нарушений и защиты интеллектуальной собственности.

Silicon Labs описывает Secure Vault как стоимостью-эффективное, беспроводное SoC, доставляющее оптимизированный уровень безопасности. Подсистема — включающая выделенное ядро, шину и память — изолирована от хост-процессора, гарантируя, что управление ключами, криптография и другие критические функции остаются защищенными. Этот аппаратный разделитель особенно ценен для компаний, навигирующих GDPR в Европе и Калифорнийский SB-327.

Мы спросили Грегори Гез, старшего директора по продуктовому маркетингу IoT безопасности в Silicon Labs, чем Secure Vault отличается от других решений таких как trusted execution environments (TEE). Он объяснил: "Secure Vault обеспечивает изоляцию между secure element и клиентским приложением в железе, не в ПО. В то время как другие вендоры могут предлагать управление ключами с ограниченным хранилищем, наш PUF-базированный дизайн доставляет безопасное хранение ключей по всему пространству памяти".

Secure Vault также предлагает manipulations-устойчивые зашифрованные ключи. Гез добавил: "Зашифрованные ключи защищены настраиваемыми детекторами и ответами. Secure identity сертификаты Secure Vault позволяют производителям доказать подлинность устройства — существенное требование в сегодняшней IoT экосистеме".

Старший аналитик кибербезопасности Tanner Johnson из Omdia отмечает, что встроенная безопасность — неотъемлемое требование. "ПО обновления в одиночку не могут исправить уязвимости, укорененные в небезопасном железе. Железные компоненты должны служить передовой линией обороны, особенно когда новое законодательство нацелено на безопасность IoT продуктов", — сказал он.

Комбинируя железо и ПО, Secure Vault помогает производителям защитить репутацию бренда, целостность дизайна и данные потребителей. Встраивание системы безопасности в беспроводной SoC упрощает разработку и позволяет безопасные over-the-air (OTA) обновления на протяжении жизненного цикла продукта. Доставка подлинной, доверенной прошивки митигирует непредвиденные эксплойты, угрозы и регуляторные пробелы.

Secure Vault адресует четыре столпа IoT безопасности — конфиденциальность, аутентификация, целостность и приватность — через безопасную идентичность устройства, надежное управление ключами и продвинутое обнаружение манипуляций.

Безопасная идентичность устройства решает проблему пост-деплоймент аутентификации. Фабричный сервис trust provisioning Silicon Labs генерирует уникальный сертификат идентичности устройства во время производства ИС — аналогично свидетельству о рождении — позволяя пост-деплоймент безопасность, подлинность и аттестационные проверки здоровья. Сертификат гарантирует подлинность чипа на протяжении его жизни.

Secure Vault обеспечивает безопасное хранение ключей, с ключами, зашифрованными мастер-ключом, генерируемым через PUF (Изображение: Silicon Labs)

Секретность ключей критична для доступа к устройству и данным. Secure Vault шифрует и изолирует ключи от кода приложения. Все ключи зашифрованы мастер-ключом, генерируемым PUF, и сигнатуры включения питания уникальны для каждого устройства. Мастер-ключи создаются при включении питания, устраняя сохраненные мастер-ключи и снижая векторы атак.

Обнаружение манипуляций варьируется от сопротивления вскрытию корпуса до сложного кремниевого детектирования манипуляций напряжением, частотой и температурой. Настраиваемые функции ответа на манипуляции позволяют разработчикам триггерить прерывания, сбросы или даже удаление секретных ключей при обнаружении аномалий.

Secure Link шифрует интерфейс между микроконтроллером и Wi-Fi чипом для предотвращения атакующих от извлечения SSID или паролей (Изображение: Silicon Labs)

Дополнительные функции Secure Vault включают anti-rollback защиту — предотвращающую перезагрузку старой, уязвимой прошивки — и Secure Link, который шифрует микроконтроллер-Wi-Fi интерфейс используя per-session, per-device Diffie-Hellman ключевые обмены. Связь уникально защищена на устройство и ключи регенерируются на каждом цикле питания, делая эксплуатацию трудной.

Silicon Labs в настоящее время семплирует Secure Vault-включенные беспроводные SoC, запланированные к выпуску в конце Q2 2020.