כיצד לבסס יסודות חומרה מאובטחת עבור תאימות CRA‏ לטווח ארוך

ה-Cyber Resilience Act‏ (CRA‏) של האיחוד האירופי (EU‏) שינה מהותית את אבטחת הסייבר מחשיבה-לאחר-מעשה לשיקול ארכיטקטוני עיקרי עבור מוצרים הכוללים אלמנטים דיגיטליים. עם אכיפה רגולטורית מלאה החל משנת 2027, המפתחים חייבים להיות מודעים לאחריותם במסגרת חקיקה זו. לאחר מכן הם יכולים לבחור את חומרת העיבוד המתאימה כדי לעמוד באחריות זו לאורך מחזור החיים של מוצר משובץ. החומרה הנכונה תאפשר ארכיטקטורה מאובטחת-מהתכנון התומכת בניהול פגיעות מתמיד, לדוגמה, באמצעות עדכונים אלחוטיים דרך-האוויר (OTA).

מאמר זה מעניק סקירה קצרה של דרישות CRA ובוחן את טכנולוגיית מובלעת מאובטחת (Secure Enclave‏) כבסיס לבידוד נתונים רגישים ולניהול Root of Trust‏ (RoT) כדי להבטיח את תקינות ההתקן. לאחר מכן המאמר מציג יחידות מיקרו-בקר (MCU) ומעבדי יישומים של NXP Semiconductors‏ היכולים לשמש כבסיס לפתרון מותאם-CRA ומדגים מימוש מעשי.

מחויבויות אבטחת הסייבר משתנות

על פי חוק ה-CRA, היצרן נושא באחריות משפטית מלאה עבור הבטחת הציות לדרישות. לסיכום, ה-CRA‏ דורש מהיצרנים:

• להגן על התקנים מפני השחתה ולהבטיח את תקינות התוכנה כבר מהאתחול הראשון
• להעניק תקופת תמיכה של לפחות חמש שנים, או את אורך החיים הצפוי של המוצר אם הוא קצר יותר, עם ניהול פגיעות מתמיד ועדכוני אבטחה שוטפים.
• לשמור את זמינות העדכונים והתיעוד הטכני המעודכן למשך 10 שנים, או למשך תקופת תמיכה ארוכה יותר
• לתת תאריך סיום תמיכה מוגדר עבור מוצרים כבר עם יציאתם לשוק
• לדווח על ניצול אקטיבי של פגיעות אבטחה לצוות התגובה הלאומי לאירועי אבטחת מחשב (CSIRT‏) ולסוכנות האיחוד האירופי לאבטחת סייבר (ENISA‏) בתוך 24 שעות, עם דיווח מפורט בתוך 72 שעות ודוח סופי בתוך 14 ימים.
• להעניק הרשאה לצד-שלישי עבור מוצרים מיוחדים תחת הציונים "Important‏" (Class I‏ ו-Class II‏) ו"Critical‏" של ה-CRA.
• לחתום על הצהרת תאימות (DoC‏) פורמלית המאפשרת ליצרנים להשתמש בסימון Conformité Européenne‏ (CE‏) עבור גישה לשוק האיחוד האירופי

בלב הפרקטיקטות המנדטוריות של ה-CRA יש מחויבות להבטיח ולשמור על תקינות ההתקן, החל מכינון בסיס חומרה מאובטח עבור כל מוצר. בעוד שה-CRA אינו מגדיר מסגרת ספציפית, טכנולוגיית Secure Enclave‏ מעניקה למתכננים דרך אמינה לנהל התחייבות מנדטורית זו.

כיצד טכנולוגיית Secure Enclave‏ תומכת באימות קושחה

Secure Enclave‏ (איור 1), הנכלל לרוב בתוך מערכת-על-שבב (SoC) גדולה יותר, הוא תת-מערכת חומרה מאובטחת המייצרת, מאחסנת ומנהלת נכסי אימות תוכנה (כגון מפתחות הצפנה) ומספקת RoT חומרה עבור המערכת. על ידי בידוד משאבים אלה מיתר ההתקן, המפתחים יכולים להגן מפני גישה לא-מורשית. לאחר מכן ניתן להגן על המערכת כולה מפני תוכנות לא-מורשות באמצעות תהליך אתחול מאובטח.

איור 1: Secure Enclave‏ יוצר RoT חומרה שמולו ניתן לאמת כל שלב בתהליך האתחול כאותנטי, ובכך להבטיח את תקינות המערכת. (מקור התמונה: ברנדון לואיס)

האתחול מתחיל בתוך המובלעת המאובטחת, שם ה-RoT מאמת חתימות בכל שלב של אתחול הקושחה המאובטחת, ומוודא שתת-המערכת המאובטחת לא נפרצה. אם יש אי-התאמה, תהליך האתחול נעצר, מכיוון שה-RoT אינו יכול לאמת את תקינות רצף האתחול. זהו השלב הראשון בהגנה על המערכת הראשית מפני השחתה.

