Mendefinisikan ulang keamanan firmware

Sebuah artikel baru-baru ini menekankan ancaman serangan berbasis firmware pada platform server, dan menjelaskan secara rinci bagaimana penyedia layanan seperti Cloudflare dapat mempertahankan platformnya. Ini membahas implementasi akar kepercayaan perangkat keras untuk penandatanganan kode entitas boot kritis, memungkinkan perangkat keras menjadi garis pertahanan pertama dalam memastikan integritas perangkat keras dan perangkat lunak server dapat memperoleh kepercayaan melalui sarana kriptografi – dan yang lebih penting, membela pelanggan dari serangan semacam itu . Artikel tersebut diakhiri dengan pandangan ke masa depan, yang menunjukkan bahwa meskipun solusi berfungsi untuk saat ini, selalu ada ruang untuk peningkatan sebagai bagian dari upaya berkelanjutan untuk memberikan keamanan terbaik di industri.

Artikel ini melanjutkan diskusi ini dengan meninjau vektor yang berpotensi tidak tertangani yang melekat pada platform saat ini dan melihat pratinjau solusi optimal untuk mencegah serangan firmware dan meningkatkan keamanan platform ke tingkat berikutnya, berdasarkan prosesor keamanan control/compute unit (TCU) tepercaya Axiado.

Mengakar kepercayaan pada firmware

Masalah utamanya adalah asumsi implisit tentang keamanan root of trust (RoT) dalam rantai boot. Terletak di firmware Unified Extensible Firmware Interface (UEFI), asumsinya adalah bahwa RoT bukanlah target potensial untuk serangan. Asumsi ini terbukti berbahaya sebagaimana dibuktikan oleh pertumbuhan serangan berbasis firmware selama bertahun-tahun, dan khususnya, lebih dari sepuluh kali lipat pada 2019 dibandingkan dengan 2010. Peretas segera menyadari bahwa dengan merusak firmware ini, modul platform tepercaya (TPM) pengukuran untuk tujuan pengesahan jarak jauh juga dapat rusak, karena pengukuran bergantung pada interaksi dengan firmware untuk memvalidasi pengukuran tersebut (tidak disebut "akar kepercayaan" tanpa alasan). Untuk memastikan integritas platform, sangat penting bahwa firmware UEFI itu sendiri diautentikasi, yaitu, kebijakan tanpa kepercayaan diberlakukan di RoT.

Solusi awal

Untuk mengatasi masalah ini, perusahaan telah mengambil langkah penting untuk mengautentikasi firmware UEFI di server mereka dengan Cloudflare menggunakan prosesor AMD EPYC yang mendukung otentikasi ini. Subsistem keamanan perangkat keras EPYC bernama AMD Secure Processor melakukan fungsi bernama platform secure boot (PSB) yang mengotentikasi blok pertama UEFI sebelum melepaskan CPU utama dari reset. PSB adalah implementasi AMD dari integritas boot yang di-rooting perangkat keras. Ini lebih baik daripada akar kepercayaan berbasis firmware UEFI karena ini dimaksudkan untuk menegaskan, dengan akar kepercayaan yang ditambatkan pada perangkat keras, integritas dan keaslian gambar ROM Sistem sebelum dapat dijalankan. Ia melakukannya dengan melakukan tindakan berikut:

• Mengotentikasi blok pertama BIOS/UEFI sebelum melepaskan CPU x86 dari reset.
• Mengotentikasi konten memori hanya-baca (ROM) sistem pada setiap boot, tidak hanya selama pembaruan.
• Memindahkan rantai kepercayaan boot aman UEFI ke perangkat keras yang tidak dapat diubah.

Hal ini dicapai oleh prosesor keamanan platform (PSP) AMD, mikrokontroler ARM Cortex-A5 yang merupakan bagian yang tidak dapat diubah dari sistem pada chip (SoC).

Dengan pendekatan ini, Cloudflare telah mengaktifkan solusi yang muncul untuk memenuhi kebutuhan otentikasi firmware UEFI.

Masalah dengan boot aman UEFI

Pengontrol yang tidak diautentikasi

Komponen umum yang ada di hampir setiap server adalah baseboard management controller (BMC). BMC memiliki banyak koneksi ke sistem host, menyediakan kemampuan untuk memantau perangkat keras, mem-flash firmware BIOS/UEFI, memberikan akses konsol melalui KVM serial atau fisik/virtual, siklus daya server, dan mencatat peristiwa.

Sebagai bagian dari rantai boot, metode penandatanganan PSB saat ini tidak membahas penandatanganan BMC, yang membatasi perluasan batas kepercayaan ke pengontrol yang memiliki banyak antarmuka ke komponen sistem.

Boot dengan CPU khusus platform

Memasukkan otentikasi firmware UEFI dalam blok yang dibangun ke dalam CPU utama server memperkenalkan masalah logistik di bidang manajemen unit penyimpanan stok (SKU). Salah satu masalah tersebut melibatkan penguncian CPU ke platform tertentu. Dengan autentikasi UEFI dan kunci kriptografi terkait yang terkait dengan kode di flash boot terpasang serta CPU AMD EPYC, semua harus ada di platform agar server dapat melakukan booting dengan benar. Namun, ini membatasi kemampuan untuk meningkatkan atau mengubah CPU pada motherboard itu. Efek samping ini telah diamati di pasar pengecer bernilai tambah karena perangkat EPYC yang menggunakan fitur PSB tidak dapat ditukar. Beberapa perusahaan (seperti HPE) telah mengenali batasan ini dan menonaktifkan fitur PSB di server berbasis EPYC mereka, dan memilih untuk mengautentikasi firmware UEFI mereka secara eksternal dengan solusi silikon internal mereka.

