Az Egyesült Államok Nemzetbiztonsági Ügynöksége (National Security Agency, NSA) átfogó technikai ajánlásokat tett közzé annak megakadályozására, hogy az ellenfelek az alkalmazásspecifikus integrált áramköröket (application-specific integrated circuit, ASIC) azok tervezése, gyártása, tesztelése, tokozása vagy szállítása során észrevétlenül módosíthassák.
Az augusztus 25-én közzétett anyag egy nehezen észlelhető és a hagyományos kártevőknél potenciálisan jóval tartósabb biztonsági problémával foglalkozik: olyan rosszindulatú funkciók szándékos beépítésével, amelyek a katonai, hírszerzési és egyéb érzékeny rendszerek működésének alapjául szolgáló hardverben rejtőznek.
A kiadvány két, egymást kiegészítő dokumentumból áll: a 30 oldalas ASIC Best Practices Threat Catalog fenyegetéskatalógusból, valamint a lényegesen részletesebb, 109 oldalas ASIC Level of Assurance 1 Best Practices című útmutatóból.
A jelentések együttesen 18 olyan kompromittálási kategóriát azonosítanak, amelyek az ASIC teljes életciklusát lefedik. Emellett alapvető védelmi intézkedéseket határoznak meg azokhoz a chipekhez, amelyek meghibásodása vagy szándékos manipulálása érzékelhetően csökkenthetné az Egyesült Államok kormányzatának valamely képességét.
Az NSA az útmutatót a Hadügyminisztérium Joint Federated Assurance Center Hardware Assurance Laboratories, röviden JFAC HwA szervezetével együttműködésben dolgozta ki. A szervezet mikroelektronikai sebezhetőségek felderítésével, elemzésével és elhárításával támogatja a kormányzati programokat.
Számos kiberbiztonsági kiadvány elsősorban az üzemben lévő hálózatok és szoftverek védelmére összpontosít, az új jelentések azonban a technológiai rendszer mélyebb rétegeit vizsgálják. Bemutatják, hogyan manipulálhatják a támadók a chipeket még azok üzembe helyezése előtt – például a tervezési követelmények megváltoztatásával, a mérnöki szoftverek kompromittálásával, harmadik féltől származó szellemi tulajdon módosításával, a gyártási folyamat manipulálásával vagy az eszközök szállítás közbeni kicserélésével.
„A jelentések ismertetik az ASIC-eket fenyegető veszélyeket, és kockázatcsökkentő intézkedéseket javasolnak” – közölte bejelentésében az NSA.
Miért fontos az ASIC-ek biztonsága?
Az alkalmazásspecifikus integrált áramkör olyan félvezető, amelyet egy meghatározott feladat vagy feladatcsoport elvégzésére terveztek. Az általános célú processzorokkal ellentétben, amelyek sokféle alkalmazás végrehajtására képesek, az ASIC-eket egy pontosan körülhatárolt munkaterhelésre optimalizálják.
Ez a specializáció jelentős előnyöket kínálhat a teljesítmény, az energiahatékonyság, a méret és a megbízhatóság területén. Az ASIC-eket ezért kommunikációs rendszerekben, kriptográfiai berendezésekben, jelfeldolgozó platformokon, érzékelőkben, mesterségesintelligencia-gyorsítókban, járművekben, ipari rendszerekben, fegyverplatformokon és más, kritikus fontosságú technológiákban alkalmazzák.
Az egyedi chipeket értékessé tevő tulajdonságok egyben különösen fontossá teszik sértetlenségük megőrzését. Az ASIC-be épített nem kívánt funkciót nem feltétlenül lehet víruskereséssel vagy az operációs rendszer frissítésével eltávolítani. Ha a módosítás a legyártott áramkörben található, az elhárítás a hardver cseréjét, az alkatrész újratervezését vagy akár a chipek teljesen új generációjának legyártását is szükségessé teheti.
Egy rosszindulatú módosítás a szokásos átvételi tesztelés során inaktív maradhat, majd csak egy meghatározott bemeneti sorrend, előre beállított időpont vagy bizonyos környezeti feltételek hatására aktiválódhat. A módosítás jellegétől függően működésképtelenné tehet egy rendszert, meghamisíthatja a számításokat, meggyengíthet egy biztonsági ellenőrzést, ronthatja a megbízhatóságot, vagy olyan funkcióhoz juttathatja a támadót, amelyet a tervező sohasem engedélyezett.
