Silicon Labs Lança Secure Vault: Solução Baseada em Hardware para Fortalecer Segurança de Dispositivos IoT

Quando se trata de segurança de Internet das Coisas (IoT), vendors de chips frequentemente ouvem a mesma crítica: designers e fabricantes não tratam segurança como requisito core. A justificativa prevalente é que segurança adiciona custo, e se não é essencial, por que se incomodar? Muitos dispositivos também incorporam segurança apenas como after-thought, deixando-os vulneráveis a comprometimento.

Globalmente, governos estão apertando as regras. SB-327 da Califórnia entrou em vigor em janeiro de 2020, padrão ETSI da Europa agora exige cyber-security para consumer IoT, e o governo UK está redigindo nova lei sobre segurança IoT. Em resposta, vendors estão intensificando campanhas de conscientização.

Esta semana a Silicon Labs anunciou nova oferta de segurança baseada em hardware para suas soluções wireless system-on-chip (SoC). A tecnologia Secure Vault é uma suíte abrangente projetada para ajudar device makers a enfrentar ameaças IoT crescentes e atender demandas regulatórias. Já está integrada na plataforma Wireless Gecko Series 2, que pareia features de segurança de software com hardware physically unclonable function (PUF) para reduzir risco de brechas e proteger propriedade intelectual.

A Silicon Labs descreve Secure Vault como um wireless SoC custo-efetivo que entrega nível de segurança otimizado. O subsistema — compreendendo núcleo dedicado, barramento e memória — é isolado do processador host, garantindo que key management, criptografia e outras funções críticas permaneçam protegidas. Esta separação de hardware é especialmente valiosa para empresas navegando GDPR na Europa e SB-327 da Califórnia.

Perguntamos a Gregory Guez, Senior Director of Product Marketing para IoT Security na Silicon Labs, como Secure Vault difere de outras soluções como trusted execution environments (TEE). Ele explicou: "Secure Vault fornece isolamento entre o secure element e a aplicação do cliente em hardware, não software. Enquanto outros vendors podem oferecer key management com armazenamento limitado, nosso design baseado em PUF entrega armazenamento seguro de chaves através de todo espaço de memória."

Secure Vault também oferece chaves criptografadas tamper-resistant. Guez adicionou: "As chaves criptografadas são protegidas por detectores e respostas configuráveis. Certificados de identidade segura do Secure Vault permitem fabricantes provar autenticidade do dispositivo — requisito essencial no ecossistema IoT de hoje."

Analista sênior de cybersecurity Tanner Johnson da Omdia nota que segurança embarcada é requisito non-negotiable. "Atualizações de software sozinhas não podem corrigir vulnerabilidades enraizadas em hardware inseguro. Componentes de hardware devem servir como linha de frente de defesa, especialmente conforme nova legislação visa segurança de produtos IoT", disse ele.

Combinando hardware e software, Secure Vault ajuda fabricantes salvaguardar reputação de marca, integridade de design e dados de consumidores. Embutir o sistema de segurança dentro do wireless SoC simplifica desenvolvimento e permite atualizações over-the-air (OTA) seguras através do lifecycle do produto. Entregar firmware genuíno e confiável mitiga exploits, ameaças e gaps regulatórios imprevistos.

Secure Vault aborda os quatro pilares de segurança IoT — confidencialidade, autenticação, integridade e privacidade — através de identidade segura de dispositivo, key management robusto e detecção avançada de tampering.

Identidade segura de dispositivo resolve desafio de autenticação pós-deployment. Serviço de trust provisioning factory-based da Silicon Labs gera certificado único de device-identity durante manufatura do IC — akin a certidão de nascimento — permitindo segurança pós-deployment, autenticidade e health checks baseados em atestação. O certificado garante autenticidade do chip por sua lifetime.

Secure Vault fornece armazenamento seguro de chaves, com chaves criptografadas usando master encryption key gerada via PUF (Imagem: Silicon Labs)

Segredo de chave é crítico para acesso a dispositivo e dados. Secure Vault criptografa e isola chaves do código de aplicação. Todas as chaves são criptografadas com master key gerada por PUF, e assinaturas de power-up são únicas para cada dispositivo. Master keys são criadas durante power-up, eliminando master keys armazenadas e reduzindo vetores de ataque.

Detecção de tampering varia de resistência a tampering de enclosure a detecção sofisticada no nível de silício de manipulações de tensão, frequência e temperatura. Features de tamper-response configuráveis permitem desenvolvedores disparar interrupts, resets, ou até deleção de chaves secretas quando anomalias são detectadas.

Secure Link criptografa interface entre microcontrolador e chip Wi-Fi para prevenir atacantes de obter SSIDs ou passkeys (Imagem: Silicon Labs)

Recursos adicionais do Secure Vault incluem proteção anti-rollback — prevenindo firmware antigo e vulnerável de ser recarregado — e Secure Link, que criptografa interface microcontrolador-Wi-Fi usando trocas de chave Diffie-Hellman per-session, per-device. O link é unicamente seguro por dispositivo e chaves são regeneradas a cada power cycle, tornando exploração difícil.

A Silicon Labs está atualmente amostrando SoCs wireless com Secure Vault habilitado, previstos para lançamento no final de Q2 2020.