בכל שלב אתחול עוקב, המובלעת המאובטחת מאמתת חתימות באמצעות מפתחות ציבוריים מעוגנים ב-RoT חומרה. אימות מבטיח הרצת קוד אותנטי בלבד, החתום על ידי היצרן לכן, אם האימות נכשל בכל שלב, המערכת הראשית תבטל את האתחול או תפעל עם פונקציונליות מוגבלת, ובכך תבודד איומים פוטנציאליים.

מאחר שתאימות ארוכת-טווח ל-CRA דורשת גם עדכונים שוטפים לאורך מחזור חיי המוצר, אתחול מאובטח הוא חיוני עבור אימות שכל עדכון הוא אכן מקורי. זה נכון במיוחד לגבי עדכוני OTA, שבהם ההתקנות הן לרוב אוטומטיות. מובלעת מאובטחת מספקת אלמנט יסודי בשרשרת האמון של האתחול המאובטח. לפיכך, המפתחים נהנים מרכיבי חומרה מתוחכמים המכילים תת-מערכת זו.

מיקרו-בקר עם ביצועים עיליים התומך באבטחה מהתכנון

בעת בניית מוצרים מותאמי-CRA, המיקרו-בקרים סדרת MCX N‏ (איור 2) של NXP מספקים תת-מערכת ייעודית ומאובטחת לצד ארכיטקטורת Cortex®-M33‏ ®Arm כפולה עם יחידת עיבוד נויראלית (NPU) משולבת עבור עיבוד AI‏ קצה. פעולה בהספק נמוך של עד 57 מיקרו-אמפר למגה-הרץ (µA/MHz) מאפשרת חיי פעולה ארוכים בתכנים מוזני-סוללות, עם אופני כיבוי נוספים המפחיתים את צריכת זרם הנמוכה עד כדי µA‏ 2‏.

תת-המערכת המאובטחת EdgeLock של NXP‏ מתפקדת כמובלעת מאובטחת. בנוסף למודולים לגילוי תקלות ופגיעות ומניעת השחתה של החומרה, תת-המערכת EdgeLock כוללת מספר אמצעים לשמירה על תקינות התוכנה, כולל:

• מאמת ניפוי באגים למניעת גישה לא-מורשית
• קריפטוגרפיית מפתחות ציבוריים (PKC‏), עם מודולי AES-256 ו-ECC-256‏ עבור הצפנה, SHA-512‏ עבור Hashing‏ קריפטוגרפי, ומודול PRINCE‏ עבור הצפנת בלוקים עם שיהוי (Latency‏) קצר
• Physical Unclonable Function‏ (PUF‏) מבוסס-SRAM‏ עבור יצירת מזהה התקן ייחודי וגזירת מפתחות לתמיכה ב-RoT‏ חומרה שלא-ניתן-להשתקה.

איור 2‏: בנוסף לתת-מערכת המאובטחת EdgeLock המותאמת ל-CRA, המיקרו-בקרים MCX N94x של NXP‏ כוללים מגוון רחב של ממשקים המתאימים עבור יישומים מגוונים רבים. (מקור התמונה: NXP)

להגנה נוספת, המיקרו-בקרים MCX N94x כוללים את Arm TrustZone עבור סביבות ביצוע מאובטחות ושעון זמן-אמת (RTC) עם פינים נגד השחתה להגנה על מנגנוני אבטחה מבוססי-זמן. בקרי גישה ישירה לזיכרון (DMA), יחידת הגנת זיכרון (MPU) ו-RAM עם קוד תיקון שגיאות (ECC) קיימים גם הם כדי למנוע ניסיונות השחתת הזיכרון. המיקרו-בקרים MCX N94x‏ מציעים שתי גרסות המאפשרות למפתחים למדרג את דרישות הזיכרון עבור יישום נתון: ה-MCXN946VDFT‏ משלב 1 מגה-בייט (Mbyte) של זיכרון Flash‏ ו-352 קילו-בייט (Kbyte) של זיכרון SRAM במארז VFBGA עם 184 פינים, בעוד שה-MCXN947VDFT‏ כולל 2 מגה-בייט של זיכרון Flash‏ ו-512 קילו-בייט של זיכרון SRAM במארז HDQFP עם 172 פינים.

בנוסף למאפייני אבטחה וזיכרון, המיקרו-בקרים MCX N94x מציעים I/O‏ דיגיטלי ואנלוגי, ממשקי אדם-מכונה (HMI) ותת-מערכות בקרת מנועים. בשילוב עם תחום טמפרטורות פעולה של C‏°‏40‏- עד C‏ִ°‏125‏+, מאפיינים אלו מאפשרים מגוון של תכני מוצרים תואמי-CRA, כולל ציוד אוטומציה תעשייתית, מכשירי חשמל חכמים, כלי עבודה חשמליים והתקנים רפואיים.

