Las ISA y la revolución emergente de la seguridad del hardware

El eterno juego del gato y el ratón entre las mejoras en la seguridad de TI y la evolución de las vulnerabilidades de los atacantes suele presentarse como una carrera armamentista de creciente sofisticación del software. Los equipos de seguridad implementan software de firewall, antivirus, cifrado de datos, autenticación multifactor, controles de acceso, herramientas de contención y detección de intrusiones y sistemas de respaldo de datos para neutralizar y recuperarse mejor de los bloqueos de ransomware. Por el contrario, los malos desarrollan exploits más sutiles que pueden pasar desapercibidos, desde esfuerzos de malware más sofisticados como ataques de phishing hasta ransomware que espera ingresar a sistemas de respaldo aislados antes de atacar.

El juego avanza y durante la mayor parte de la discusión, el software es el campo de batalla. Sin embargo, estos parámetros limitados permiten una llegada rápida. Hardware Revolución de seguridad.

Nuevas tecnologías en el campo de la seguridad del hardware, en concreto las avanzadas Arquitectura del conjunto de instrucciones (ISA) Extensiones: están posicionadas para realizar contribuciones innovadoras al repertorio de seguridad de TI. La seguridad a nivel de hardware, la base de toda la seguridad basada en malware y software, tiene el poder único de eliminar el obstáculo de las estrategias de ataque y negar a las aplicaciones nefastas el acceso a exploits o incluso la capacidad de ejecutarlos en primer lugar.

Las ISA son fundamentales para la seguridad de TI

Antes de discutir nuevos desarrollos específicos en el área de la seguridad basada en hardware, aquí hay una breve lección de historia. Aunque se discuten menos, las precauciones de seguridad en el lado del hardware del libro mayor son comunes y han sido durante mucho tiempo fundamentales para la seguridad de TI.

Los ISA son fundamentales para el diseño de procesadores de computadoras y especifican el conjunto de instrucciones que una CPU puede ejecutar. Algunas ISA tienen directivas de protección de almacenamiento y cifrado. Los expertos en seguridad ciertamente están familiarizados con esto. Cifrado basado en hardware Métodos que impiden el acceso no autorizado a discos duros y datos de red. Modulo de plataforma confiable (TPM) es un estándar de seguridad de hardware establecido que protege contra manipulaciones y amenazas incluso durante el arranque. Proceso de arranque seguro. Actualmente, estas medidas de seguridad pueden proteger el hardware que utiliza.

El x86 ISA es un poderoso aliado para los equipos de seguridad que protegen máquinas basadas en Intel. Brazo que se usa más comúnmente Familia de ISA ha implementado funciones de seguridad ISA de bajo costo en sus procesadores en todo el mundo, lo que lo convierte en el proveedor líder de ISA para proteger teléfonos, tabletas y otros dispositivos móviles.

Mirando la historia reciente, RISC-V es un software gratuito, ISA de código abierto lanzado en 2015. Su popularidad está creciendo rápidamente debido a su flexibilidad para permitir nuevas aplicaciones e investigaciones. RISC-V se considera el mayor desafío para x86 y el dominio de Arm debido a su naturaleza de código abierto y su rápido crecimiento.

El futuro de la ISA es brillante

Las nuevas extensiones ISA emergentes que aprovechan las tecnologías de código abierto muestran un gran potencial para revolucionar las prácticas de seguridad de TI y permitir estrategias de seguridad innovadoras para los equipos de desarrollo. Un ejemplo son las instrucciones RISC mejoradas de hardware de capacidad (CHERI), un proyecto de investigación de seguridad basado en hardware que desarrolla ISA que incluyen CHERI Arm y CHERI RISC-V. Liderados por la Universidad de Cambridge y SRI International, los ISA mejorados por CHERI adoptan el enfoque único de controlar el acceso al almacenamiento a través de límites y permisos aplicados por hardware mientras mantienen la compatibilidad con el software existente. El proyecto también ofrece CheriBSDque adapta el sistema operativo de código abierto FreeBSD para admitir las funciones de seguridad de CHERI ISA, incluida la partición de software y la protección de la memoria.

Las capacidades de CHERI quedan mejor ilustradas por su prototipo más avanzado hasta la fecha: el plataforma morello de Arm, una placa de desarrollo y sistema en chip que combina CheriBSD y un núcleo de alto rendimiento. La plataforma Morello puede proporcionar a los desarrolladores de software un entorno de escritorio completamente seguro para la memoria. Se están realizando esfuerzos para estandarizar CHERI para RISC-V ISA de código abierto y aprovecharán las implementaciones de FPGA existentes para RISC-V. Como señal de la gran promesa de las estrategias de seguridad basadas en hardware impulsadas por CHERI, Google, Microsoft y otros actores importantes se han asociado con el proyecto y están contribuyendo activamente a la investigación sobre la plataforma Morello y CHERI-RISC-V.

¿Por qué CHERI y otras nuevas soluciones ISA son tan potencialmente revolucionarias? protección contra Vulnerabilidades de la memoria, como log4j, de aplicaciones de sistema escritas en C/C++ es una prioridad máxima en todo el mundo y tiene un largo historial de vulnerabilidades de memoria conocidas. Reescribir millones de aplicaciones es costoso y se necesita una mejor manera de proteger a los usuarios.

Aquí es donde entran en juego nuevos mecanismos de seguridad basados ​​en hardware como CHERI. Esto podría hacer que las empresas sean inmunes a una variedad de ataques y vulnerabilidades de software. Los sistemas que aprovechan CHERI podrían prevenir cualquier ataque centrado en vulnerabilidades de memoria, como desbordamientos de búfer y vulnerabilidades de uso después de la liberación. La poderosa compartimentación de las nuevas ISA también proporciona a los equipos de seguridad una poderosa herramienta para asegurar el acceso a datos confidenciales y protegerlos de los atacantes. Además, los investigadores de CHERI demostraron una pila de aplicaciones de escritorio totalmente segura para la memoria en FreeBSD que requería una personalización mínima del software.

El código abierto impulsa la seguridad de TI

La creciente complejidad y sofisticación de las técnicas de ataque modernas casi requiere una revolución en las funciones de seguridad de TI. Las nuevas tecnologías ofrecen esta oportunidad en forma de nuevas estrategias de seguridad que brindan protección integral y equilibrada de software y hardware.

El poder colaborativo del código abierto es un impulsor clave de esta revolución, ya que acelera el progreso del proyecto a través de contribuciones de toda la comunidad de TI y seguridad. En el futuro, las organizaciones lograrán mejores resultados fortaleciendo su postura de seguridad a través de una combinación inteligente de seguridad avanzada basada en hardware ISA y herramientas de seguridad compatibles basadas en software.