Az NSA fenyegetéskatalógusa a digitális, egyetlen lapkából álló ASIC-eket érintő szándékos tervezési eltérésekre összpontosít. A követelmények meghatározásától a szállításig és az átvételi tesztelésig vizsgálja a teljes életciklust, miközben számításba veszi a tervezési környezet, valamint a külső felek által fejlesztett szellemitulajdon-blokkok elleni támadásokat is.
Az ügynökség szerint a rosszindulatú módosítások célja általában a tervezett működés megváltoztatása, új és nem engedélyezett viselkedés bevezetése, a működés megakadályozása, illetve a chip teljesítményének és megbízhatóságának fokozatos lerontása.
A biztonságnak a félvezetőgyáron túlra is ki kell terjednie
Az útmutató egyik legfontosabb üzenete, hogy a hardverbiztonság nem korlátozható a félvezetőgyár felügyeletére.
Egy ASIC számos folyamaton halad keresztül, mielőtt elkészült alkatrésszé válik. A mérnökök először meghatározzák a követelményeket és az architektúrát. A fejlesztők hardverleíró nyelven (hardware description language, HDL) írják le az áramkör működését. Az elektronikai tervezésautomatizálási eszközök (electronic design automation, EDA) ezt a forrásanyagot alacsonyabb szintű áramköri reprezentációkká alakítják. A tervezésbe harmadik féltől származó szellemitulajdon-blokkok kerülhetnek, miközben szkriptek automatizálják a szintézis, az ellenőrzés és a fizikai tervezés alapvető részeit.
A befejezett tervet ezután előkészítik a tapeoutra, vagyis a gyártásra kész végleges terv kiadására, majd továbbítják a maszkok és a waferek gyártásához. Ezt követi a tesztelés, a személyre szabás, a wafer egyedi lapkákra vágása, a tokozás, az ismételt tesztelés, végül pedig a termék ügyfélhez történő szállítása.
A támadónak nem feltétlenül kell a teljes folyamatláncot ellenőrzése alá vonnia. A végleges eszköz módosításához elegendő lehet egyetlen, kellően nagy befolyást biztosító pont kompromittálása.
Az NSA Level of Assurance 1 modellje kifejezetten abból indul ki, hogy már egyetlen hozzáférési pont is elegendő lehet. Ilyen lehet például egy internetre csatlakozó tervezői hálózat, egy kompromittált alkalmazott, a projekt valamely részéhez hozzáférő külföldi iroda munkatársa, vagy egy magas kockázatot jelentő országhoz kötődő személy, aki elérheti az ellátási lánc valamely releváns részét.
Az ügynökség arra is figyelmeztet, hogy az ilyen szintű támadásokhoz nem feltétlenül szükséges titkos vagy rendkívül fejlett technológia. A támadók nyilvánosan hozzáférhető szoftvereket, kereskedelmi tervezőeszközöket, legitim hibakeresési funkciókat, laboratóriumi berendezéseket és nyílt forráskódú projekteket is felhasználhatnak eredeti rendeltetésüktől eltérő célokra.
Ez az értékelés összhangban áll az amerikai Nemzeti Szabványügyi és Technológiai Intézet (National Institute of Standards and Technology, NIST) által azonosított általánosabb ellátásilánc-biztonsági problémával. A NIST szerint a szervezetek gyakran csak korlátozottan látják át, hogyan fejlesztik, integrálják és telepítik az általuk beszerzett technológiákat. Emiatt rosszindulatú funkcióknak, hamisított termékeknek, valamint a hiányos fejlesztési vagy gyártási gyakorlatból eredő gyengeségeknek lehetnek kitéve. Az SP 800-161 Revision 1 azt javasolja, hogy a kiberbiztonsági ellátásilánc-kockázatok kezelését a szervezeti irányítás, a beszerzés és a technológia teljes életciklusának részévé tegyék.
