La seguridad está cambiando tanto a izquierda como a derecha en el flujo de diseño a medida que los fabricantes de chips luchan por construir dispositivos que sean a la vez seguros por diseño y lo suficientemente resistentes como para permanecer seguros durante toda su vida útil.

A medida que dispositivos cada vez más complejos se conectan a Internet y entre sí, los proveedores de IP, los fabricantes de chips y las empresas de sistemas se apresuran para abordar las amenazas existentes y potenciales en una superficie de ataque más amplia. En muchos casos, la seguridad ha pasado de ser una serie interminable de parches de software a una parte integral del proceso de diseño de hardware/software con una ventaja competitiva cada vez más lucrativa y una creciente amenaza de acción regulatoria para las empresas que se equivocan.

"Cada segundo, 127 dispositivos se conectan a Internet por primera vez", afirmó Thomas Rosteck, presidente de Infineon División Connected Secure Systems, en una presentación reciente. "Esto conducirá a la asombrosa cifra de 43 mil millones de dispositivos conectados a Internet y entre sí en 2027".

También creará un enorme desafío de seguridad. "Esto aumenta la preocupación de las empresas y los consumidores sobre lo que sucede con sus datos a medida que aumenta la conectividad y se amplían los servicios digitales", señaló David Maidment, director senior de desarrollo de mercado de Brazo. "Durante los últimos cinco años, la regulación de los gobiernos de todo el mundo ha madurado y los fabricantes tienen la responsabilidad de cumplir con una lista cada vez mayor de criterios de seguridad para garantizar que estos servicios sean confiables, seguros y se administren adecuadamente".

Aun así, un enfoque razonado y mesurado de la seguridad incluye muchas consideraciones. "En primer lugar, se debe comprender el perfil de amenaza de la aplicación específica, así como los activos específicos: los datos, la información o los sistemas que deben protegerse", dijo Dana Neustadter, directora de soluciones de seguridad IP de Sinopsis. “¿Existen leyes, regulaciones y/o tipos de requisitos específicos que influirán en esa solución? En otras palabras, primero debes hacer algunos deberes. Debe poder responder algunas preguntas, como si el producto solo se ocupa de las amenazas basadas en la red o si existe la posibilidad de que se produzcan ataques que requieran acceso físico. ¿Existe acceso directo a la red para ese producto en particular o estará protegido por otras partes del sistema que pueden actuar como un firewall, por ejemplo, para brindar algún nivel de protección? ¿Cuáles son los requisitos normativos o de cumplimiento de normas o posibles requisitos de certificación para la seguridad? ¿Cuál es el valor de los activos?

Además, los dispositivos deben ser seguros en todas las condiciones y modos de funcionamiento. "Es necesario protegerlo cuando el sistema está fuera de línea porque, por ejemplo, los malos actores pueden reemplazar la memoria externa o pueden robar el código IP", dijo Neustadter. “Pueden volver a flashear el dispositivo. También debe protegerlo durante el encendido y debe protegerlo en tiempo de ejecución mientras el dispositivo está en funcionamiento. Debe asegurarse de que siga funcionando según lo previsto. Luego, cuando te comunicas externamente, también necesitas protegerlo. Hay muchas variables que normalmente influyen en una solución de seguridad, incluida la aplicación particular. En última instancia, es necesario que haya un equilibrio en la solución de seguridad general. "Equilibrado para la seguridad" incluye funciones de seguridad, protocolos, certificaciones, etc., así como las compensaciones de costo, energía, rendimiento y área porque, por ejemplo, no puede permitirse el lujo de implementar la seguridad del más alto nivel para una batería. -dispositivo alimentado. No tiene sentido porque es un dispositivo de menor costo. Realmente hay que buscar el equilibrio, y todo esto influirá en la arquitectura de seguridad adecuada para un chip”.

