Recursos orientados pela comunidade rastreiam os pontos fracos de segurança do design de hardware

Os sistemas de computador nunca foram mais avançados e complexos do que são hoje. Da mesma forma, o nível de sofisticação e prevalência que vemos nos ataques cibernéticos modernos está crescendo a uma taxa surpreendente. Os hackers também estão mudando seu foco. Embora a indústria tenha trabalhado diligentemente para fortalecer a camada de software ao longo dos anos, os hackers começaram a mudar seu foco para a camada de hardware.

Na verdade, a indústria e a pesquisa acadêmica demonstraram métodos avançados, que estão em constante aperfeiçoamento, para se infiltrar nos sistemas por meio do hardware - às vezes, por meio de vulnerabilidades híbridas de hardware-software. Os hackers estão operando com uma grande vantagem ao alavancar vários aprendizados e técnicas disponíveis no domínio público.

Por outro lado, as probabilidades não parecem favorecer os designers de hardware. O setor carecia do mesmo nível de taxonomia comum e classificação compartilhada para as deficiências de hardware que foram bem estabelecidas para software nas últimas duas décadas. Como resultado, os designers de hardware são prejudicados pela disponibilidade de conhecimento e recursos compartilhados enquanto tentam melhorar a resiliência de seus produtos contra ataques relevantes.

Sistema de pontuação de fraqueza comum (CWSS) (Fonte:Mitre)

Por anos, o sistema Common Weakness Enumeration (CWE) desenvolvido pela comunidade da Mitre e o sistema Common Vulnerabilities and Exposures (CVE) serviram como principais recursos para rastrear fraquezas de software por categoria e instâncias de vulnerabilidade conhecidas. Arquitetos e desenvolvedores de software usam essas ferramentas para ajudar a garantir que evitem criar problemas de segurança em seus produtos de software, enquanto pesquisadores e fornecedores procuram detectar e anexar vulnerabilidades recém-descobertas para construir uma referência coletiva cada vez maior para eliminar problemas de segurança de software.

À medida que os hackers continuam a dobrar o hardware, a indústria deve desenvolver o mesmo tipo de recursos expansivos para catalogar e rastrear os pontos fracos do projeto de hardware para ajudar os profissionais a resolver questões de segurança importantes, incluindo:

• Onde estão os pontos de entrada de hardware relevantes em meu projeto?
• Qual é o conjunto comum de pontos fracos aos quais os designers precisam prestar atenção?
• Quais propriedades físicas do dispositivo são mais afetadas quando a temperatura, tensão ou corrente saem da faixa de operação? Como eles seriam abusados ​​por hackers para minar a robustez da segurança do meu projeto?
• Quais são as consequências de um ataque bem-sucedido ao dispositivo de hardware, à pilha de software em execução no topo, bem como ao sistema integrado geral?
• Quais são alguns dos exemplos recentes do problema?
• Como uma vulnerabilidade pode ser detectada no início do ciclo de vida de desenvolvimento do produto por equipes de validação para minimizar o custo de correção?
• Qual é a gama de opções de mitigação disponíveis? Quais são as compensações entre custo e eficácia?

O setor precisa de acesso aberto e padronizado a esse nível de percepção dos problemas comuns de segurança de hardware. Precisamos de uma linguagem comum que possa ser usada por pesquisadores e fornecedores para compartilhar os principais aprendizados e práticas recomendadas uns com os outros de forma eficaz.

A boa notícia é que agora estamos um passo mais perto do Santo Graal. Desde o verão passado, a Intel e a Mitre formaram uma parceria e trabalharam incansavelmente para apresentar a estrutura tão esperada. Em fevereiro de 2020, Mitre anunciou o lançamento do CWE versão 4.0 que expandiu a oferta orientada a software existente para incluir a contraparte de hardware. De acordo com o anúncio inicial de Mitre, esta atualização tem como objetivo "ajudar os designers de hardware a entender melhor os erros potenciais que podem ser cometidos em áreas específicas de seu design de IP, bem como ajudar os educadores [a] ensinar aos futuros profissionais sobre os tipos de erros que são comumente feito em design de hardware. ”

O novo CWE Hardware Design View já inclui 30 problemas de hardware que geralmente são esquecidos pelos designers de hardware. Esses problemas são agrupados em categorias de alto nível, como Preocupações de manufatura e gerenciamento de ciclo de vida, problemas de fluxo de segurança, separação de privilégios e problemas de controle de acesso, circuitos gerais e preocupações de design lógico, problemas de núcleo e computação, problemas de memória e armazenamento, primitivos de segurança e criptografia Problemas e muitos mais.

Este desenvolvimento recente é um grande passo na direção certa, mas ainda há muito trabalho a ser feito. Espera-se que a coleção evolua com o tempo, à medida que as contribuições da comunidade introduzem mais entradas e exemplos. A comunidade de pesquisa, bem como as partes interessadas em toda a indústria, academia e governo, devem se unir para participar e contribuir para continuar a construir este CWE de hardware cumulativo e padronizado. E há muita motivação para fazer isso, com tantos benefícios de longo alcance que podem advir desses esforços.

Um hardware CWE robusto permitirá que os arquitetos aprendam e implantem atenuações eficazes em seus produtos para evitar ataques lançados por hackers de vários pontos de entrada. Os designers ficarão atualizados sobre as melhores práticas de segurança desde o projeto e evitarão as armadilhas comuns de segurança de hardware ao criar novos produtos. Os engenheiros de verificação estarão muito mais familiarizados com os diferentes tipos de fraquezas de hardware e, portanto, serão mais eficazes na eliminação de vulnerabilidades em todo o processo de desenvolvimento. Os pesquisadores de segurança estarão mais bem equipados para localizar e resolver problemas de segurança de hardware sistêmicos e desenvolver correções que removem riscos e bloqueiam os invasores. Os pesquisadores que desejam entrar no campo podem se beneficiar dos recursos e da taxonomia comum para aprender, colaborar e trocar aprendizados uns com os outros. A indústria de hardware pode certamente se beneficiar de uma comunidade mais diversificada, unida por mentes brilhantes de outros domínios de pesquisa para ajudar a conduzir o atual estado da arte para a próxima fronteira. Esses são apenas alguns dos muitos benefícios que veremos à medida que a indústria constrói uma estrutura CWE de hardware cumulativa e aberta.

Por muito tempo, muitos sentiram que identificar e categorizar os pontos fracos do hardware, as causas raízes e as estratégias de mitigação era uma batalha difícil sem fim. Como o hardware continua a ser o principal alvo dos hackers, devemos investir em pesquisa, ferramentas e recursos necessários para catalogar e avaliar adequadamente os pontos fracos do hardware com a mesma urgência e escopo que temos para ameaças de software. O novo CWE 4.0 é um passo inicial fantástico sobre o qual a indústria pode apoiar e construir - permitindo que os profissionais falem a mesma língua enquanto continuam a melhorar a robustez da segurança dos produtos de hardware que as pessoas em todo o mundo confiam todos os dias.

>> Este artigo foi publicado originalmente em nosso site irmão, EE Times.