"In generale, la sicurezza di rete si riferisce alla protezione di reti, apparecchiature, applicazioni (programmi) e dati da attacchi di rete attraverso tecnologie, processi e altre pratiche; il ripristino della protezione della rete si riferisce al verificarsi di eventi di rete sfavorevoli (come gli attacchi di rete). Può ancora fornire continuamente i risultati attesi, che includono sicurezza delle informazioni, continuità aziendale e resilienza organizzativa completa.
"
Colpiti dalla crescita esplosiva dei dati, dalla migrazione su larga scala al cloud e dalla piena implementazione delle reti 5G, gli attacchi informatici stanno diventando più sfrenati e la velocità e la precisione dei loro attacchi sono in costante aumento. I dati provenienti da più istituti di analisi e ricerca confermano questo fenomeno: secondo il report di Accenture, nel 2020, il 40% degli attacchi di cyber user ha origine da problemi di supply chain; Gartner prevede che se queste aziende non hanno intrapreso azioni tempestive nel piano di aggiornamento del firmware 2022, colmano le lacune di sicurezza del firmware, nel 2022 il 70% delle aziende sarà invaso a causa di scappatoie del firmware.
In teoria, nessun sistema può essere protetto dalla minaccia di attacco e tutti i sistemi rischiano di essere attaccati. Il tradizionale sistema di sicurezza informatica può prevenire molti attacchi, ma se il firmware di sistema (Firmware) è al livello più basso, questo metodo di sicurezza tradizionale può talvolta essere impotente.
Nella pratica accumulata a lungo termine, Lattice ha scoperto una soluzione di sicurezza davvero eccezionale, che consiste nell'aumentare il livello del sistema di sicurezza della rete aggiungendo la funzione Cyber Resiliency, per rilevare eventuali attacchi al firmware in corso in tempo reale e per Il sistema viene ripristinato a uno stato noto. Il fulcro di tutto questo è che dobbiamo assicurarci che nessuno possa accedere a nessuna chiave di crittografia tranne il proprietario dell'IP del firmware crittografato.
La differenza tra la sicurezza della rete e il ripristino della protezione della rete
In generale, la sicurezza di rete si riferisce alla protezione di reti, apparecchiature, applicazioni (programmi) e dati da attacchi di rete attraverso tecnologie, processi e altre pratiche; il ripristino della protezione della rete si riferisce al verificarsi di eventi di rete sfavorevoli (come gli attacchi di rete). Può ancora fornire continuamente i risultati attesi, che includono sicurezza delle informazioni, continuità aziendale e resilienza organizzativa completa.
Per dirla semplicemente, la principale differenza tra i due risiede nei metodi di elaborazione dopo il rilevamento dell'attacco di rete. Sebbene la sicurezza di rete includa il concetto di rilevamento e prevenzione delle minacce, non tutte le soluzioni di sicurezza di rete consentono al sistema di intraprendere azioni in tempo reale basate su questo concetto per mitigare gli attacchi, risolvere i problemi di sicurezza causati dagli attacchi e mantenere il flusso di dati sicuro senza interrompere l'attività. Il rilevamento e il ripristino delle minacce in tempo reale è il fulcro del ripristino della protezione della rete.
Nel 2020 Microsoft ha lanciato il processore di sicurezza Pluton, che è stato migliorato sulla base della Trusted Platform Moduli (TPM). Secondo la descrizione di Microsoft, “Pluton si è evoluto dal modulo di piattaforma affidabile esistente nei computer moderni. TPM memorizza le informazioni relative alla sicurezza del sistema operativo e implementa funzioni simili a Windows Hello. Utilizzando il processore Pluton, Microsoft separerà la funzione TPM integrata nella CPU, bloccando con successo l'attacco all'interfaccia del bus interchip tra la CPU e il TPM posizionato separatamente sulla scheda madre.
Come soluzione per la sicurezza della rete, Pluton è senza dubbio molto potente, ma non può proteggere il sistema durante il processo di avvio prima che il sistema operativo venga caricato. In altre parole, la breve finestra temporale tra il componenti sulla scheda madre dal momento in cui viene avviato il firmware, caricato il sistema operativo e attive le misure di sicurezza della rete, è diventato ormai un percorso di attacco sempre più interessante per i criminali informatici. Pertanto, al fine di migliorare le prestazioni di sicurezza dei TPM come Pluton, il sistema deve anche implementare un meccanismo di protezione e ripristino della rete potente e dinamico sulla radice di attendibilità hardware (HRoT).