Otros están de acuerdo. "El primer paso que damos cuando introducimos seguridad en un dispositivo es evaluar los activos de seguridad del dispositivo con respecto a su papel en el sistema general", dijo Nir Tasher, ejecutivo de tecnología de Winbond. “A medida que mapeamos estos activos, también calificamos el potencial de ataque de los activos. No todos los activos se identifican de inmediato. Funciones como los puertos de depuración y prueba también deben considerarse activos, ya que pueden desempeñar un papel en la seguridad general del sistema. Una vez que se completa el mapeo y la calificación, evaluamos las posibles formas de comprometer cada uno de los activos y la complejidad involucrada. El siguiente paso es encontrar formas de protegerse de estos ataques o, al menos, detectarlos. Obviamente, el último paso es probar el producto final para garantizar que cualquier protección que hayamos incluido funcione correctamente”.

Seguro por diseño
Uno de los grandes cambios para la seguridad del hardware y del sistema es el reconocimiento de que ya no es un problema de otra persona. Lo que solía ser una idea de último momento es ahora una ventaja competitiva que debe integrarse en un diseño a nivel arquitectónico.

"Este principio fundamental enfatiza la integración de la seguridad en el proceso de desarrollo del diseño del chip, garantizando que los objetivos, requisitos y especificaciones de seguridad se identifiquen desde el principio", dijo Adiel Bahrouch, director de desarrollo comercial para IP de seguridad en Rambus. “Este enfoque exige contar con un modelo de amenazas adecuado, identificar los activos tangibles e intangibles que tienen valor y necesitan protección, cuantificar proactivamente el riesgo asociado con base en un marco de gestión de riesgos adecuado e implementar correctamente medidas y controles de seguridad para mitigar los riesgos. un nivel aceptable”.

Además de una evaluación adecuada de las amenazas, Bahrouch dijo que es vital considerar principios de seguridad adicionales para una estrategia holística de defensa en profundidad. Eso incluye una cadena de confianza, donde cada capa proporciona bases de seguridad que la siguiente capa puede aprovechar, así como separación de dominios con diferentes niveles de seguridad para diferentes usuarios, tipos de datos y operaciones, lo que permite un rendimiento optimizado y compensaciones de seguridad para cada caso de uso. En los sistemas modernos, esto incluye el modelado de amenazas a lo largo del ciclo de vida del producto y un principio de privilegio mínimo que segmenta los derechos de acceso y minimiza los recursos compartidos.

"Es fundamental definir la arquitectura de seguridad del SoC desde el principio", dijo George Wall, director del grupo de marketing de productos para el procesador IP Tensilica Xtensa en Cadencia. “El momento de definir la arquitectura de seguridad es cuando el diseñador está trabajando en la funcionalidad, alimentación y velocidad necesarias, etc., del SoC. Siempre es mucho más fácil hacer esto temprano que intentar 'agregar seguridad' más adelante, ya sea una semana antes del inicio de la producción o dos años después del envío de producción”.

Una defensa holística se extiende mucho más allá del hardware. "Si estás tratando de proteger algo, incluso en altos niveles de abstracción para el software, puedes hacerlo perfectamente en Python o en cualquier lenguaje de programación que elijas", dijo Dan Walters, ingeniero principal de seguridad integrada y líder de soluciones de microelectrónica en MITRA. “Pero si se ve socavado por un compromiso a nivel de hardware, entonces no importa. Puede comprometer completamente todo su sistema incluso si tiene una seguridad de software perfecta”.

En la mayoría de los casos, los atacantes toman el camino de menor resistencia. "Con la seguridad, es todo o nada", dijo Walters. “El atacante sólo tiene que encontrar un defecto y realmente no le importa dónde esté. No es como si estuvieran diciendo: 'Quiero derrotar al sistema simplemente debilitando el hardware o quiero hacerlo encontrando una falla en el software'. Van a buscar lo más fácil”.

Mejores prácticas
En respuesta al creciente panorama de amenazas, los fabricantes de chips están ampliando su lista de mejores prácticas. En el pasado, la seguridad se limitaba casi por completo al perímetro de una CPU. Pero a medida que los diseños se vuelven más complejos, más conectados y con una vida útil más larga, es necesario pensar en la seguridad de manera mucho más exhaustiva. Esto incluye una serie de elementos clave, según Lee Harrison, director de marketing de producto de la división Tessent de EDA de Siemens:

• Comienza segura – La tecnología de monitoreo de hardware se puede utilizar para verificar que una secuencia de inicio prescrita se haya ejecutado como se esperaba, para garantizar que tanto el hardware como el software sean los previstos.
• Atestación – De manera similar al arranque seguro, el monitoreo funcional se puede utilizar para generar firmas dinámicas que representan una configuración física o informática de una IP o IC específica en un sistema. Esto confirma la precisión del hardware esperado y su configuración. Este enfoque se puede utilizar para proporcionar un token de identidad único o una colección de tokens para todo el sistema. Este sistema se basa en una firma única, que se puede utilizar para garantizar que se aplique la versión correcta del software de una actualización OTA. Es fundamental que esto se calcule dentro del sistema, pero no esté codificado.
• Acceso seguro – Como ocurre con todos los sistemas, los canales de comunicación dentro y fuera del dispositivo deben ser seguros y, en muchos casos, configurables en función de diferentes niveles de acceso requerido, donde el acceso a menudo se controla a través de una raíz de confianza.
• Protección de bienes – El monitoreo funcional activo puede ser una parte crítica de cualquier estrategia de defensa en profundidad. Con base en un análisis detallado de amenazas, la selección y ubicación de monitores funcionales dentro del dispositivo puede proporcionar detección y mitigación de amenazas de baja latencia.
• Gestión del ciclo de vida del dispositivo – Ahora es fundamental en todas las aplicaciones de circuitos integrados seguros poder monitorear el estado del dispositivo durante todo su ciclo de vida activo, desde la fabricación hasta el desmantelamiento. La supervisión funcional y los sensores desempeñan un papel importante en la supervisión del estado del dispositivo durante su ciclo de vida. En algunos casos, la retroalimentación activa se puede utilizar incluso para extender la vida activa de un IC al realizar ajustes dinámicos en aspectos externos cuando sea posible.

Fig. 1: Elementos clave del hardware seguro. Fuente: Siemens EDA

Cuál de esas mejores prácticas se implementa puede variar mucho de una aplicación a otra. La seguridad en una aplicación automotriz, por ejemplo, es mucho más preocupante que en un dispositivo portátil inteligente.

"La autonomía necesita conectividad, lo que impulsa una mayor seguridad, lo que permite la automatización, y los semiconductores son realmente la base aquí", dijo Tony Alvarez, vicepresidente ejecutivo de Infineon Memory Solutions, en una presentación reciente. “Percibir, interpretar los datos y tomar decisiones a partir de ellos está por encima de la superficie. Eso es lo que ves. La complejidad del sistema está aumentando, pero no se ve lo que hay debajo de la superficie, que son todas las piezas necesarias para que esto suceda: la solución completa del sistema”.

Ese sistema incluye comunicación con la nube, otros automóviles y la infraestructura, y todo tiene que ser accesible y seguro al instante, dijo Álvarez.

Las necesidades de seguridad pueden ser muy diferentes para otras aplicaciones. Pero el proceso de determinar qué se necesita es similar. "Primero, analice cuáles son los activos", dijo Tasher de Winbond. “A veces no los hay. A veces, cada parte del dispositivo es o contiene un activo. En este último caso, podría ser recomendable empezar desde cero, pero son casos raros. Una vez que se han mapeado los activos, el arquitecto debe analizar los vectores de ataque para estos activos. Esta es una etapa tediosa y se recomienda encarecidamente la consulta externa. Otro par de ojos siempre es algo bueno. La última etapa desde el punto de vista arquitectónico es idear mecanismos de protección para estos ataques. Y sí, el conocimiento profundo del sistema es esencial en todas estas etapas”.

Arm es un firme defensor de incluir un raíz de confianza (RoT) en todos los dispositivos conectados e implementar las mejores prácticas de seguridad por diseño como base para cualquier producto viable. “El RoT puede proporcionar funciones confiables esenciales, como arranque confiable, criptografía, atestación y almacenamiento seguro. Uno de los usos más básicos de un RoT es mantener confidenciales las claves criptográficas privadas con datos cifrados, protegidas por mecanismos de hardware y alejadas del software del sistema que es más fácil de piratear. Las funciones de cifrado y almacenamiento seguro del RoT deberían poder manejar las claves y el procesamiento confiable necesarios para la autenticación del dispositivo, verificar reclamos y cifrar o descifrar datos”, dijo Maidment.

