Apa itu pengesahan perangkat?

Jeremy O'Donoghue dari GlobalPlatform

Sebagai organisasi yang didirikan berdasarkan keahlian dan wawasan anggota kami, kami telah mengambil kesempatan untuk membahas beberapa teknologi baru dan yang sedang berkembang yang membentuk industri kami, dan bagaimana GlobalPlatform bekerja untuk menentukan standar yang memungkinkan perangkat dan layanan digital aman. dibawa ke pasar.

Dalam wawancara ini, Jeremy O'Donoghue, ketua Trusted Platform Services GlobalPlatform (TPS) Komite dan direktur teknik di Qualcomm , menjelaskan apa itu pengesahan dan mengapa pengesahan itu sangat penting untuk keberhasilan penerapan IoT yang aman. Jeremy juga berbagi wawasan tentang spesifikasi API Pengesahan Entitas GlobalPlatform dan bagaimana hal itu akan membawa kepercayaan yang lebih besar ke ekosistem perangkat yang terhubung.

GlobalPlatform:Pertama, apa itu pengesahan perangkat?

Jeremy O'Donoghue: Ide dasar pengesahan adalah bahwa itu adalah bukti atau bukti yang dapat dipercaya tentang sesuatu. Dalam kasus sistem keamanan siber, misalnya, ini berarti pihak yang mengandalkan seperti bank atau penyedia cloud IoT dapat yakin tentang apa yang mereka terima dari perangkat.

Menggali lebih dalam, apa yang sebenarnya kami maksud dengan pengesahan adalah bahwa kami memiliki Lingkungan Aman – Root of Trust (RoT) – yang memberikan bukti yang ditandatangani secara kriptografis tentang status perangkat. Misalnya, apakah itu di-boot dengan aman, apakah debug diaktifkan, apakah ada bukti gangguan? Ini memungkinkan pihak yang mengandalkan, karena adalah ditandatangani secara kriptografis, untuk memverifikasi bahwa itu adalah perangkat tertentu dari pabrikan tertentu, dan tidak dirusak sebelum terhubung ke jaringan

GlobalPlatform:Mengapa pengesahan penting untuk keberhasilan penerapan Internet of Things (IoT)?

Jeremy O'Donoghue: Salah satu tantangan besar IoT adalah mencapai kepercayaan pada semakin banyak 'hal' yang sekarang terhubung ke jaringan kami. Apakah mereka benar-benar seperti yang mereka katakan? Apakah mereka akan berperilaku sebagaimana mestinya dan tidak menimbulkan risiko pada jaringan? Dan kami telah melihat keamanan menjadi masalah nyata. Pengesahan membantu kami menemukan perangkat yang telah dirusak, atau mungkin memiliki versi perangkat lunak yang buruk atau usang, atau bahkan palsu, untuk diidentifikasi. Ini adalah jenis hal yang dapat Anda tentukan.

Dengan memiliki keyakinan pada hal-hal di jaringan Anda, didukung oleh RoT dan idealnya yang bersertifikat keamanan, Anda mulai membuat penilaian yang nyata dan akurat tentang apa yang Anda miliki dan seberapa besar Anda dapat mempercayainya.

GlobalPlatform:Apakah ada tantangan interoperabilitas, dan apakah itu membatasi adopsi?

Jeremy O'Donoghue: Saat ini sangat sulit untuk melakukan pengesahan yang dapat dipercaya, dan dalam praktiknya, pihak yang mengandalkan harus menggunakan beberapa jenis metrik kepemilikan untuk mengidentifikasi informasi tentang perangkat yang mereka ajak bicara. Ada aktivitas berkelanjutan di antara badan standar untuk memastikan standar dasar tunggal dan dapat dioperasikan, sehingga pihak yang mengandalkan dan produsen perangkat dapat yakin bahwa apa yang mereka kembangkan kemungkinan akan digunakan secara luas dan dapat dioperasikan.

GlobalPlatform memiliki posisi yang sangat baik untuk membantu karena, dengan program kepatuhan kami dan dengan semua skema pengujian interoperabilitas kami, kami dapat membuat perangkat yang Anda yakini akan memiliki interoperabilitas tingkat tinggi. Selain itu, dan yang sangat penting, adalah bahwa seluruh kerangka pengesahan yang kami gunakan telah distandarisasi secara luas di IETF, dan ada minat yang meningkat dari kelompok lain. Kami yakin bahwa, pada waktunya, tantangan interoperabilitas akan hilang dan akan ada satu cara yang andal untuk menentukan bukti tepercaya tentang perangkat yang, karena didukung oleh RoT, memiliki keyakinan yang tulus di baliknya.

GlobalPlatform:Berapa nilai API Pengesahan Entitas GlobalPlatform?

Jeremy O'Donoghue: Nilainya benar-benar berlipat ganda. Kami mengambil standar yang dikembangkan secara terbuka – yaitu karya Entity Attestation Token (EAT) dari IETF – dan kami memperluasnya untuk mendefinisikan EAT yang telah diproduksi di GlobalPlatform RoT. Selangkah lebih maju, kami mendefinisikan bagaimana RoT berperilaku dan mencakup sertifikasi keamanannya. Ini akan memungkinkan pengesahan tepercaya, dan tidak hanya satu dari Elemen Aman (SE) atau Lingkungan Eksekusi Tepercaya (TEE), tetapi satu dari RoT yang telah disertifikasi secara independen, misalnya, di bawah sertifikasi keamanan GlobalPlatform TEE atau Kriteria Umum. Itu adalah nilai yang sangat besar karena membawa kemampuan untuk mengetahui dengan cara yang dapat dipercaya bahwa orang lain telah mengaudit RoT tersebut.

GlobalPlatform:Apa langkah ekosistem selanjutnya?

Jeremy O'Donoghue: Hal pertama adalah menyelesaikan spesifikasi dan kemudian mulai lebih awal dengan pengujian interoperabilitas, yang kami rencanakan untuk tahun 2020. Kemudian, dan ini adalah faktor kritis, kami akan melihat sertifikasi keamanan. Seperti yang saya bahas sebelumnya, RoT pada dasarnya adalah sesuatu yang harus Anda percayai. Cara terbaik untuk memastikan kepercayaan tersebut adalah dengan meminta pihak ketiga untuk mengauditnya, misalnya laboratorium keamanan independen yang mengetahui cara merusak sesuatu dan dapat memberi tahu Anda tingkat keamanan sebenarnya yang harus Anda miliki.

Bergabunglah dengan GlobalPlatform untuk terlibat dalam pekerjaan Komite Layanan Platform Tepercaya GlobalPlatform.

Penulisnya adalah Jeremy O'Donoghue, ketua Komite Layanan Platform Tepercaya (TPS) GlobalPlatform dan direktur teknik di Qualcomm.