Az NSA 18 lehetséges útvonalat azonosított a hardver kompromittálásához
A fenyegetéskatalógus 18 kategóriába sorolja az ASIC-ek szándékos kompromittálását. Ezek a veszélyek már a chip tervezésének megkezdése előtt megjelenhetnek, és egészen addig fennmaradnak, amíg a kész alkatrészek és a kapcsolódó dokumentáció el nem jutnak az ügyfélhez.
Az első kategória a kompromittált tervezési követelményekkel foglalkozik. Ha egy támadó megváltoztathat, eltávolíthat vagy félreérthetően fogalmazhat meg egy alapvető követelményt, az elkészült chip akkor is hibásan működhet, ha a mérnökök tökéletesen hajtják végre a módosított specifikációt. A követelmények manipulálását különösen nehéz lehet felismerni, mert a rosszindulatú változtatás engedélyezett tervezési döntésnek tűnhet.
A második kategória a chipfejlesztők által használt informatikai rendszerek kompromittálását foglalja magában. A tervezési adattárak, a mérnöki munkaállomások, a build szerverek, a hitelesítési rendszerek és a megosztott infrastruktúra egyaránt lehetőséget teremthet a fájlok módosítására vagy a projekt legitim elemeinek rosszindulatú változatokra cserélésére.
A harmadik kategóriát az elektronikai tervezésautomatizálási szoftverek alkotják. Az EDA-termékek a modern félvezető-fejlesztés alapvető eszközei, amelyek olyan összetett folyamatokat automatizálnak, mint a szimuláció, a szintézis, az elhelyezés, a huzalozás és a fizikai ellenőrzés. Egy kompromittált eszköz vagy nem engedélyezett frissítés a folyamat egy későbbi szakaszában módosítást vezethet be úgy, hogy az eredeti, magas szintű terv látszólag érintetlen marad.
A negyedik fenyegetés a harmadik féltől származó szellemi tulajdont, közismert nevén 3PIP-et érinti. A modern chipfejlesztő csapatok gyakran licencelnek újrafelhasználható funkcionális blokkokat ahelyett, hogy minden egyes összetevőt az alapoktól terveznének meg. Ezek a blokkok processzorokat, memóriavezérlőket, interfészeket, kriptográfiai funkciókat vagy más összetett képességeket valósíthatnak meg. Ha egy külső IP-blokk rejtett viselkedést, sebezhetőséget vagy nem dokumentált funkciót tartalmaz, a kapcsolódó kockázat közvetlenül bekerülhet az elkészült ASIC-be.
További kategóriák foglalkoznak a hardverleíró nyelv, az automatizálási szkriptek és a netlistek rosszindulatú módosításával. A netlist a terv logikai összetevőit és azok kapcsolatait írja le, ezért kulcsfontosságú hidat képez az eredeti forráskód és a chip fizikai elrendezése között.
A katalógus a félvezetőgyár fizikai tervezőkészletének (physical design kit, PDK) kompromittálását is vizsgálja. A PDK folyamatspecifikus adatokat, modelleket és tervezési szabályokat tartalmaz, amelyek szükségesek ahhoz, hogy egy chipet egy meghatározott gyártástechnológiával állítsanak elő. Ezeknek az információknak a manipulálása befolyásolhatja, hogyan alakítják át a tervet gyártható fizikai struktúrákká.
Más fenyegetések a fizikai terv reprezentációjának módosítására, valamint a tapeout elleni támadásokra összpontosítanak. A tapeout az a pont, amikor a befejezett tervet véglegesítik és gyártásra továbbítják. Ha a félvezetőgyárnak elküldött anyag eltér a mérnökök által jóváhagyott tervtől, a legyártott eszközök olyan áramköröket tartalmazhatnak, amelyek nem szerepeltek a belső ellenőrzések eredményeiben.
A katalógus gyártással foglalkozó része megvizsgálja a wafergyártás közben végzett rosszindulatú módosításokat, a wafer- vagy tokozástesztelés kompromittálását, az eszközök személyre szabásába történő beavatkozást, a waferek darabolása során végzett manipulációt, a tokozás közbeni szabotázst, valamint a szándékos fizikai károkozást.
