Il nuovo design del chip di Google protegge il cloud dove è più vulnerabile

Il data center di Google a St. Ghislain, in Belgio. Foto: Google

La nuvola governa il mondo. Dato che è un'enorme fonte di profitto e l'infrastruttura fondamentale del futuro, si potrebbe presumere che Amazon, Google, IBM e tutte le società cloud che guadagnano miliardi conoscano intimamente ogni componente hardware, software e codice nei loro data center . Ti sbaglieresti.

Per gli hacker, il data center è il cervello dell'obiettivo, uno dei punti di controllo più importanti e uno degli obiettivi di maggior valore. Le agenzie di intelligence americane e cinesi, due delle cyberpotenze più avanzate al mondo, hanno mirati e violato data center come parte delle loro più ambiziose operazioni di spionaggio.

Google oggi annuncia un nuovo design di chip open source basato sulle lezioni che l'azienda ha imparato dal primo livello di difesa nei 19 data center dell'azienda nei cinque continenti: Open Titan , la versione open source del chip Titan vecchio di due anni utilizzato in quei data center.

Titan mira a dimostrare crittograficamente che le macchine che operano nel business cloud di Google da 8 miliardi di dollari possono essere affidabili, non hanno aggiunto vulnerabilità e non sono di nascosto sotto il controllo di un avversario.

La garanzia di sicurezza che il chip offre è estremamente fondamentale quando gestisci il pianeta, afferma Royal Hansen, vicepresidente dell'ingegneria di Google Cloud.

Un confronto tra OpenTitan e un tradizionale chip 'root of trust'. L'obiettivo del progetto open source è consentire ai clienti dei data center di Google di ispezionare, comprendere e fidarsi delle loro macchine dai livelli di codice più bassi. Grafico: Google

L'open-sourcing del chip Titan è uno sforzo di Google e dei suoi partner per espandere la trasparenza e la fiducia ai livelli più bassi delle macchine in esecuzione nei data center. Ha lo scopo di consentire a chiunque di ispezionare, comprendere e fidarsi completamente delle macchine dell'azienda dal primo momento in cui si accende. La società di ingegneria senza scopo di lucro lowRISC, con sede a Cambridge, nel Regno Unito, lo farà gestire il progetto .

Come ulteriore linea di difesa contro lo spionaggio in luoghi come gli impianti di fabbricazione di chip, OpenTitan vanta anche un test automatico per verificare la presenza di manomissioni nella memoria ogni volta che il chip si avvia.

Vulnerabilità di base

Immagina un data center di cloud computing come una piramide o, se sei un tipo paranoico, un castello di carte delle dimensioni del Monte Everest. Il livello più basso è l'hardware del silicio che esegue il primo codice all'accensione. La macchina si avvia e ogni componente esegue una quantità incredibilmente grande di codice in quei primissimi momenti. Storicamente è stato difficile sapere molto di questo codice, non importa comprenderlo completamente o proteggerlo efficacemente. Prima che il software di sicurezza sia operativo, codice come il firmware è già attivo e controlla il processo di avvio. Ciò rende il firmware e altri obiettivi di basso livello straordinariamente allettanti per gli hacker.

L'anno scorso, Hacker del governo russo sono stati avvistati alla direzione spionaggio sfruttando i difetti nel software di monitoraggio preinstallato nel firmware di un computer.

Google vuole garantire dal momento in cui si preme il pulsante di accensione di poter verificare esattamente la sequenza di tutto ciò che accade prima che la prima istruzione venga eseguita, afferma Kaveh Razavi, ricercatore di sicurezza presso la Vrije Universiteit Amsterdam.

OpenTitan interromperà l'intero processo di avvio se il codice generato dal firmware non corrisponde al codice previsto dal chip.

Se non puoi fidarti della cosa su cui si avvia la macchina, il gioco è finito, afferma Gavin Ferris, un membro del consiglio di lowRISC. Non importa cosa fa il sistema operativo: se al momento dell'avvio del sistema operativo sei già compromesso, allora è tutto accademico. Hai già finito.

Pericolo immediato

Il rischio di attacchi alla catena di approvvigionamento spiare hardware a basso livello è molto reale, e un tale attacco è incredibilmente conveniente.

Pensa ai milioni di server nei nostri data center: abbiamo controller di gestione della scheda base, controller di interfaccia di rete e tutti i tipi di chip su queste schede madri, afferma Hansen. Dice che la sicurezza deve iniziare con l'hardware del silicio: non può essere nel software, perché l'hai già superato quando inizia ad avviarsi e caricare.

Prendi il caso di MINIX, un sistema operativo incorporato silenziosamente da Intel nelle CPU di oltre un miliardo di macchine prima che qualcuno si rendesse conto di cosa stava succedendo. Di fronte a un sistema operativo precedentemente del tutto sconosciuto e complesso , iniziò Google lavoro da rimuovere il proprietario, sfruttare amichevole e codice con privilegi elevati dalle sue piattaforme.

Per gli ingegneri di Google, MINIX era un'intera superficie di attacco che non conoscevano, non capivano o non difendevano. MINIX è uno dei catalizzatori che ha spinto Google a fabbricare il proprio hardware e ha portato a OpenTitan.

I gruppi di hacking più avanzati mireranno a raggiungere la persistenza in modo che non solo possano accedere, ma rimanere presenti su una macchina violata anche durante i riavvii. OpenTitan non è un proiettile d'argento, ma rende più difficile per un utente malintenzionato acquisire persistenza senza far scattare allarmi.

Idealmente per un utente malintenzionato, una volta che ha compromesso un nodo, vorrebbe rimanere su quella macchina anche se il software viene aggiornato o altri componenti vengono aggiornati. Vorrebbero comunque osservare cosa sta succedendo, dice Razavi.

Questi sono avversari, non solo interessati a compromettere le infrastrutture, dice. Se in un dato momento vorranno compromettere qualcosa di specifico, avranno già un punto d'appoggio nell'infrastruttura. La maggior parte di queste cose sono, come puoi immaginare, piuttosto segrete.

Ma non sono solo le minacce avanzate di cui i fornitori di servizi cloud devono preoccuparsi. Lo scenario da incubo è che una volta che un attore sofisticato trova una vulnerabilità particolarmente grave, chiunque può usarla. All'inizio di quest'anno, IBM ha dovuto affrontare proprio questo quando i ricercatori li hanno trovati potrebbe sfruttare vulnerabilità del firmware di basso livello e quindi persistere e spiare quella macchina tra i clienti e i riavvii.

Ogni livello ha il potenziale per l'iniezione di codice errato, dice Hansen. L'unico modo per rilevarlo è controllare fin dall'inizio che il codice sia il codice che pensavi di ottenere.

Correzione: l'articolo è stato aggiornato per chiarire che OpenTitan è un progetto di chip open source gestito da più organizzazioni, uno sforzo basato sulle lezioni apprese dal chip Titan originale in modo che chiunque possa utilizzare la tecnologia. L'articolo ora chiarisce anche che quel MINIX non è stato creato da Intel.

nascondere