Ad esempio, quando si esegue un avvio sicuro dell'hardware, ogni componente sulla scheda madre viene attivato solo dopo che il suo firmware è stato confermato come legale e l'intero processo di verifica viene eseguito da HRoT; inoltre, HRoT continuerà a monitorare il firmware non volatile della CPU protetta, rispondendo all'attacco con una risposta di nanosecondi per impedire che venga attaccato. Questa capacità di ripristinare rapidamente il normale funzionamento del sistema senza assistenza esterna è il fulcro del meccanismo di ripristino della protezione della rete del sistema.
Come accennato in precedenza, il firmware del dispositivo è diventato un vettore di attacco sempre più popolare. Che si tratti del router di un produttore o di un dispositivo di monitoraggio della sicurezza online, il firmware è stato invaso. Pertanto, per la protezione dagli attacchi al firmware, il National Institute of Standards e Tecnologia (NIST) ha definito un meccanismo di sicurezza standard (NIST SP-800-193), chiamato Platform Firmware Protection Recovery (PFR). PFR può essere utilizzato come root of trust hardware nel sistema, integrando il sistema esistente basato su BMC/MCU/TPM, rendendolo pienamente conforme allo standard NIST SP-800-193, fornendo così un metodo completamente nuovo per proteggere i server aziendali firmware, che può prevenire completamente gli attacchi a tutto il firmware del server.
I requisiti normativi del NIST SP-800-193 per la protezione del firmware sull'intera piattaforma hardware includono principalmente tre parti: in primo luogo, può rilevare che gli hacker stanno attaccando il firmware; il secondo è la protezione, ad esempio qualcuno sta attaccando illegalmente il firmware. Durante le operazioni di lettura e scrittura, queste azioni illegali devono essere prevenute e segnalate al software superiore per emettere un messaggio di avviso; il terzo è che anche se il firmware è danneggiato, può essere ripristinato, ad esempio da un file di backup. Queste tre parti (ripristino, rilevamento, protezione) sono integrate e coordinate tra loro e lo scopo principale è proteggere il firmware sulla piattaforma hardware.
Soluzione di controllo del sistema di sicurezza Sentry
La soluzione Sentry non è solo un prodotto hardware. Ha una serie di strumenti, software e servizi di corrispondenza. L'ultima versione è Sentry 2.0.
Come si può vedere dalla figura sopra, la piattaforma hardware sottostante di Sentry 2.0 è basata su MachXO3D e Mach-NX FPGA, che è l'FPGA orientato al controllo di Lattice che soddisfa gli standard di protezione e ripristino del firmware della piattaforma NIST. Quando l'hardware di cui sopra viene utilizzato per le funzioni di controllo del sistema, di solito sono i dispositivi di "primo accensione/ultimo spegnimento" sul circuito tavola. Integrando le funzioni di sicurezza e di controllo del sistema, MachXO3D e Mach-NX diventano la catena di fiducia per la protezione del sistema. Il primo collegamento.
A differenza del processo di controllo e della tempistica della soluzione TPM/MCU che utilizza l'elaborazione seriale, la soluzione FPGA può monitorare e proteggere più periferiche contemporaneamente, quindi le prestazioni in tempo reale sono relativamente elevate. In termini di rilevamento e ripristino, i dispositivi FPGA possono essere verificati attivamente e possono identificare e rispondere più rapidamente in caso di applicazioni sensibili al fattore tempo o danni gravi.
Sopra la piattaforma hardware c'è una serie di core IP pre-verificati e testati, strumenti software, progetti di riferimento, esempi dimostrativi e servizi di progettazione personalizzati, che insieme formano una soluzione Sentry completa. Con la sua benedizione, il tempo di sviluppo delle applicazioni PFR può essere ridotto da 10 mesi a 6 settimane.