Dado que muy pocos diseños de chips parten de una hoja de papel en blanco, se debe diseñar un chip para tener esto en cuenta. "Cada dispositivo y cada caso de uso será único y es imperativo que consideremos las necesidades de todos los sistemas a través del modelado de amenazas", explicó Maidment. “Algunos casos de uso necesitarán evidencia de mejores prácticas. Otros necesitan protegerse de las vulnerabilidades del software y otros necesitarán protección contra ataques físicos”.

El trabajo de Arm como cofundador de PSA Certified ha demostrado que diferentes proveedores de silicio están encontrando sus propios puntos de venta únicos y decidiendo qué nivel de protección quieren ofrecer. “Es difícil tener una solución única para todos, pero un conjunto común de principios acordado es una herramienta importante para reducir la fragmentación y lograr la solidez de la seguridad adecuada, y eso se demuestra en los 179 certificados certificados por PSA emitidos para productos en la actualidad. ”, señaló Maidment.

Esto es muy diferente de hace años, cuando se podía agregar seguridad a un chip más adelante en el ciclo de diseño. “No es como en los viejos tiempos, donde simplemente se podía agregar seguridad. "Acelerarías un chip y pensarías que sin realizar ningún cambio significativo podrías abordar la seguridad según lo requiera tu aplicación", dijo Neustadter de Synopsys. “Es importante diseñar una solución de seguridad basada en las premisas mencionadas anteriormente. Entonces podrá tener un proceso más ágil para actualizar la seguridad en futuras revisiones de diseño, como la creación de un entorno seguro con una raíz de confianza para proteger las comunicaciones y las operaciones de datos confidenciales. Hay formas de crear una solución de seguridad que sea escalable, ampliable e incluso actualizarla después del silicio, por ejemplo, con actualizaciones de software. Por lo tanto, hay formas de incorporar esto en un diseño y luego actualizar la seguridad de una revisión a otra de una manera más ágil”.

Correcciones de seguridad
En casi todos los casos, es mejor prevenir ataques que proporcionar parches para solucionarlos. Pero la forma de hacerlo puede variar mucho.

Por ejemplo, Geoff Tate, director ejecutivo de Logix flexible, dijo que varias empresas están utilizando eFPGA por seguridad, y otros los evalúan. "Según lo entendemos, hay varias razones y diferentes empresas tienen diferentes preocupaciones de seguridad", dijo Tate. “Algunos clientes quieren utilizar eFPGA para ocultar sus algoritmos críticos del proceso de fabricación. Esto es especialmente cierto para los clientes de defensa. Los algoritmos de seguridad, es decir, cifrado/descifrado, se implementan en varios lugares en un SoC. Los requisitos de rendimiento varían. Para una seguridad de muy alta permanencia, debe estar en hardware. Y como los algoritmos de seguridad deben poder actualizarse para hacer frente a los desafíos cambiantes, el hardware debe ser reconfigurable. Los procesadores y el software se pueden piratear, pero es mucho más difícil piratear el hardware, por lo que es deseable tener algunas de las partes críticas de la función de seguridad en hardware programable”.

Sin esa capacidad de programación incorporada, solucionar los problemas de seguridad después de un ataque es mucho más difícil. Por lo general, esto implica algún tipo de parche, que suele ser una solución costosa y subóptima.

“De acuerdo con el principio de separación de dominios, se podría considerar agregar una 'isla segura' independiente al chip existente en un enfoque modular, permitiendo que el chip aproveche todas las capacidades de seguridad proporcionadas por la isla segura con cambios mínimos en el chip existente. ”, dijo Bahrouch de Rambus. “Si bien esta no es la solución más eficiente, la IP de seguridad se puede personalizar para cumplir con los requisitos de seguridad y el objetivo de seguridad general. A pesar de los desafíos, no es necesario aprovechar un módulo de seguridad integrado para cada función de inmediato. Los arquitectos pueden comenzar con los fundamentos que protegen los chips y la integridad de los usuarios, e introducir gradualmente la seguridad basada en hardware con protección de canal lateral para funciones adicionales menos cruciales”.