Axiado percaya bahwa koprosesor eksternal yang menangani otentikasi firmware UEFI sekaligus memungkinkan fleksibilitas CPU sangat ideal untuk industri pada umumnya.

Tantangan dengan banyak platform

Masalah lain yang terkait dengan manajemen SKU berkaitan dengan pengelolaan platform dengan beberapa metodologi boot aman yang berpotensi. Penyebaran server pusat data dapat mencakup campuran prosesor, seperti Intel, AMD, dan Arm, masing-masing dengan arahan penerapan otentikasi firmware UEFI. Skenario ini dapat menyebabkan beban yang tidak semestinya dalam mengelola metodologi secure-boot/root-of-trust home-grown yang berbeda dari setiap vendor CPU.

Oleh karena itu, koprosesor eksternal untuk menangani otentikasi firmware UEFI dengan fleksibilitas CPU sangat ideal untuk industri secara luas.

Toko terpadu yang potensial untuk keamanan firmware yang optimal?

Solusi yang memungkinkan toko serba ada untuk kebutuhan keamanan, sekaligus meningkatkan keamanan firmware, dan tidak menambahkan komponen ke tagihan material adalah koprosesor control/compute unit (TCU) tepercaya Axiado. Ini menawarkan otentikasi firmware UEFI terbaik di kelasnya untuk solusi boot aman yang seragam di semua SKU, apa pun pilihan perusahaan di vendor CPU utama, dan semuanya tanpa menambahkan komponen ke platform.

Sebagai koprosesor di server, Axiado TCU berperan sebagai chip baseboard management controller (BMC), sehingga ruang tambahan di server tidak diperlukan untuk perangkat ini. TCU bertanggung jawab atas pengesahan semua komponen dalam sistem, termasuk dirinya sendiri. Ini menawarkan solusi konsolidasi komponen yang menarik dengan mendukung semua fungsionalitas lama yang diharapkan dari perangkat BMC dan termasuk fungsionalitas tambahan yang memungkinkan TCU untuk mengambil peran sebagai modul platform tepercaya (TPM) dan perangkat logika terprogram kompleks (CPLD) yang ditemukan di server.

Inti dari TCU adalah teknologi brankas aman yang dipatenkan Axiado, yang menyediakan otentikasi firmware UEFI berbasis perangkat keras yang tahan gangguan dan tidak dapat diubah dan boot aman. Antara lain, teknologi ini mencakup perlindungan terhadap serangan analisis daya diferensial yang digunakan untuk merekayasa balik kunci kriptografik yang memberikan akses peretas ke informasi pribadi terenkripsi.

TCU mencakup teknologi AI aman yang menampilkan subsistem prosesor jaringan saraf khusus (NNP) yang dirancang untuk memodelkan perilaku normal perangkat, dan dengan demikian, untuk mengidentifikasi anomali yang mungkin mengindikasikan adanya serangan. Hal ini memungkinkan untuk memberlakukan tindakan pencegahan yang diperlukan untuk melindungi sistem sebelum serangan, termasuk yang tidak diidentifikasi secara formal. Selain itu, NNP memiliki koneksi ke berbagai I/O perangkat, sehingga dapat memodelkan perilaku normal dan mengidentifikasi anomali platform server secara luas, memperluas radius pelindung TCU terhadap upaya peretasan.

Dengan menawarkan solusi koprosesor keamanan, Axiado memecahkan masalah yang disajikan dalam artikel ini terkait dengan penawaran SKU. Pertama, satu solusi meminimalkan jumlah permukaan serangan yang dapat dicoba dieksploitasi oleh peretas di seluruh jajaran SKU. Seseorang tidak perlu melindungi dari serangan terhadap solusi keamanan AMD, Intel, Arm, dan vendor lainnya. Ini juga menyederhanakan pengelolaan dan pemeliharaan penerapan SKU server, meminimalkan jumlah varian pembaruan perangkat lunak/firmware platform. Kedua, dengan membongkar subsistem boot aman ke TCU, CPU tidak lagi terkunci ke perangkat keras server tertentu. Selanjutnya, Anda dapat dengan bebas mencampur dan mencocokkan CPU di seluruh varian perangkat keras dan melakukan peningkatan tanpa harus melalui tugas mengonfigurasi CPU ke perangkat keras tertentu tempat ia diinstal.

Singkatnya, koprosesor TCU menyediakan solusi perlindungan firmware UEFI berbasis perangkat keras yang seragam dan aman untuk semua platformnya, dengan kemampuan untuk mempelajari serangan baru bahkan sebelum serangan tersebut dikenali secara formal. Hal ini memungkinkan jaringan aman yang didukung oleh subsistem CPU yang kaya fitur dan berkinerja tinggi, serta jaringan yang lebih mudah untuk dikelola dan dipelihara.