Il supporto dell'hardware root of trust (HRoT) di nuova generazione conforme alla specifica NIST Platform Firmware Protection and Recovery (PFR) (NIST SP-800-193) e alla crittografia a 384 bit è il punto di forza della soluzione Sentry 2.0. Le sue caratteristiche principali includono:
• Prestazioni di sicurezza più elevate: considerando che molte piattaforme server di nuova generazione richiedono il supporto per la crittografia a 384 bit, il set di soluzioni Sentry supporta il controllo di sicurezza Mach-NX FPGA e il modulo IP Enclave sicuro, che può raggiungere la crittografia a 384 bit (ECC-256 / 384 e HMAC-SHA-384) per prevenire al meglio l'accesso non autorizzato al firmware protetto da Sentry.
• Velocità di autenticazione pre-lancio aumentata di 4 volte: Sentry 2.0 supporta prestazioni ECDSA (40 ms), SHA (fino a 70 Mbps) e QSPI (64 MHz) più veloci. Queste funzionalità consentono a Sentry 2.0 di fornire tempi di avvio più rapidi, ridurre al minimo i tempi di inattività del sistema e ridurre il rischio di attacchi al firmware durante l'avvio.
• Monitoraggio in tempo reale di un massimo di cinque immagini del firmware: per espandere ulteriormente la funzionalità della radice di attendibilità hardware conforme a PFR basata su Lattice Sentry, la soluzione può monitorare fino a cinque componenti della scheda madre nel sistema in tempo reale durante l'avvio e funzionamento. Al contrario, le soluzioni di sicurezza basate su MCU mancano di prestazioni di elaborazione sufficienti per monitorare con precisione così tanti componenti in tempo reale.
Allo stesso tempo, per consentire agli sviluppatori di sviluppare rapidamente senza alcuna esperienza di progettazione FPGA, Sentry può trascinare e rilasciare il modulo IP verificato nell'ambiente di progettazione Lattice Propel e modificare il codice di riferimento del linguaggio RISC-V/C specificato.
Osservazioni conclusive
Di fronte agli attacchi informatici, la mentalità emergente sta cambiando da "ovviamente possiamo prevenire gli attacchi" a "quando si verificano gli attacchi, possiamo avere metodi di gestione migliori per affrontarli?" o, "come possiamo diventare più adattati agli attacchi?" Forse, la risposta sta nel partire dal livello del firmware per creare un sistema di protezione e ripristino della rete con i piedi per terra.
Colpiti dalla crescita esplosiva dei dati e dalla migrazione su larga scala al cloud, nonché dalla piena implementazione delle reti 5G, gli attacchi informatici stanno diventando più sfrenati e la velocità e la precisione dei loro attacchi sono in costante aumento. I dati di alcuni istituti di analisi e ricerca hanno confermato questo fenomeno: secondo il rapporto di Accenture, nel 2020, il 40% degli attacchi di utenti informatici ha origine da problemi di filiera; Gartner prevede che se queste aziende non hanno intrapreso azioni tempestive nel piano di aggiornamento del firmware 2022, colmano le lacune di sicurezza del firmware, nel 2022 il 70% delle aziende sarà invaso a causa di scappatoie del firmware.
In teoria, nessun sistema può essere protetto dalla minaccia di attacco e tutti i sistemi rischiano di essere attaccati. Il tradizionale sistema di sicurezza informatica può prevenire molti attacchi, ma se il firmware di sistema (Firmware) è al livello più basso, questo metodo di sicurezza tradizionale può talvolta essere impotente.
Nella pratica accumulata a lungo termine, Lattice ha scoperto una soluzione di sicurezza davvero eccezionale, che consiste nell'aumentare il livello del sistema di sicurezza della rete aggiungendo la funzione Cyber Resiliency, per rilevare eventuali attacchi al firmware in corso in tempo reale e per Il sistema viene ripristinato a uno stato noto. Il fulcro di tutto questo è che dobbiamo assicurarci che nessuno possa accedere a nessuna chiave di crittografia tranne il proprietario dell'IP del firmware crittografato.
La differenza tra la sicurezza della rete e il ripristino della protezione della rete
In generale, la sicurezza di rete si riferisce alla protezione di reti, apparecchiature, applicazioni (programmi) e dati da attacchi di rete attraverso tecnologie, processi e altre pratiche; il ripristino della protezione della rete si riferisce al verificarsi di eventi di rete sfavorevoli (come gli attacchi di rete). Può ancora fornire continuamente i risultati attesi, che includono sicurezza delle informazioni, continuità aziendale e resilienza organizzativa completa.
