La seguridad es un proceso de varios pasos. Hay una cadena de confianza, con cada vínculo verificado y autenticado por el anterior. Pero eventualmente, la cadena se detiene en alguna parte. El pedal se encuentra con el metal.
O, en su caso, de silicona.
Hasta hace poco, la seguridad de los semiconductores era más una amenaza teórica que real, pero los ataques al firmware han ido en aumento.
A principios de este año, el Departamento de Seguridad Nacional advirtió que el firmware "presenta una superficie de ataque grande y en constante expansión".
Según la agencia, las empresas a menudo pasan por alto la seguridad del firmware, lo que lo convierte en uno de los métodos más sigilosos para comprometer dispositivos a gran escala. Cuando obtienen acceso al firmware, los atacantes pueden subvertir los sistemas operativos y los hipervisores, eludir la mayoría de los sistemas de seguridad y persistir en los entornos durante largos períodos de tiempo mientras realizan operaciones y causan daños.
"A pesar de su papel esencial en los dispositivos electrónicos, la seguridad del firmware no ha sido tradicionalmente una alta prioridad para los fabricantes o usuarios y no siempre está bien protegida", dijo la agencia.
La primavera pasada, Microsoft informó que más del 80 % de las empresas sufrieron al menos un ataque de firmware en los dos años anteriores.
La protección contra esta amenaza comienza con una raíz de confianza: una forma de garantizar que los sistemas centrales sean lo que deberían ser.
Según Nigel Edwards, ingeniero de seguridad y vicepresidente de Hewlett Packard Enterprise, no solo todos los dispositivos deben tener una raíz de confianza, sino también todos los subsistemas de todos los dispositivos.
Si se hubiera implementado la tecnología raíz de confianza, las redes de bots como Mirai habrían fallado, porque el código no confiable no podría haberse ejecutado en esos dispositivos.
Los estándares de raíz de confianza incluyen la raíz de confianza de seguridad de OCP. Se basa en las Pautas de resiliencia de firmware de plataforma de NIST publicadas en la primavera de 2018.
Seguridad desde cero
Una empresa que está trabajando para abordar el problema es Microchip, que anunció hoy una actualización de su producto de raíz de confianza Trust Shield.
Además de garantizar que cuando los servidores se inicien, lo hagan en un entorno seguro y garantizado, la nueva versión, el controlador raíz de confianza CEC1736, también es compatible con la protección en tiempo de ejecución del bus SPI que supervisa el tráfico entre la CPU y su memoria Flash, para asegúrese de que los atacantes no estén cambiando el Flash.
"Los fabricantes de chips ahora tienen algunos tipos de seguridad", dijo Jeannette Wilson, gerente senior de marketing de Microchip. "Pero no todos tienen una raíz de confianza. Están comenzando a agregar un arranque seguro, pero pasarán muchos meses, o incluso años, antes de que realmente veamos la producción".
Como resultado, algunos fabricantes de servidores no están esperando y recurriendo a proveedores externos como Microchip para obtener su raíz de confianza antes.
Los clientes de Microchip no son solo empresas que diseñan placas base y construyen servidores, dijo. "Todos los grandes proveedores de la nube están mirando esto".
Una de las ventajas de tener una raíz de confianza de terceros es que muchos fabricantes de servidores utilizan chips de diferentes empresas. "Ahora pueden agregar la misma raíz de confianza a todos sus servidores", dijo.
La tecnología se puede agregar al hardware existente. La última generación, el CEC1736, necesita un código adicional, dijo, para realizar el monitoreo en tiempo real. "Es algo que se puede agregar", dijo.
La mayoría de los ataques cibernéticos ocurren de forma remota, dijo Wilson. "Eso es, por diseño, contra lo que la raíz de confianza está diseñada para proteger".
Pero con el monitoreo SPI en tiempo real, el sistema puede detectar incluso si, en un escenario improbable, un atacante al estilo de Misión Imposible, o un infiltrado malicioso, ha irrumpido en un centro de datos y está cambiando físicamente la memoria Flash.