Az utolsó két kategória a szállítás közben kompromittált eszközökkel és a manipulált felhasználói dokumentációval foglalkozik. A megváltoztatott dokumentáció arra késztetheti az üzemeltetőket vagy a rendszerintegrátorokat, hogy nem biztonságosan konfigurálják a chipet, félreértsék annak működését, kikapcsolják a védelmi funkciókat, vagy kompromittált üzemeltetési eljárást alkalmazzanak.
A katalógus összességében a hardver kompromittálását a teljes életciklust átfogó kockázatként mutatja be, nem pedig elszigetelt gyártási problémaként.
A Level of Assurance 1 a gyakorlatias, nagy értékű támadásokra összpontosít
A második jelentés a fenyegetéskatalógust a Level of Assurance 1, röviden LoA1 elnevezésű alapvető védelmi keretrendszerré alakítja.
Az NSA és a JFAC három biztonsági szintet dolgoz ki az egyedi mikroelektronikai hardverekhez. Az egyes szinteket a rendszer meghibásodásának vagy kompromittálásának nemzetbiztonsági hatásához, valamint az adott chip rendszeren belüli fontosságához igazítják.
A LoA1 olyan esetekre vonatkozik, amikor egy ASIC-alapú konstrukció meghibásodása érzékelhetően csökkenthetné az Egyesült Államok kormányzatának valamely képességét, vagy kárt okozhatna amerikai személyeknek, vagyontárgyaknak vagy érdekeknek, miközben a minisztérium alapvető műveleti képességei megmaradnának.
Ez nem jelenti azt, hogy a LoA1 jelentéktelen lenne, vagy kizárólag alacsony kockázatú kereskedelmi berendezésekhez szánnák. A modell olyan támadásokra összpontosít, amelyek a költségek, a lehetőségek és a műveleti hatás viszonylag kedvező kombinációját kínálják az ellenfélnek.
A modell öt tulajdonság alapján értékeli a fenyegetéseket:
- Hozzáférés: azt vizsgálja, hogy a támadónak milyen mértékű hozzáférésre van szüksége a művelet végrehajtásához.
- Technológia: a szükséges technikai összetettséget és képességeket méri.
- Befektetés: a művelet előkészítéséhez és végrehajtásához szükséges erőforrásokat és költségeket értékeli.
- A hatás értéke: azt méri fel, hogy mit érhet el a támadó.
- Célozhatóság: azt vizsgálja, hogy a hatás kiszámíthatóan irányítható-e egy meghatározott eszközre, rendszerre vagy küldetésre.
A LoA1 szintjén a feltételezett támadónak elegendő lehet egyetlen hozzáférési pont, nyilvánosan hozzáférhető technológia és viszonylag korlátozott befektetés. Az így végrehajtott támadás ugyanakkor működésképtelenné tehet vagy kompromittálhat egy fontos képességet, és kellően szabályozható lehet ahhoz, hogy egy meghatározott rendszert célozzon.
A magasabb biztonsági szinteket olyan rendszerekhez szánják, amelyek kompromittálása súlyosabb nemzeti következményekkel járna. Az újonnan kiadott dokumentum az első ASIC-specifikus bevált gyakorlatokat bemutató jelentés a tervezett háromszintű sorozatban.
Többrétegű védelem az emberek, a hálózatok és a tervfájlok szintjén
A LoA1 jelentés a megelőző és felderítő intézkedések széles körét írja le. Nem azt állítja, hogy egyetlen ellenőrzőeszközzel bizonyítani lehetne egy chip megbízhatóságát.
Az alapvető ajánlások közé tartozik, hogy az érzékeny munkát megfelelő biztonsági átvilágítással rendelkező személyzet végezze, kellően ellenőrzött létesítményekben. Amennyiben biztonsági átvilágítással nem rendelkező alkalmazottak is részt vesznek a munkában, a programoknak strukturált foglalkoztatási és hozzáférési protokollokat kell alkalmazniuk.
A szerepköralapú hozzáférés-vezérlésnek minden alkalmazott, alvállalkozó és külső fél hozzáférését a feladatköre ellátásához szükséges információkra és funkciókra kell korlátoznia. Az adattárakhoz való hozzáférést naplózni és ellenőrizni kell, hogy a programok megállapíthassák, ki fért hozzá a tervfájlokhoz, és milyen változtatásokat hajtott végre.
