Silicon Labs lanza Secure Vault: solución hardware para fortalecer seguridad IoT

En seguridad de Internet of Things (IoT), vendors de chips a menudo escuchan la misma crítica: diseñadores y fabricantes no tratan seguridad como requisito central. La justificación prevalente es que seguridad añade costo, y si no es esencial, ¿para qué molestarse? Muchos dispositivos también incorporan seguridad solo como reflexión tardía, dejándolos vulnerables a compromiso.

Globalmente, gobiernos están endureciendo reglas. La SB-327 de California entró en vigor enero 2020, el estándar ETSI de Europa ahora mandata ciberseguridad para IoT de consumo, y el gobierno UK está redactando nueva ley sobre seguridad IoT. En respuesta, vendors están intensificando campañas de concienciación.

Esta semana Silicon Labs anunció nueva oferta de seguridad basada en hardware para sus soluciones system-on-chip (SoC) wireless. La tecnología Secure Vault es una suite completa diseñada para ayudar a device makers a enfrentar crecientes amenazas IoT y cumplir demandas regulatorias. Ya está integrada en la plataforma Wireless Gecko Series 2, que empareja características de seguridad software con hardware physically unclonable function (PUF) para reducir riesgo de brechas y proteger propiedad intelectual.

Silicon Labs describe Secure Vault como un SoC wireless costo-efectivo que entrega nivel de seguridad optimizado. El subsistema —compuesto por núcleo dedicado, bus, y memoria— está aislado del procesador host, asegurando que gestión de claves, criptografía, y otras funciones críticas permanezcan protegidas. Esta separación de hardware es especialmente valiosa para empresas navegando GDPR en Europa y SB-327 de California.

Preguntamos a Gregory Guez, Senior Director de Product Marketing para IoT Security en Silicon Labs, cómo difiere Secure Vault de otras soluciones como trusted execution environments (TEE). Explicó: "Secure Vault proporciona aislamiento entre el secure element y la aplicación del cliente en hardware, no software. Mientras otros vendors pueden ofrecer gestión de claves con almacenamiento limitado, nuestro diseño basado en PUF entrega almacenamiento seguro de claves a lo largo de todo el espacio de memoria."

Secure Vault también ofrece claves encriptadas tamper-resistant. Guez añadió: "Las claves encriptadas están protegidas por detectores y respuestas configurables. Los certificados de identidad segura de Secure Vault permiten a fabricantes probar autenticidad de dispositivo —requisito esencial en el ecosistema IoT actual."

El analista senior de ciberseguridad Tanner Johnson de Omdia señala que seguridad embebida es requisito no negociable. "Actualizaciones de software solas no pueden fijar vulnerabilidades arraigadas en hardware inseguro. Componentes de hardware deben servir como primera línea de defensa, especialmente conforme nueva legislación apunta a seguridad de productos IoT", dijo.

Combinando hardware y software, Secure Vault ayuda a fabricantes a salvaguardar reputación de marca, integridad de diseño, y datos de consumidores. Embeber el sistema de seguridad dentro del SoC wireless simplifica desarrollo y permite actualizaciones over-the-air (OTA) seguras durante todo el ciclo de vida del producto. Entregar firmware genuino y de confianza mitiga exploits, amenazas, y gaps regulatorios imprevistos.

Secure Vault aborda los cuatro pilares de seguridad IoT —confidencialidad, autenticación, integridad, y privacidad— a través de identidad segura de dispositivo, gestión robusta de claves, y detección avanzada de manipulación.

Identidad segura de dispositivo resuelve el desafío de autenticación post-despliegue. El servicio de provisión de confianza factory-based de Silicon Labs genera un certificado único de identidad de dispositivo durante manufactura del IC —similar a certificado de nacimiento— permitiendo seguridad post-despliegue, autenticidad, y health checks basados en atestación. El certificado garantiza autenticidad del chip de por vida.

Secure Vault proporciona almacenamiento seguro de claves, con claves encriptadas usando master encryption key generada vía PUF (Imagen: Silicon Labs)

Secreto de claves es crítico para acceso a dispositivo y datos. Secure Vault encripta y aísla claves de código de aplicación. Todas las claves se encriptan con master key generada por PUF, y power-up signatures son únicas por dispositivo. Master keys se crean durante power-up, eliminando master keys almacenadas y reduciendo vectores de ataque.

Detección de manipulación abarca desde resistencia a manipulación de enclosure hasta detección sofisticada a nivel silicio de manipulaciones de voltaje, frecuencia, y temperatura. Características de tamper-response configurables permiten a desarrolladores disparar interrupciones, resets, o incluso borrado de claves secretas cuando se detectan anomalías.

Secure Link encripta la interfaz entre microcontrolador y chip Wi-Fi para prevenir atacantes de obtener SSIDs o passkeys (Imagen: Silicon Labs)

Características adicionales de Secure Vault incluyen protección anti-rollback —previniendo firmware antiguo vulnerable de ser recargado— y Secure Link, que encripta la interfaz microcontrolador-WiFi usando intercambios de clave Diffie-Hellman por-sesión, por-dispositivo. El link está asegurado únicamente por dispositivo y claves se regeneran en cada ciclo de potencia, dificultando explotación.

Silicon Labs está actualmente muestreando SoCs wireless con Secure Vault habilitado, previstos para lanzamiento en Q2 2020 tardío.