El paquete de seguridad funciona para mitigar las amenazas de IoT

Cuando hablamos de seguridad de Internet de las cosas (IoT) con cualquier proveedor de chips, siempre hay una queja de que los diseñadores y fabricantes no se toman la seguridad en serio. Una razón común es que aumenta el costo de un producto, y ¿por qué alguien lo agregaría si no fuera realmente esencial? O el otro comentario es que la seguridad a menudo no está diseñada desde el principio, por lo que cuando se agrega como una ocurrencia tardía, un dispositivo aún podría verse comprometido fácilmente.

Pero las agencias gubernamentales de todo el mundo están introduciendo gradualmente legislación sobre la seguridad de los sistemas electrónicos. Estas medidas incluyen la SB-327 de California, que entró en vigor en enero de 2020; El estándar ETSI de Europa que cubre la seguridad cibernética para el consumidor de IoT; y la nueva ley propuesta por el gobierno del Reino Unido sobre la seguridad de IoT del consumidor. Mientras tanto, los proveedores están mejorando el juego para crear conciencia sobre la seguridad de IoT.

Uno de esos anuncios de esta semana fue de Silicon Labs, que anunció nuevas funciones de seguridad basadas en hardware para sus sistemas inalámbricos en chip (SoC) para dispositivos IoT. Su tecnología Secure Vault es un nuevo conjunto de funciones de seguridad avanzadas diseñadas para ayudar a los fabricantes de dispositivos conectados a abordar las crecientes amenazas de seguridad de IoT y las presiones regulatorias. Los ha implementado en su plataforma Wireless Gecko Series 2, que combina características de software de seguridad con tecnología de hardware de función físicamente no clonable (PUF) para reducir el riesgo de violaciones de seguridad de IoT y propiedad intelectual comprometida.

Según Silicon Labs, las funciones de hardware de Secure Vault proporcionan un nivel optimizado de seguridad implementado en una solución SoC inalámbrica y rentable. El subsistema de seguridad, que incluye un núcleo, un bus y una memoria dedicados, está separado del procesador host. Esta separación de hardware aísla las funciones críticas, como la criptografía y la gestión segura del almacén de claves, en sus propias áreas funcionales, lo que hace que el dispositivo en general sea más seguro. La nueva combinación de funciones de seguridad es ideal para las empresas que trabajan para abordar las medidas regulatorias emergentes, como GDPR en Europa y SB-327 en California.

Teníamos curiosidad por saber cómo se diferenciaba de otras funciones de seguridad del mercado, incluidos los entornos de ejecución de confianza (TEE). Gregory Guez, director senior de marketing de productos para la seguridad de IoT en Silicon Labs, dijo a EE Times , “La arquitectura de Secure Vault de hecho proporciona una capa de aislamiento entre el elemento seguro y la aplicación del cliente que se asemeja a un TEE pero que en realidad se logra en el hardware y no en el software. Además, el núcleo de la aplicación Arm Cortex M33 (con TrustZone) permite que el dispositivo sea compatible con PSA. Si bien estamos de acuerdo en que otras empresas pueden ofrecer administración de claves (a menudo con un área de almacenamiento limitada), la implementación de Secure Vault se basa en la tecnología PUF, lo que brinda un almacenamiento seguro de claves mediante cifrado y disponible en todo el espacio de la memoria ".

Además, explicó, las claves cifradas están protegidas contra la manipulación a través de un conjunto completo de detectores y respuestas configurables. “Secure Vault proporciona almacenamiento de claves seguro que es aprovechado por nuestras pilas inalámbricas, proporcionando una capa adicional de protección sobre los protocolos estandarizados. Secure Vault viene con una identidad segura en forma de certificados que se pueden verificar para probar la autenticidad del dispositivo, una característica muy necesaria en el mercado de IoT y un requisito para autenticar todo ”, dijo.

Si bien la seguridad basada en hardware a menudo se considera el enfoque más apropiado para la seguridad de IoT, el problema es más importante. Según Tanner Johnson, analista senior de ciberseguridad en Omdia, “la seguridad integrada es un requisito clave para los productos de IoT, y las actualizaciones de software por sí solas no pueden abordar todas las vulnerabilidades presentes en el hardware inseguro. Como resultado, los componentes de hardware pueden constituir la primera línea de defensa para la seguridad de los dispositivos, especialmente con la nueva legislación dirigida a la seguridad de los productos de IoT ”.