Az ügynökség azt javasolja, hogy a fontos projektanyagokat verziókezelő rendszerekben tárolják, és megőrizzék a módosítások visszakövethető nyilvántartását. Ez megkönnyítheti a jogosulatlan változtatások azonosítását, és lehetővé teszi, hogy a vizsgálatot végző szakemberek összehasonlítsák a végleges tervet a korábban ellenőrzött változatokkal.
A programoknak digitális aláírások és kriptográfiai hashértékek segítségével kell hitelesíteniük a szoftvereket és az átadott anyagokat. A hash egy fájl matematikai ujjlenyomata; egy váratlan eltérés azt jelezheti, hogy a fájl a jóváhagyást követően vagy az átvitel során megváltozott.
Az útmutató az érzékeny artefaktumok továbbítás közbeni titkosítását, a félvezetőgyár által fogadott tapeout-anyag megfelelőségének megerősítését, valamint a hashértékeknek az átvitel mindkét oldalán történő ellenőrzését is előírja.
A tervezési környezeteket az alkalmazandó kormányzati biztonsági követelmények szerint kell védeni, beleértve a NIST SP 800-171 szabványt és – ahol indokolt – az SP 800-172 dokumentumban ismertetett megerősített védelmi intézkedéseket. Az NSA emellett azt tanácsolja, hogy a tervezőeszközök és a harmadik féltől származó IP-komponensek ne férhessenek hozzá automatikusan az internethez, és ne hajthassanak végre ellenőrizetlen frissítéseket.
Ez az ajánlás a félvezető-fejlesztés egyedi kockázati profilját tükrözi. Egy általános irodai alkalmazás esetében megszokott automatikus frissítés problémát okozhat egy ellenőrzött tervezési folyamatban, ha észrevétlenül megváltoztatja a chip előállításához vagy ellenőrzéséhez használt szoftvert.
A programoknak dokumentálniuk és ellenőrizniük kell a felhasznált EDA-szoftverek pontos verzióját, fel kell tárniuk a mérnöki eszközök ismert sebezhetőségeit, kerülniük kell az ellenőrizetlen egyedi javítások elfogadását, és meg kell akadályozniuk a tervezési folyamatok jogosulatlan külső kommunikációját.
A harmadik féltől származó chipkomponenseket különösen szigorúan kell ellenőrizni
A harmadik féltől származó szellemi tulajdon részletes vizsgálata azt mutatja, hogy a modern ASIC-fejlesztés milyen nagymértékben függ külső felek által létrehozott komponensektől.
Az NSA azt javasolja, hogy a szükséges biztonsági követelményekről még az IP megvásárlása előtt állapodjanak meg. Ez kiterjedhet a komponens értékeléséhez szükséges műszaki információkhoz, forrásanyagokhoz és tesztelési bizonyítékokhoz való hozzáférésre.
E jogok megszerzése a licencszerződés megkötése után drágább, szerződéses szempontból nehezebb vagy akár lehetetlen is lehet. A hardverbiztonság ezért részben beszerzési és irányítási kérdés, nem pedig olyan feladat, amelyet kizárólag a projekt végén dolgozó mérnökökre lehet bízni.
A programoknak átvételi tesztelést kell végezniük a harmadik féltől származó IP-n, fel kell kutatniuk annak ismert sebezhetőségeit, ellenőrizniük kell a hashértékeket, meg kell akadályozniuk az ellenőrizetlen frissítéseket, és meg kell vizsgálniuk, hogy a komponens a dokumentációban foglaltak szerint működik-e.
A jelentés azt is javasolja, hogy a kormányzati programok lehetőség szerint csökkentsék a fejlesztésben és gyártásban részt vevő külső felek számát, a folyamatban maradó szervezeteket pedig alaposan ellenőrizzék.
A beszállítók számának csökkentése ugyanakkor nem szünteti meg a kockázatot. Csupán mérsékli azoknak a bizalmi kapcsolatoknak a számát, amelyeket a programnak értékelnie és folyamatosan kezelnie kell.
Minden jelentős átalakítást ellenőrzésnek kell követnie
Az ASIC-ek biztonságának egyik központi technikai kihívása annak biztosítása, hogy a terv a különböző reprezentációk közötti átalakítás során is konzisztens maradjon.
