El nuevo diseño de chip de Google protege la nube donde es más vulnerable

Centro de datos de Google en St. Ghislain, Bélgica. Foto: Google

La nube maneja el mundo. Dado que es una fuente de ganancias tan grande y la infraestructura fundamental del futuro, puede suponer que Amazon, Google, IBM y todas las empresas de la nube que acumulan miles de millones conocen íntimamente cada pieza de hardware, software y código en sus centros de datos. . Estarías equivocado.

Para los piratas informáticos, el centro de datos es el cerebro del objetivo, uno de los puntos de control más importantes y uno de los objetivos de mayor valor. Las agencias de inteligencia estadounidense y china, dos de las potencias cibernéticas más avanzadas del mundo, han dirigido y violado centros de datos como parte de sus operaciones de espionaje más ambiciosas.

Google anuncia hoy un nuevo diseño de chip de código abierto basado en las lecciones que la empresa ha aprendido de su primera capa de defensa en los 19 centros de datos de la empresa en los cinco continentes: AbiertoTitan , la versión de código abierto del chip Titan de dos años que se usa en esos centros de datos.

Titan tiene como objetivo demostrar criptográficamente que se puede confiar en las máquinas que operan en el negocio en la nube de $ 8 mil millones de Google, que no han agregado vulnerabilidades y que no están subrepticiamente bajo el control de un adversario.

La garantía de seguridad que otorga el chip es muy crítica cuando se está manejando el planeta, dice Royal Hansen, vicepresidente de ingeniería de Google Cloud.

Una comparación de OpenTitan y un chip tradicional de 'raíz de confianza'. El objetivo del proyecto de código abierto es permitir que los clientes de los centros de datos de Google inspeccionen, comprendan y confíen en sus máquinas desde los niveles más bajos de código. Gráfico: Google

El código abierto del chip Titan es un esfuerzo de Google y sus socios para expandir la transparencia y la confianza en los niveles más bajos de las máquinas que se ejecutan en los centros de datos. Está destinado a permitir que cualquier persona inspeccione, comprenda y confíe plenamente en las máquinas de la empresa desde el primer momento en que se enciende. La empresa de ingeniería sin fines de lucro lowRISC, con sede en Cambridge, Reino Unido, gestionar el proyecto .

Como una línea más de defensa contra el espionaje en lugares como plantas de fabricación de chips, OpenTitan también cuenta con una autocomprobación para comprobar si hay manipulación en la memoria cada vez que se inicia el chip.

Vulnerabilidades básicas

Imagine un centro de datos de computación en la nube como una pirámide o, si es del tipo paranoico, un castillo de naipes del tamaño del Monte Everest. El nivel más bajo es el hardware de silicio que ejecuta el primer código cuando se enciende. La máquina arranca y cada componente ejecuta una cantidad sorprendentemente grande de código en esos primeros momentos. Históricamente, ha sido difícil saber mucho sobre este código, no importa entenderlo completamente o asegurarlo de manera efectiva. Antes de que el software de seguridad esté operativo, el código como el firmware ya está activo y controla el proceso de arranque. Eso hace que el firmware y otros objetivos de bajo nivel sean extraordinariamente tentadores para los piratas informáticos.

El año pasado, piratas informáticos del gobierno ruso fueron vistos conduciendo espionaje al explotar fallas en el software de seguimiento que venía preinstalado en el firmware de una computadora.

Google quiere asegurarse de que, desde el momento en que presiona el botón de encendido, pueda verificar exactamente la secuencia de todo lo que sucede antes de que se ejecute la primera instrucción, dice Kaveh Razavi, investigador de seguridad en Vrije Universiteit Amsterdam.

OpenTitan eliminará todo el proceso de arranque si el código generado por el firmware no coincide con el código esperado por el chip.

Si no puede confiar en lo que arranca la máquina, se acabó el juego, dice Gavin Ferris, miembro de la junta directiva de lowRISC. No importa lo que haga el sistema operativo: si para cuando se inicia el sistema operativo ya está comprometido, entonces todo es académico. Ya has terminado.

peligro inmediato

El riesgo de ataques en la cadena de suministro a espiar hardware a bajo nivel es muy real, y tal ataque es sorprendentemente asequible.

Piense en los millones de servidores en nuestros centros de datos: tenemos controladores de administración de placa base, controladores de interfaz de red, todo tipo de chips en estas placas base, dice Hansen. Él dice que la seguridad debe comenzar con el hardware de silicio: no puede estar en el software, porque ya habrá pasado eso cuando comience a arrancar y cargar.

Tomemos el caso de MINIX, un sistema operativo incrustado silenciosamente por Intel en las CPU de más de mil millones de máquinas antes de que nadie se diera cuenta de lo que estaba pasando. frente a un sistema operativo completamente desconocido y complejo , Google comenzó trabajar para eliminar el propietario, explotar amistoso y código altamente privilegiado de sus plataformas.

Para los ingenieros de Google, MINIX era toda una superficie de ataque que no conocían, entendían ni defendían. MINIX es uno de los catalizadores que empujó a Google a fabricar su propio hardware y condujo a OpenTitan.

Los grupos de piratas informáticos más avanzados intentarán lograr la persistencia para que no solo puedan obtener acceso, sino que permanezcan presentes en una máquina violada, incluso después de reiniciar. OpenTitan no es una bala de plata, pero hace que sea más difícil para un atacante ganar persistencia sin activar las alarmas.

Idealmente para un atacante, una vez que ha comprometido un nodo, le gustaría permanecer en esa máquina aunque se actualice el software o se actualicen otros componentes. Todavía les gustaría observar lo que está pasando, dice Razavi.

Estos son adversarios, no solo interesados ​​en comprometer la infraestructura, dice. Si en algún momento quisieran comprometer algo específicamente, ya tendrán un punto de apoyo en la infraestructura. La mayoría de estas cosas son, como puedes imaginar, bastante encubiertas.

Pero los proveedores de la nube no solo deben preocuparse por las amenazas avanzadas. El escenario de pesadilla es que una vez que un actor sofisticado encuentra una vulnerabilidad particularmente mala, cualquiera puede usarla. A principios de este año, IBM tuvo que lidiar con eso cuando los investigadores descubrieron que podría explotar una vulnerabilidad de firmware de bajo nivel y luego persistir y espiar esa máquina entre clientes y reinicios.

Cada nivel tiene potencial para la inyección de código incorrecto, dice Hansen. La única forma de detectar eso es verificar desde el principio que el código es el código que pensó que obtendría.

Corrección: el artículo se actualizó para aclarar que OpenTitan es un diseño de chip de código abierto administrado por varias organizaciones, un esfuerzo basado en las lecciones aprendidas del chip Titan original para que cualquiera pueda usar la tecnología. El artículo también aclara ahora que ese MINIX no fue construido por Intel.

esconder