Silicon Labs dijo que Secure Vault promueve la seguridad de IoT a través de una combinación de características de hardware y software que facilitan a los fabricantes de productos proteger su marca, diseño y datos del consumidor. La integración de un sistema de seguridad dentro del SoC inalámbrico ayuda a los diseñadores a simplificar el desarrollo y hace posible actualizar de forma segura los dispositivos conectados por aire (OTA) durante todo el ciclo de vida del producto. La entrega de software o firmware genuino y confiable a los productos conectados sirve para mitigar vulnerabilidades, amenazas y medidas regulatorias imprevistas.

Silicon Labs espera que Secure Vault aborde los cuatro pilares de la seguridad de IoT:confidencialidad (garantizar que los datos solo puedan ser leídos por el destino propuesto), autenticación (garantizar que el supuesto remitente sea el remitente real), integridad (garantizar la información en el mensaje original). se mantiene intacta) y privacidad. Las características de seguridad clave que ahora proporciona incluyen la provisión de identidad segura del dispositivo, administración y almacenamiento seguros de claves y detección avanzada de manipulaciones.

La identidad segura del dispositivo aborda uno de los mayores desafíos para los dispositivos conectados:la autenticación posterior a la implementación. El servicio de aprovisionamiento de confianza de Silicon Labs con programación segura opcional proporciona un certificado de identidad de dispositivo seguro durante la fabricación de circuitos integrados, análogo a un certificado de nacimiento, para cada troquel de silicio individual, lo que permite la seguridad posterior a la implementación, la autenticidad y las comprobaciones de estado basadas en atestación. El certificado del dispositivo garantiza la autenticidad del chip durante toda su vida.

Secure Vault proporciona almacenamiento de claves seguro, con claves cifradas mediante una clave de cifrado maestra generada mediante un PUF (Imagen:Silicon Labs)

En segundo lugar, la eficacia de un esquema de seguridad para el acceso a dispositivos y datos depende directamente del secreto de las claves. Con Secure Vault, las claves se cifran y se aíslan del código de la aplicación. Se ofrece un almacenamiento de claves seguro prácticamente ilimitado, ya que todas las claves se cifran mediante una clave de cifrado maestra generada mediante una PUF. Las firmas de encendido son únicas para un solo dispositivo, y las claves maestras se crean durante la fase de encendido para eliminar el almacenamiento de la clave maestra, lo que reduce aún más los vectores de ataque.

Con respecto a la detección de manipulaciones, la compañía dijo que esta característica ofrece una amplia gama de capacidades, desde la protección contra manipulaciones del gabinete del producto fácil de implementar hasta la detección sofisticada de manipulaciones de silicio a través de manipulaciones de voltaje, frecuencia y temperatura. Los piratas informáticos utilizan estos cambios para obligar al hardware o software a comportarse de forma inesperada, creando vulnerabilidades para los ataques de fallas. Las funciones configurables de respuesta a manipulaciones permiten a los desarrolladores configurar acciones de respuesta adecuadas con interrupciones, restablecimientos o, en casos extremos, eliminación de claves secretas.

Secure Link cifra la interfaz entre un microcontrolador y un chip Wi-Fi para evitar que un atacante analice la interfaz para conocer los SSID de la red y las claves de acceso para acceder a la red. (Imagen:Silicon Labs)

Otras características dentro de Secure Vault incluyen prevención anti-retroceso y enlace seguro. El primero evita que se vuelva a cargar firmware antiguo firmado digitalmente en un dispositivo para volver a exponer fallas parcheadas; esto podría suceder si un atacante tiene conocimiento de una falla de seguridad en una versión de firmware anterior. Este último cifra la interfaz entre un microcontrolador y un chip Wi-Fi para evitar que un atacante analice la interfaz para conocer los SSID de la red y las claves de acceso para acceder a la red. La interfaz cifrada utiliza intercambios de claves del algoritmo Diffie-Hellman por sesión, por dispositivo, con el enlace asegurado de forma única en un dispositivo determinado y las claves regeneradas en cada ciclo de encendido; explotar el enlace es, por tanto, más complejo, ya que las claves se restablecen con frecuencia y no son transferibles. Además, las claves deben autenticarse mutuamente antes de activar la comunicación segura, evitando así la comunicación con una parte no confiable.

Silicon Labs está probando nuevos SoC inalámbricos habilitados para Secure Vault, cuyo lanzamiento está previsto para finales del segundo trimestre de 2020.