A mérnökök követelményekből és magas szintű forráskódból indulhatnak ki, a gyártás azonban végül részletes fizikai adatokra támaszkodik. E két pont között számos automatizált átalakítás történik. A támadó anélkül módosíthat egy köztes artefaktumot, hogy feltétlenül megváltoztatná a fejlesztőcsapat által ellenőrzött forrást.
Az NSA ezért többféle ekvivalencia- és konzisztencia-ellenőrzést javasol. Ezek közé tartozik a hardverleíró nyelv és a többi tervezési reprezentáció közötti kapcsolat ellenőrzése, a linting vizsgálatok alkalmazása, az átvételi kritériumok kikényszerítése, az automatizálási szkriptek tesztelése és a nagy lefedettségű tesztkészletek használata.
A jelentés olyan technikákat említ, mint a logikai ekvivalencia ellenőrzése, a fizikai elrendezés és a kapcsolási rajz összehasonlítása (layout-versus-schematic), valamint a fizikai elrendezés tervezési szabályoknak való megfelelésének vizsgálata (layout-versus-rule). Ezek az ellenőrzések segítenek meghatározni, hogy a terv egymást követő változatai funkcionálisan konzisztensek maradtak-e, és a fizikai reprezentáció megfelel-e az elvárt szerkezeti szabályoknak.
A programoknak a végleges fizikai netlistet is ellenőrizniük kell, a tapeout-artefaktumokat pedig védett tervezési környezetben kell tartaniuk.
Ezek a vizsgálatok nem garantálják minden lehetséges rejtett funkció felderítését. Csökkentik azonban annak lehetőségét, hogy a támadó az egyik szakaszt módosítsa, miközben arra számít, hogy a fejlesztőcsapat egy másik reprezentációt fog ellenőrizni.
A védelemnek a gyártás után is folytatódnia kell
Az útmutató a tervek ellenőrzésén túl a fizikai gyártásra és a logisztikára is kiterjed.
Az NSA eszközátvételi tesztelést, indokolt esetben a személyre szabási értékek közvetlen ellenőrzését, az elvárt funkciók és működés tesztelését, a tokozás manipulációra utaló nyomainak vizsgálatát, valamint ellenőrzött tárolási és szállítási eljárások alkalmazását javasolja.
A személyre szabás különösen fontos, ha az eszköz a gyártás után egyedi konfigurációs adatokat, azonosítókat, kriptográfiai anyagokat vagy más beállításokat kap. Ennek a szakasznak a kompromittálása egyedi eszközöket is érinthet anélkül, hogy a támadónak a teljes gyártási sorozatban közös tervet kellene megváltoztatnia.
A tesztelési folyamatokat szintén lehetséges célpontként kell kezelni. A tesztkörnyezetet ellenőrző vagy manipuláló támadó jóváhagyhat hibás, illetve módosított alkatrészeket, elrejtheti a rosszindulatú viselkedés bizonyítékait, vagy úgy károsíthat bizonyos eszközöket, hogy azok átmenjenek az első ellenőrzésen.
A szállítás külön kicserélési és manipulációs kockázattal jár. Egy megfelelően megtervezett és legyártott chipet is kicserélhetnek, fizikailag módosíthatnak vagy szakszerűtlenül kezelhetnek, mielőtt eljutna a kormányzati programhoz. Emiatt a felügyeleti láncot biztosító intézkedésekre, manipulációra utaló bizonyítékokra, hitelesített nyilvántartásokra és átvételi tesztelésre a gyártás befejezése után is szükség van.
Továbbra is a megbízható beszállítók jelentik az előnyben részesített megoldást
A jelentés összekapcsolja ajánlásait a Defense Microelectronics Activity (DMEA) Trusted Supplier Program kezdeményezésével.
Az alkalmazandó Category I szolgáltatások esetében a DMEA által akkreditált megbízható beszállító igénybevétele elegendőnek tekinthető a LoA1 fenyegetéseinek mérsékléséhez, amennyiben elérhető akkreditált szolgáltatás. Ha a teljes fejlesztési és gyártási folyamatot nem lehet akkreditált beszállítókkal elvégezni, az NSA további ellenőrzéseket javasol annak megállapítására, hogy történt-e manipuláció a megbízható környezeten kívül.