Harrison, de Siemens, señaló que agregar seguridad a un diseño existente es un problema común en la actualidad. “Si los diseñadores no tienen cuidado, agregar seguridad como una ocurrencia tardía puede llevar fácilmente a un escenario en el que el punto de entrada principal no esté seguro. Sin embargo, EDA puede resultar extremadamente útil en este caso, ya que la tecnología de análisis integrada se puede integrar fácilmente en los niveles inferiores de un diseño que ya existe. En lugar de centrarse únicamente en los riesgos periféricos, se pueden agregar monitores IP para monitorear muchas de las interfaces o nodos internos dentro del diseño”.

Seguridad de hardware mínima
Con tantas opciones y tantos consejos, ¿cuáles son los elementos absolutamente imprescindibles para un chip seguro desde su base?

Cadence's Wall dijo que, como mínimo, es necesario que haya una isla de seguridad que establezca una raíz de confianza para el SoC. “También es necesario que haya funciones de autenticación disponibles para autenticar correctamente el código de arranque y las actualizaciones de firmware OTA. Idealmente, el SoC ha seleccionado recursos que están disponibles solo para el firmware que se sabe que es confiable, y hay una partición de hardware que evita que el firmware desconocido o que no es de confianza acceda a esos recursos de manera maliciosa. Pero, en última instancia, los “imprescindibles” están determinados por la aplicación y el caso de uso. Por ejemplo, un dispositivo de reproducción de audio tendrá requisitos diferentes a los de un dispositivo que procesa pagos”.

Además, según el modelo de evaluación de amenazas y los activos que deben protegerse, un chip seguro típico tendrá como objetivo lograr objetivos de seguridad que se pueden agrupar en las siguientes clases: integridad, autenticidad, confidencialidad y disponibilidad.

"Estos objetivos suelen estar cubiertos por la criptografía, combinada con capacidades adicionales como arranque seguro, almacenamiento seguro, depuración segura, actualización segura y gestión segura de claves", dijo Bahrouch de Rambus. “Desde una perspectiva arquitectónica de SoC, esto generalmente comienza con la protección de la OTP y/o claves e identidades únicas del hardware, seguida de la protección de características y funciones relevantes para la seguridad durante los ciclos de vida del producto, que incluye, entre otras, actualizaciones de firmware y depuración segura. . Una raíz de confianza en el hardware es una buena base para estas funciones fundamentales y una herramienta imprescindible en los SoC modernos, independientemente de su mercado objetivo”.

Independientemente de la aplicación, hay dos elementos críticos que deben habilitarse en todos los dispositivos utilizados en una aplicación segura, dijo Harrison de Siemens. “En primer lugar, se requiere un arranque seguro [como se describe anteriormente], ya que cualquier otro mecanismo de seguridad implementado es una posible superficie de ataque hasta que el dispositivo se haya iniciado exitosamente y de manera segura. Por ejemplo, antes de que se inicie el dispositivo, podría ser posible anular y reconfigurar el registro de firma en una raíz de IP de confianza, esencialmente falsificando la identidad del dispositivo. En segundo lugar, se requiere una identidad segura. Por ejemplo, una raíz de confianza, aunque no se utiliza habitualmente, puede otorgar al dispositivo una identificación única y permitir proteger muchas otras funciones a este dispositivo en particular. Estos son lo mínimo y no protegen contra comunicaciones maliciosas ni la manipulación de interfaces externas”.

Tratar de elaborar una lista de elementos imprescindibles aquí es difícil, ya que varían según las funciones del chip, la tecnología, los activos del dispositivo y la aplicación final. "Sin embargo, como regla general, uno encontraría tres funciones principales: protección, detección y recuperación", dijo Tasher de Winbond. “Es protección en el sentido de que el dispositivo necesita protegerse contra filtraciones de datos, modificaciones ilegales, ataques externos e intentos de manipulación. Detección, ya que los mecanismos de seguridad deben ser capaces de detectar ataques o modificaciones ilícitas a funciones y estados internos. La detección puede desencadenar una respuesta simple en algunos casos o llegar al punto de eliminar completamente las funcionalidades del dispositivo y borrar todos los secretos internos. Y recuperación en el sentido de que con algunas funciones de seguridad, es esencial que el sistema esté en un estado conocido en todo momento. Tal estado puede incluso ser un cierre total, siempre y cuando sea un estado seguro y estable”.