Otras mejoras en el CEC1736 incluyen Flash en el paquete, donde los clientes pueden almacenar imágenes "doradas". Microchip también ha agregado una función físicamente imposible de clonar, que se puede usar para crear claves seguras.
"También agregamos la atestación de dispositivos y firmware, lo que ayuda a atestiguar la autenticidad de otros periféricos en el sistema", dijo. "Este es un componente muy crítico en el mundo de los servidores y centros de datos".
Además de los centros de datos, otros casos de uso incluyen impresoras multifunción, telecomunicaciones e infraestructura industrial. Sin embargo, Microchip no está publicando ningún nombre de cliente en este momento.
"Estamos en una etapa muy temprana del proceso", dijo Wilson. "Aunque tenemos clientes que lo usan en este momento, todavía están en desarrollo y aún no han anunciado sus productos".
El panorama de la raíz de la confianza
Todas las grandes empresas de hiperescala están invirtiendo en tecnologías de la raíz de la confianza.
Google, por ejemplo, utiliza la arquitectura Titan patentada para garantizar la integridad de la plataforma. En 2019, lanzó OpenTitan, un proyecto de raíz de confianza de código abierto. Sus socios incluyen al fabricante taiwanés de semiconductores Nuvoton y las empresas de almacenamiento Western Digital, Seagate y Winbond. OpenTitan también es compatible con Intrinsic ID, un proveedor de seguridad de funciones físicas no clonables.
Amazon utiliza el sistema Nitro para todas las instancias modernas de Amazon EC2, que se basa en una raíz de confianza basada en hardware que utiliza el chip de seguridad Nitro.
Mientras tanto, Microsoft tiene una raíz de confianza basada en hardware en su plataforma Azure Sphere, que reside en el subsistema de seguridad de Pluton. Pluton está a punto de llegar al mercado de consumo por primera vez. Microsoft anunció el diseño en el otoño de 2020.
La primera computadora de consumo que usó la nueva tecnología de seguridad se anunció a principios de este año, la ThinkPad X13 de Lenovo con tecnología AMD, que se supone que llegará al mercado este mes, pero parece que todavía no lo ha hecho.
Raíz de confianza de terceros
Los competidores de Microchip incluyen a Kameleon, una startup israelí de semiconductores que está colaborando con Xilinx, una empresa de semiconductores con sede en California.
La raíz de confianza de Kameleon funciona en arquitecturas Intel, AMD y ARM y es compatible con la atestación de periféricos. La empresa afirma ser la primera en comercializar productos de raíz de confianza totalmente compatibles con el estándar Open Compute Project. También cumple con el estándar de resistencia de firmware de plataforma NIST 800-193.
"Vemos una demanda creciente de soluciones compatibles con OCP por parte de clientes tecnológicamente avanzados, como hiperescaladores y proveedores de servicios en la nube, que necesitan este nivel adicional de seguridad", dijo George Wainblat, vicepresidente de productos de Kameleon.
Pero otros sectores también están comenzando a mostrar interés, dijo a Data Center Knowledge. Estos incluyen fabricantes de equipos originales y fabricantes de diseños originales, así como proveedores de dispositivos que fabrican módulos de seguridad de hardware, redes y otros dispositivos.
Otro proveedor raíz de confianza, Lattice Semiconductor, se unió a Open Compute Project Foundation en marzo.
Al igual que Xilinx, Lattice fabrica arreglos de puertas programables en campo (FPGA), circuitos integrados diseñados para que los configuren los clientes finales. Su pila de soluciones Lattice Sentry incluye una raíz de confianza de resiliencia de firmware de plataforma basada en FPGA y compatible con NIST.
Otro competidor más en este abarrotado campo es Rambus, que ofrece un catálogo de soluciones de raíz de confianza para todo, desde sensores y dispositivos IoT hasta coprocesadores de seguridad para cargas de trabajo de inteligencia artificial y nube.
Su anuncio de raíz de confianza más reciente para los clientes es con las impresoras multifunción de la serie Evolution de Kyocera.
Silex Insight también ofrece tecnología raíz de confianza, principalmente en el espacio de IoT, y recientemente anunció una asociación con la empresa de seguridad de IoT ZAYA, para ayudar a proteger los microcontenedores.