Ez fontos különbségtétel, mivel a félvezetőgyártás erősen globalizált és specializált. Egy program ellenőrzése alatt tarthatja a tervezést, miközben külső vállalatoktól függ a szellemi tulajdon, a mérnöki eszközök, a maszk-előkészítés, a wafergyártás, a tesztelés, a tokozás vagy a logisztika területén.
Az amerikai Védelmi Fejlett Kutatási Projektek Ügynöksége (Defense Advanced Research Projects Agency, DARPA) korábban megállapította, hogy a globális félvezetőipar gazdasági sajátosságai miatt a védelmi és kereskedelmi szervezetek számára egyaránt nehézzé vált, hogy a fejlett chipeket teljes egészében hagyományosan megbízhatónak tekintett környezetben gyártsák. Emiatt olyan megközelítéseket támogatott, amelyek a biztonságot az energiafogyasztás, a teljesítmény és a fizikai terület mellett önálló tervezési követelményként kezelik. A DARPA arra is figyelmeztetett, hogy a globalizált ellátási láncok lehetőséget teremtenek rosszindulatú áramkörök beépítésére, miközben megnehezítik a gyártás utáni felderítést, mert a hardvertrójaiakat úgy lehet kialakítani, hogy a tesztelés alatt inaktívak maradjanak.
Az NSA keretrendszere figyelembe veszi ezt a gyakorlati helyzetet. Nem abból indul ki, hogy minden külső fél eltávolítható a folyamatból, hanem meghatározza a bizalmi határokat, és további ellenőrzést ír elő minden olyan ponton, ahol nem biztosítható a teljes ellenőrzés.
Az útmutató fontos korlátokkal rendelkezik
A jelentések szándékosan szűkebb területet határoznak meg a félvezető-biztonság teljes témakörénél.
A dokumentumok a szándékos és rosszindulatú kompromittálással foglalkoznak, nem pedig a szokásos mérnöki hibákkal vagy a véletlenül bevezetett sebezhetőségekkel. Elsődlegesen a digitális, egyetlen lapkából álló ASIC-ek tervezésére és gyártására összpontosítanak.
Az analóg, a vegyes jelű, a rádiófrekvenciás és az optikai konstrukciók nem tartoznak a meghatározott alkalmazási körbe. Az útmutató nem foglalkozik kifejezetten a többchipes modulokkal, a háromdimenziós tokozással vagy más, több ASIC-et tartalmazó összeállításokkal sem, bár egyes ajánlások ezekben a környezetekben is alkalmazhatók lehetnek.
A nyomtatott áramköri lapok összeszerelése nem része a dokumentumnak; ezt külön haditengerészeti útmutató tárgyalja. Az ASIC-en futó firmware és szoftver szintén kívül esik az útmutató közvetlen alkalmazási körén.
A jelentések nem foglalkoznak átfogóan a chipek vagy a tervezési információk ellopásával, az engedély nélküli túltermeléssel, az üzemi adatok eltulajdonításával, a visszafejtéssel, illetve a bizalmas jelleg megőrzésével, kivéve, ha ezek a kérdések közvetlenül kapcsolódnak a hardverbiztonsághoz. A programoktól elvárják, hogy e kockázatok közül többet külön védelmi és manipulációellenes tervek keretében kezeljenek.
A dokumentum nem helyettesíti a kormányzati szabályzatokat sem. Olyan műszaki útmutató, amelynek célja, hogy segítse a programokat a Trusted Systems and Networks elemzés elvégzésében, megismételhető biztonsági tervek kialakításában és a körülményeikhez igazodó kockázatcsökkentő intézkedések kiválasztásában.
A hardverbiztonság nem érhet véget a termék átvételével
Az NSA arra figyelmeztet, hogy a LoA1 elérését nem szabad egyszeri, korlátlan ideig érvényes tanúsításként kezelni.
A szoftverekben, a beszállítókban, a befogadó rendszerben, az alapul szolgáló technológiában vagy a fenyegetési környezetben bekövetkező változások az eredeti értékelés után is befolyásolhatják az ASIC biztonsági szintjét. A harmadik féltől származó IP-ben vagy a tervezőeszközökben újonnan felfedezett sebezhetőségek szintén megváltoztathatják a kockázati számítást.
