Zverejnený v marci v službe Google Cloud Next '17 je bezpečnostný čip Google Titan ďalším stavebným kameňom v snahe spoločnosti Google vystihnúť svoje bezpečnostné údaje a zúžiť medzeru medzi svojimi konkurentmi - hlavne AWS a Microsoft Azure. Po testovaní čipu vo svojich dátových centrách už dlho spoločnosť Google nedávno oznámila svoje technické detaily. Takže, ak ste narazili na novinky o bezpečnostnom čipu spoločnosti Titan spoločnosti Google a zaujímali by ste sa o čo ide. V tomto článku sa pozriem na bezpečnostný čip Google Titan, ako to funguje a všetko, čo potrebujete vedieť.
Čo je bezpečnostný čip Titan?
Najjednoduchšie je, že Titan je bezpečnostný čip, ktorý zabraňuje typu útokov, keď vládni špióni zachytia hardvér a vložia implantát firmvéru . V súčasnosti útočníci to robia hlavne skúmaním zraniteľnosti firmvéru na prekonanie obrany operačného systému a inštaláciu rootkitov, ktoré môžu pretrvávať aj po reinštalácii operačného systému.
Titan je súčasťou platformy Google Cloud Platform (GCP), ktorá je navrhnutá, postavená a prevádzkovaná s cieľom chrániť kód a údaje zákazníkov. Čip je bezpečný mikroprocesor s nízkym výkonom, ktorý zabezpečuje, že systémy sa vždy zavádzajú z posledného známeho stavu. Čip má veľkosť malého náušníka a už bol nainštalovaný v mnohých počítačových serveroch a sieťových kartách, ktoré obsadzujú obrovské dátové centrá spoločnosti Google.
Keď bol čip prvýkrát odhalený v marci tohto roka, spoločnosť Google plánovala používať procesor, aby každému zo svojich serverov poskytla individuálnu identitu. Spoločnosť Google v súčasnosti používa bezpečnostné čipy Titan na ochranu serverov s vlastnými službami, ako je Vyhľadávanie Google, Gmail a YouTube.
Čo obsahuje bezpečnostný čip Titan?
Stroje v dátových centrách spoločnosti Google majú viaceré komponenty vrátane procesorov, pamäte RAM, BMC, sieťového rozhrania (NIC), firmvéru pre zavádzanie, blesku firmvéru a zavádzacieho zariadenia. Tieto komponenty navzájom systematicky spolupracujú pri zavádzaní strojov. Na ochranu tohto zavádzacieho procesu spoločnosť Google používa zabezpečené zavádzanie, ktoré závisí od kombinácie verifikovaného firmvéru zavádzania a zavádzacieho zariadenia spolu s digitálne podpísanými zavádzacími súbormi, aby poskytli požadované bezpečnostné opatrenia.
Titan je špeciálne navrhnutý čip, ktorý nielenže spĺňa tieto očakávania, ale poskytuje aj dve dôležité dodatočné bezpečnostné vlastnosti - sanáciu a prvotnú inštanciu. Čip komunikuje s hlavným procesorom cez zbernicu SPI a zapája sa medzi baterky firmvéru systému bootovania komponentov ako je BMC alebo PCH. To umožňuje sledovať každý bajt firmvéru zavádzania.
Na dosiahnutie bezpečnostných opatrení, ktoré Titan sľubuje, sa skladá z niekoľkých zložiek . Niektoré z nich sú uvedené nižšie.
- Zabezpečený aplikačný procesor
- Šifrovací koprocesor
- Generátor generátora náhodných čísel
- Sofistikovaná kľúčová hierarchia
- Vstavaná statická pamäť RAM (SRAM)
- Vstavaný blesk
- Blok pamäte iba na čítanie
- Sériová zbernica periférneho rozhrania (SPI)
- Ovládací radič základnej dosky (BMC) alebo Hub ovládacieho prvku platformy (PHC)
Ako funguje bezpečnostný čip Titan?
Prvým krokom v práci bezpečnostného čipu Titan je vykonanie kódu jeho procesormi . Toto sa vykoná okamžite po zapnutí hostiteľského počítača. Následne výrobný proces stanovuje nezmeniteľný kód, ktorý je implicitne dôveryhodný a je validovaný pri každom vynulovaní čipu. Potom čip vykoná vlastný test, ktorý je zabudovaný do jeho pamäte. K tomu dochádza vždy, keď sa zavádza, aby sa zabezpečilo, že sa nezmení všetka pamäť, vrátane pamäte ROM.
