Normalerweise kostet höhere Sicherheit auch mehr Geld. Nur ein PUF-basierter Schlüsselspeicher liefert die höchste Sicherheit bei den geringsten Kosten.Microsemi
Physically Unclonable Function, kurz PUF: Damit sind spezielle Eigenschaften eines Halbleiter-Bausteins gemeint, die sich von außen weder auslesen noch kopieren lassen. Die Technologie stammt vom Security-IP-Anbieter Intrinsic-ID und basiert auf dessen patentierter Hardware-Intrinsic-Security-Technologie. Microsemi hat diese IP lizensiert und erweitert: Mit der PUF-Technologie erhalten Systemarchitekten und Entwickler eine sichere Lösung, auf die sie sich bei der Entwicklung von Applikationen für das Internet der Dinge (IoT) verlassen können.
Hardware-Fingerabdruck
In den Smartfusion-2-SoC- und Igloo-2-FPGAs implementiert Microsemi die PUF-Technologie in ein spezielles On-Chip SRAM. Die PUF-Technologie lässt sich mit einer biometrischen Unterschrift im FPGA vergleichen: Diese Merkmale entstehen durch unkontrollierbare Serienstreuung während der Fertigung in jedem Chip und sind individuell für jedes einzelne Bauelement. Der Wert wird nicht etwa im Speicher abgelegt, sondern jedesmal aus dem individuellen Verhalten der einzelnen Zellen berechnet: Jede Zelle hat eine 50:50-Chance, nach dem Einschalten eine logische 1 oder eine 0 zu enthalten. Die Verteilung ist zwar zufällig, allerdings verhalten sich 95 % der Zellen bei jedem Einschalten identisch. Damit ergibt sich ein sehr zuverlässiger Fingerabdruck.
Eckdaten
Eine trickreiche Hard-IP sorgt dafür, dass jedes Bauteil seinen individuellen Krypto-Schlüssel erhält. Der ist weder auslesbar noch manipulierbar und hat zusammen mit einer Publik-Key-Infrastruktur das Potenzial, die Kommunikation im Internet der Dinge vor falschen Identitäten zu schützen.
Durch zusätzliche Maßnahmen zum Schutz vor Angriffen von außen sowie einer entsprechenden PUF-Leistungssteuerung erzielt Microsemi einen wesentlich höheren Manipulationsschutz als mit FPGA-Soft-IP- oder Software-basierten Lösungen. Sobald die Versorgung der PUF abgeschaltet wird, verschwindet der geheime PUF-Schlüssel vom Chip. Es gibt keine Technologie, die den PUF-Schlüssel im abgeschalteten Zustand lesen kann.
Da jede PUF einzigartig und individuell ist und sich praktisch nicht klonen lässt, kann sie Equipment eindeutig identifizieren. Dies hilft, IP-Diebstahl, Produktfälschung und andere Arten von Betrug innerhalb der Versorgungskette zu verhindern.
Sichere Identifizierung
Ein wichtiger Aspekt der Cyber Security im IoT ist die Sicherheit im laufenden Betrieb. Eine positive Identifikation ist zwingend erforderlich, um Maschinen zu legitimieren, sich gegenseitig zu authentifizieren. So können sie eine sichere M2M-Kommunikation als Teil des IoT durchführen und zugleich Daten von Betrügern und Schadsoftware abwehren. Die integrierte SRAM-PUF-Technologie eignet sich hier als sehr manipulationssicherer Baustein-Authentifizierungs- und Schlüsselspeicher (Key Storage). In Kombination mit der integrierten ECC-Engine (Elliptic Curve Cryptography), die auch DPA-Angriffen (Differential Power Analysis) widersteht, lässt sich ein Public/Private-Schlüsselpaar generieren, bei dem lediglich der FPGA den privaten Bereich des Schlüsselpaares kennt.
Asymmetrische Kryptografie allein löst das Schlüsselmanagement noch nicht, wenn ein System sehr viele Teilnehmer kennt. Erst eine PKI sorgt für sichere Zuordnung von Schlüssel und Identität. Das Prinzip ist aus HTTPS-geschützten Webseiten weithin bekannt.Microsemi
„Dies wird zum Ausgangspunkt für eine Public-Key-Infrastruktur (PKI), bei der nur der Chip den individuellen privaten Schlüssel kennt und der verifizierbare öffentliche Schlüssel zertifiziert ist“, erklärt Russ Garcia, Executive Vice President of Worldwide Marketing bei Microsemi. „Diese Technologie erlaubt unseren Kunden, den Smartfusion-2- und Igloo-2-Bausteinen zu vertrauen. Anschließend können sie die Root of Trust in diesen Bausteinen auf andere Komponenten im System oder im Netzwerk ausdehnen und so auf einfache Weise eine hohe Systemsicherheit erzielen.“
Public-Key-Infrastruktur
Mit einer PKI lassen sich die Teilnehmer im IoT authentifizieren, sprich jedes Gerät weiß sicher mit welchem anderen Gerät es gerade kommuniziert. Egal ob Smart-Grid-/Smart-Meter-, Medizin- oder Kfz-Elektronik: Wenn Geräte oder Angreifer eine fremde Identität annehmen können, sind gravierende Folgen möglich. Ohne PKI müsste jedes Gerät die öffentlichen Schlüssel von jedem potenziellen Kommunikationspartner sicher kennen. Da dieser Ansatz nicht skaliert, übernimmt eine PKI diese Aufgabe. Sehr vereinfacht dargestellt: Ein von der PKI ausgestelltes Zertifikat über seine eigene Identität kann jeder Teilnehmer seinem Kommunikationspartner zusenden. Der wiederum muss nur den öffentlichen Schlüssel der PKI kennen, um das Zertifikat und die Authentizität seines Partners prüfen.
Die Herausforderung besteht nun darin, die Geräte-Zertifikate sicher und dennoch effizient zu erzeugen und zu verwalten. Microsemi arbeitet mit einem Partner an genau einer solchen Lösung, die über eine lokale Registrierungsstelle (RA, Registration Authority) die Zertifikatsanforderung eines FPGAs annimmt, überprüft und an die Zertifizierungsstelle (CA, Certificate Authority) weitergibt. Letztere erstellt das Zertifikat und sendet es an den FPGA zurück.
Der Beitrag basiert auf Unterlagen von Microsemi.
(lei)