A programoknak ezért jelentős változás esetén felül kell vizsgálniuk biztonsági terveiket, és meg kell határozniuk, szükség van-e további ellenőrzésre.
Ez az életciklus-alapú megközelítés összhangban áll a NIST tágabb ellátásilánc-kockázatkezelési modelljével, amely azt javasolja, hogy az ellátási láncra vonatkozó ellenőrzéseket építsék be a kutatásba, a fejlesztésbe, a gyártásba, a beszerzésbe, a szállításba, az integrációba, az üzemeltetésbe és végül a leselejtezésbe is.
Biztonsági keretrendszer az egyre inkább hardverfüggő világ számára
A dokumentumokat olyan időszakban tették közzé, amikor a kormányzatok és az iparágak egyre jobban függenek a mesterséges intelligenciához, a távközléshez, a kriptográfiához, az autonóm rendszerekhez és a fejlett érzékeléshez használt specializált félvezetőktől.
Ez a függőség növeli a hardver kompromittálásának lehetséges hatását. Egy stratégiai fontosságú ASIC-ben elrejtett módosítás az operációs rendszerek, a végpontvédelmi termékek és az alkalmazásszintű megfigyelés alatt is tartósan jelen maradhat. A vizsgálatot végző szakemberek kezdetben szándékos szabotázs helyett szoftverhibának, alkatrész-meghibásodásnak vagy megbízhatósági problémának tulajdoníthatják a következményeket.
Az egyedi chipek fejlesztése ugyanakkor rendszerint világszerte elosztott mérnöki csapatokra, kereskedelmi EDA-termékekre, harmadik féltől származó IP-re és specializált gyártási szolgáltatásokra támaszkodik. Minden ilyen függőség olyan pontot teremthet, ahol a sértetlenséget nem feltételezni, hanem bizonyítani kell.
Az NSA új dokumentumai ezt az összetett problémát próbálják strukturált biztonsági folyamattá alakítani. Feltérképezik az ASIC teljes életciklusának támadási felületét, a fenyegetéseket a szükséges hozzáférés, technikai fejlettség, befektetés, hatás és célozhatóság szerint rangsorolják, majd konkrét védelmi intézkedéseket rendelnek hozzájuk.
A kormányzati programvezetők és a védelmi alvállalkozók számára a legfontosabb következtetés az, hogy a hardverbiztonságnak már a követelmények megfogalmazásakor meg kell kezdődnie, nem pedig akkor, amikor a legyártott chipek megérkeznek tesztelésre.
A szervezeteknek biztonsági követelményeket kell beépíteniük a szerződésekbe, védeniük kell a chiptervezők által használt rendszereket, szabályozniuk kell a tervezési adattárakhoz való hozzáférést, hitelesíteniük kell minden fontos artefaktumot, alaposan ellenőrizniük kell a harmadik féltől származó IP-t, felügyelniük kell a tervezési szakaszok közötti átalakításokat, és a gyártás, a tokozás, valamint a szállítás során is fenn kell tartaniuk a visszakövethetőséget.
Egyetlen ellenőrzési intézkedés sem képes bizonyítani, hogy egy összetett félvezető teljesen mentes a rosszindulatú funkcióktól. Az NSA stratégiája ezért többrétegű biztosítékokra épül, amelyek csökkentik a kompromittálás lehetőségeit, és növelik annak valószínűségét, hogy a jogosulatlan módosítást még azelőtt észlelik, hogy az érintett hardver egy műveleti rendszerbe kerülne.
Mivel a LoA2 és a LoA3 szinthez tartozó ASIC-útmutatók még előkészítés alatt állnak, a LoA1 kiadvány egy olyan átfogóbb keretrendszer alapjait teremti meg, amely a meghibásodás következményeihez igazítja a védelem erősségét. A nemzetbiztonsági szempontból legkritikusabb rendszerek esetében a későbbi jelentések várhatóan szigorúbb ellenőrzéseket, függetlenebb validációt és a chipellátási lánc valamennyi résztvevőjének alaposabb vizsgálatát követelik majd meg.