Ďalším krokom je načítať firmvér spoločnosti Titan . Aj keď je tento firmvér vložený do flash pamäte na čipoch, ROM na zavádzanie systému Titan nevedie slepotu. Namiesto toho verifikuje firmvér spoločnosti Titan pomocou kryptografie s verejným kľúčom a zmení identitu tohto overeného kódu do kľúčovej hierarchie spoločnosti Titan. Nakoniec boot ROM načíta verifikovaný firmware.
Akonáhle čip Titan bezpečne zavádza svoj vlastný firmware, obsah hostiteľského firmvérového firmvérového blesku sa overí pomocou kryptografie s verejným kľúčom. Aj keď je toto overenie v procese, môže Titan brániť prístup pre PCH / BMC k bočnému firmvéru. Teraz, keď sa proces konečne dokončí, čip zašle signál, aby uvoľnil zvyšok stroja z vynulovania. Tento signál poskytuje platforme Google Cloud Platform informácie o tom, aký bootový firmvér a operačný systém sa zavádzajú na svojom počítači od prvej inštrukcie. Platforma Google Cloud Platform sa tiež dozvie o opravách mikrokódu, ktoré mohli byť stiahnuté pred prvým pokynom firmvéru zavádzania.
Napokon firmvér zavádzaný firmou Google nakonfiguruje zariadenie a načíta bootloader . Toto následne overí a načíta operačný systém.
Prečo je potreba bezpečnostného čipu Titan?
Keďže väčšina hardvéru a serverov v sieti boli vykonávané v zámorí, operátori dátových centier pracujúci pre platformu Google Cloud Platform mali obavy z možnosti, že národné hackeri alebo kybernetickí zločinci budú kompromitovať tieto zariadenia pred ich odoslaním. Titanový čip spoločnosti Google rieši tieto obavy prostredníctvom neustálej kontroly, ktorá poskytuje dodatočnú bezpečnosť pre hardvér v oblasti cloud computingu. To umožňuje spoločnosti udržiavať úroveň porozumenia vo svojom dodávateľskom reťazci, ktoré by inak nemali.
Ďalším dôvodom, prečo inštalácia bezpečnostného čipu Titan na počítačových serveroch je riešenie nových útokov firmvéru, ktoré môžu zacieliť prepisovateľné čipy firmvéru. Môžu to byť čipy BIOS alebo ovládače pevného disku.
Ako prináša Titan Security Chip Google?
Existujú dva hlavné spôsoby, ktorými je bezpečnostný čip spoločnosti Titan výhodný pre spoločnosť Google. Prvým je bezpečnostný pohľad a druhý je konkurenčný pohľad.
Z bezpečnostného hľadiska je čip Titan výhodný pre spoločnosť Google tromi spôsobmi:
- Poskytuje hardvérový koreň dôvery, ktorý vytvára silnú identitu stroja. To pomáha spoločnosti Google robiť dôležité bezpečnostné rozhodnutia a overiť zdravie systému. V dôsledku toho sa tým zabezpečí nezvratná kontrolná stopa všetkých vykonaných zmien.
- Funkcie zaznamenávania, ktoré umožňujú identifikovať porušenie pravidiel, pomáhajú identifikovať akcie, ktoré vykonávajú používatelia s prístupom typu root.
- Čip ponúka verifikáciu integrity firmvéru a softvérových komponentov.
Z hľadiska hospodárskej súťaže má Google Cloud Platform v súčasnosti 7% celosvetový trhový podiel na oblak. Tým sa stáva treťou ako Amazon Web Services (AWS) (41% podiel na trhu) a Microsoft Azure (13% podiel na trhu). S novým čipom Titan chce spoločnosť Google odlíšiť sa od svojich konkurentov a priniesť do svojej cloud computingovej platformy viac spoločností zameraných na bezpečnosť. Je to dôležitý krok, pretože podľa spoločnosti Gartner celosvetový trh cloud computingu má hodnotu takmer 50 miliárd dolárov.
Ako následný prínos spoločnosť Google vyvinula aj systém kryptografickej identity koncového používateľa založený na technológii Titan. Toto môže ďalej pôsobiť ako koreň dôvery pre rôzne kryptografické operácie vo svojich dátových centrách.
Bude Titan Security Chip naozaj pomôcť spoločnosti Google?
Zatiaľ čo platforma Google Cloud Platform v súčasnosti zaostáva za konkurentmi, predovšetkým AWS, bezpečnostný čip Titan je pre nich veľmi dobrý. Vďaka svojim pôsobivým výsledkom testov všetko spočíva v tom, či čip pomôže službe Google Cloud Services oddeliť sa od ostatných v dlhodobom horizonte. Osobne ma veľmi zaujíma, ako vidieť, ako sa veci ukážu. A čo ty? Dajte mi vedieť svoje myšlienky na to v sekcii komentárov nižšie.