Conclusión
Finalmente, es fundamental que los ingenieros comprendan mucho mejor cómo y dónde agregar seguridad a sus diseños. Esto comienza con las escuelas de ingeniería, que recién están comenzando a incorporar la seguridad en sus planes de estudio.

MITRE, por ejemplo, organiza cada año un concurso “Capture The Flag”, abierto a estudiantes de secundaria y universitarios. "En 2022, teníamos como parte de la competencia el concepto de que el hardware subyacente podría verse comprometido, y pedimos a los estudiantes que diseñaran su sistema para tratar de ser resistente a un componente de hardware potencialmente malicioso integrado directamente en su sistema", dijo Walters. “Recibimos una respuesta realmente interesante. Muchos estudiantes preguntaron: '¿De qué estás hablando? ¿Como es esto posible?' Nuestra respuesta fue: 'Sí, es difícil y parece casi imposible lidiar con eso'. Pero eso es lo que está pasando en el mundo real. Entonces, puedes enterrar la cabeza en la arena, o puedes cambiar tu forma de pensar sobre cómo diseñar un sistema que sea resiliente, porque cuando entres a la fuerza laboral, eso es en lo que tu empleador te pedirá que pienses.' "

La seguridad siempre comienza con la comprensión del perfil de amenaza único para cada aplicación, así como una visión clara de qué es importante proteger, qué nivel de protección se necesita y, cada vez más, qué hacer si un chip o sistema se ve comprometido. Y luego es necesario respaldar eso con lo que realmente está en riesgo.

Neustadter de Synopsys observó que en IoT, por ejemplo, existe un enorme espectro de costos, complejidad y sensibilidad de los datos. "Los puntos finales de IoT, como mínimo, deben ser seguros y confiables", dijo. "Como mínimo, los desarrolladores deben probar la integridad y autenticidad de su software de firmware, pero también tomar una respuesta razonable si esas pruebas en particular fallan".

En el segmento del automóvil, los ataques exitosos pueden tener consecuencias muy graves. "Está la complejidad de la electrónica, está la complejidad de la conectividad", dijo Neustadter. “Es una vieja noticia que un automóvil pudiera ser controlado remotamente con un conductor dentro mientras el automóvil estaba en la carretera. Por tanto, la seguridad en los coches es fundamental. Allí es necesario implementar una seguridad de mayor nivel y, por lo general, también se necesita un mayor rendimiento. Es un tipo de enfoque de seguridad diferente al de IoT, y no es que sea más importante, simplemente es diferente”.

Y esto sigue siendo muy diferente de la seguridad en la nube. "El acceso no autorizado a los datos es una de las mayores amenazas allí", afirmó Neustadter. “Podría haber muchas otras amenazas, incluidas las filtraciones de datos. Muchos de nuestros datos financieros están en la nube, y ahí tienes otro nivel de enfoque de seguridad y resiliencia contra ataques físicos, inyección de fallas, etc. Me gustaría que la gente prestara más atención a cuáles son las amenazas. ¿Qué quieres proteger? Luego, con todas las demás cosas en la imagen, define su arquitectura de seguridad. Eso es algo que la gente no mira desde el principio. Puede ayudarles a tener un mejor comienzo y evitar tener que volver atrás y rediseñar una solución de seguridad”.

— Susan Rambo y Ed Sperling contribuyeron a este informe.

Lectura relacionada
¿Error, defecto o ciberataque?
Rastrear la causa del comportamiento aberrante se está convirtiendo en un desafío mucho mayor.
Qué se necesita para proteger los chips
No existe una solución única y la seguridad más completa puede resultar demasiado cara.

• Distribución de relaciones públicas y contenido potenciado por SEO. Consiga amplificado hoy.
• PlatoData.Network Vertical Generativo Ai. Empodérate. Accede Aquí.
• PlatoAiStream. Inteligencia Web3. Conocimiento amplificado. Accede Aquí.
• PlatoESG. Carbón, tecnología limpia, Energía, Ambiente, Solar, Gestión de residuos. Accede Aquí.
• PlatoSalud. Inteligencia en Biotecnología y Ensayos Clínicos. Accede Aquí.
• Fuente: https://semiengineering.com/security-becoming-core-part-of-chip-design/