In poche parole, la principale differenza tra i due risiede nel modo in cui affrontano l'attacco di rete dopo che è stato rilevato. Sebbene la sicurezza di rete includa il concetto di rilevamento e prevenzione delle minacce, non tutte le soluzioni di sicurezza di rete consentono al sistema di intraprendere azioni in tempo reale basate su questo concetto per mitigare gli attacchi, risolvere i problemi di sicurezza causati dagli attacchi e mantenere il flusso di dati sicuro senza interrompere l'attività. Il rilevamento e il ripristino delle minacce in tempo reale è il fulcro del ripristino della protezione della rete.
Nel 2020, Microsoft ha lanciato il processore di sicurezza Pluton, che è stato migliorato sulla base del concetto Trusted Platform Module (TPM). Secondo la descrizione di Microsoft, “Pluton si è evoluto dal modulo della piattaforma affidabile esistente nei computer moderni. TPM archivia le informazioni relative alla sicurezza del sistema operativo e implementa funzioni simili a Windows Hello. Utilizzando il processore Pluton, Microsoft separerà La funzione TPM è integrata nella CPU, bloccando con successo l'attacco all'interfaccia del bus inter-chip tra la CPU e il TPM posizionato separatamente sulla scheda madre.
Come soluzione per la sicurezza della rete, Pluton è senza dubbio molto potente, ma non può proteggere il sistema durante il processo di avvio prima che il sistema operativo venga caricato. In altre parole, la breve finestra temporale tra i componenti sulla scheda madre a partire dall'avvio del firmware, il caricamento del sistema operativo e il momento in cui le misure di sicurezza della rete sono attive, è diventata ormai un percorso di attacco sempre più interessante per i criminali informatici. Pertanto, al fine di migliorare le prestazioni di sicurezza dei TPM come Pluton, il sistema deve anche implementare un meccanismo di protezione e ripristino della rete potente e dinamico sulla radice di attendibilità hardware (HRoT).
Ad esempio, quando si esegue un avvio sicuro dell'hardware, ogni componente sulla scheda madre viene attivato solo dopo che il suo firmware è stato confermato come legale e l'intero processo di verifica viene eseguito da HRoT; inoltre, HRoT continuerà a monitorare il firmware non volatile della CPU protetta, rispondendo all'attacco con una risposta di nanosecondi per impedire che venga attaccato. Questa capacità di ripristinare rapidamente il normale funzionamento del sistema senza assistenza esterna è il fulcro del meccanismo di ripristino della protezione della rete del sistema.
Come accennato in precedenza, il firmware del dispositivo è diventato un vettore di attacco sempre più popolare. Che si tratti di un router del produttore o di un dispositivo di monitoraggio della sicurezza online, il firmware è stato invaso. Pertanto, per la protezione dagli attacchi al firmware, il National Institute of Standards and Technology (NIST) ha definito un meccanismo di sicurezza standard (NIST SP-800-193), che prende il nome di Platform Firmware Protection Recovery (PFR). PFR può essere utilizzato come root of trust hardware nel sistema, integrando il sistema esistente basato su BMC/MCU/TPM, rendendolo pienamente conforme allo standard NIST SP-800-193, fornendo così un metodo nuovo di zecca per proteggere il server aziendale firmware, che può prevenire completamente gli attacchi su tutto il firmware del server.
I requisiti normativi del NIST SP-800-193 per la protezione del firmware sull'intera piattaforma hardware includono principalmente tre parti: in primo luogo, può rilevare che gli hacker stanno attaccando il firmware; il secondo è la protezione, ad esempio qualcuno sta attaccando illegalmente il firmware. Durante le operazioni di lettura e scrittura, queste azioni illegali devono essere prevenute e segnalate al software superiore per emettere un messaggio di avviso; il terzo è che anche se il firmware è danneggiato, può essere ripristinato, ad esempio da un file di backup. Queste tre parti (ripristino, rilevamento, protezione) sono integrate e coordinate tra loro e lo scopo principale è proteggere il firmware sulla piattaforma hardware.
Soluzione di controllo del sistema di sicurezza Sentry
La soluzione Sentry non è solo un prodotto hardware. Ha una serie di strumenti, software e servizi di corrispondenza. L'ultima versione è Sentry 2.0.
Come si può vedere dalla figura sopra, la piattaforma hardware sottostante di Sentry 2.0 è basata su MachXO3D e Mach-NX FPGA, che è l'FPGA orientato al controllo di Lattice che soddisfa gli standard di protezione e ripristino del firmware della piattaforma NIST. Quando l'hardware di cui sopra viene utilizzato per le funzioni di controllo del sistema, di solito sono i dispositivi di "primo accensione/ultimo spegnimento" sulla scheda del circuito. Integrando le funzioni di sicurezza e di controllo del sistema, MachXO3D e Mach-NX diventano la catena di fiducia della protezione del sistema Il primo anello.
A differenza del processo di controllo e della tempistica della soluzione TPM/MCU che utilizza l'elaborazione seriale, la soluzione FPGA può monitorare e proteggere più periferiche contemporaneamente, quindi le prestazioni in tempo reale sono relativamente elevate. In termini di rilevamento e ripristino, i dispositivi FPGA possono essere verificati attivamente e possono identificare e rispondere più rapidamente in caso di applicazioni sensibili al fattore tempo o danni gravi.
Sopra la piattaforma hardware c'è una serie di core IP pre-verificati e testati, strumenti software, progetti di riferimento, esempi dimostrativi e servizi di progettazione personalizzati, che insieme formano una soluzione Sentry completa. Con la sua benedizione, il tempo di sviluppo delle applicazioni PFR può essere ridotto da 10 mesi a 6 settimane.
Il supporto dell'hardware root of trust (HRoT) di nuova generazione conforme alla specifica NIST Platform Firmware Protection and Recovery (PFR) (NIST SP-800-193) e alla crittografia a 384 bit è il punto di forza della soluzione Sentry 2.0. Le sue caratteristiche principali includono:
• Prestazioni di sicurezza più elevate: considerando che molte piattaforme server di nuova generazione richiedono il supporto per la crittografia a 384 bit, il set di soluzioni Sentry supporta il controllo di sicurezza Mach-NX FPGA e il modulo IP Enclave sicuro, che può raggiungere la crittografia a 384 bit (ECC-256 / 384 e HMAC-SHA-384) per prevenire al meglio l'accesso non autorizzato al firmware protetto da Sentry.
• Velocità di autenticazione pre-lancio aumentata di 4 volte: Sentry 2.0 supporta prestazioni ECDSA (40 ms), SHA (fino a 70 Mbps) e QSPI (64 MHz) più veloci. Queste funzionalità consentono a Sentry 2.0 di fornire tempi di avvio più rapidi, ridurre al minimo i tempi di inattività del sistema e ridurre il rischio di attacchi al firmware durante l'avvio.
• Monitoraggio in tempo reale di un massimo di cinque immagini del firmware: per espandere ulteriormente la funzionalità della radice di attendibilità hardware conforme a PFR basata su Lattice Sentry, questa soluzione può monitorare fino a cinque componenti della scheda madre nel sistema in tempo reale durante l'avvio e funzionamento. Al contrario, le soluzioni di sicurezza basate su MCU mancano di prestazioni di elaborazione sufficienti per monitorare con precisione così tanti componenti in tempo reale.
Allo stesso tempo, per consentire agli sviluppatori di sviluppare rapidamente senza alcuna esperienza di progettazione FPGA, Sentry può trascinare e rilasciare il modulo IP verificato nell'ambiente di progettazione Lattice Propel e modificare il codice di riferimento del linguaggio RISC-V/C specificato.
Osservazioni conclusive
Di fronte agli attacchi informatici, la mentalità emergente sta cambiando da "ovviamente possiamo prevenire gli attacchi" a "quando si verificano gli attacchi, possiamo avere metodi di gestione migliori per affrontarli?" o, "come possiamo diventare più adattati agli attacchi?" Forse la risposta sta nel partire dal livello del firmware per creare un sistema di protezione e ripristino della rete con i piedi per terra.
I Link: CM150RX1-24T LB104S02-TD02