בעת פיתוח יישומים עם המיקרו-בקרים MCX N94x, לוח ההערכה FRDM-MCXN947‏ (איור 3) מספק נקודת התחלה אפקטיבית. הוא כולל אפשרויות חיבוריות רבות, כולל יציאות Ethernet ו-USB Type-C ופסי-פינים להרחבה, המאפשרים פיתוח יישומים מהיר עם כלים מוכרים. NXP מספקת גם משאבים כגון מרכז לוחות הרחבה ומרכז קוד יישומים כדי לתמוך בצוותים בבחירת חומרה ותכנות תואמים עם MCUXpresso‏.

איור 3: לוח ההערכה FRDM-MCXN947 מאפשר בנייה מהירה של אבות-טיפוס של מערכות תואמות-CRA. (מקור התמונה: NXP)

EdgeLock של NXP‏ עבור יישומי Linux‏ משובצים

NXP כוללת גם מובלעת מאובטחת EdgeLock במעבדי היישומים החסכוניים באנרגיה סדרת i.MX 93‏ (איור 4). אלה מציעים מגוון של רכיבים היקפיים עם ביצועים עיליים הדומה לזה של המיקרו-בקרים MCX N94x, תוך שילוב ליבת Cortex-M33 יחידה עם שתי ליבות יישומים Arm Cortex-A55 עם יכולות Linux‏.

איור 4: מעבדי יישומים i.MX 93 משלבים EdgeLock עם ליבות Cortex-M33 ושתי ליבות Cortex-A55 כדי לספק בסיס מאובטח עבור מערכות Linux‏ משובצות. (מקור התמונה: NXP Semiconductors)

בדומה למיקרו-בקרים MCX N94x, המובלעת המאובטחת EdgeLock של מעבדי היישומים i.MX 93 כוללת מודולים לגילוי השחתה ולהצפנה. עם זאת, שעון מאובטח ייעודי (כלול למניעת פריצות מבוססות-זמן) ואחסון מפתחות eFuse משמשים גם הם את RoT חומרה. שוב, זיכרון מערכת רחב יותר מוגן על ידי ECC RAM ו-MPU בתוך תת-מערכת זמן-אמת. ליבות Cortex-A ו-Cortex-M כוללות את Arm TrustZone עבור חלוקת תוכנה מאובטחת, הנתמכת עוד על ידי בקר Trusted Resource Domain Controller‏ (TRDC‏).

בנוסף לייצור התקני i.MX 93 עבור תחומי טמפרטורות מסחריים, תעשייתיים ורכב, NXP מציעה גם אפשרויות מחשוב מידרגיות עבור מגוון רחב של יישומים. לדוגמה, ה-MIMX9351DVVXMAB‏ כולל ליבת Cortex-A55 יחידה במהירות של עד 1.7 ג'יגה-הרץ (GHz) ו-NPU לתמיכה ביישומי AI‏ קצה עם ביצועים עיליים, כגון רכזות בית חכם. לעומת זאת, ה-MIMX9302DVVXDAB‏ מציע שתי ליבות Cortex-A55 הפועלות עד 900 מגה-הרץ ואינו זקוק ל-NPU אופציונלי, מה שהופך אותו לפתרון מחשוב כללי המתאים עבור עמדות מידע דיגיטליות ומערכות אבטחה רבות-מצלמות. קיימות גרסות נוספות של משאבים אלה.

כדי להאיץ את הפיתוח עם מעבדי יישומים i.MX 93, לוח ההערכה MCIMX93-QSB‏ (איור 5) כולל מספר מחברים פיזיים עבור תכנות, רשתות והרחבת מערכת. אלה כוללים נקודות-חיבור Ethernet ו-USB Type-C, פסי-פינים להרחבה וחריץ M.2 Key-E. הלוח נתמך על ידי תוכנת i.MX וכלי פיתוח.

איור 5: לוח ההערכה MCIMX93-QSB והתוכנה התומכת מאיצים את פיתוח יישומי i.MX 93. (מקור התמונה: NXP Semiconductors)

כדי לחזק עוד יותר את אבטחת ההתקנים בהתאם להתחייבויות תקופת התמיכה של ה-CRA, שירות הענן EdgeLock 2GO‏ של NXP מציע למפתחים עדכוני OTA מאובטחים, חתימת קוד וניהול אישורים ומפתחות לאורך מחזור החיים של ההתקן. על ידי שילוב טבעי בהתקנים מאובטחי EdgeLock, הוא משלים את היסודות עבור אסטרטגיית אבטחה מקיפה התומכת בתאימות CRA‏ לטווח ארוך.

סיכום

ה-CRA‏ של האיחוד האירופי יעצב את פיתוח מוצרים דיגיטליים במשך שנים, אך המפתחים צריכים להבין זאת כעת כדי לעמוד במועד האחרון. בעת תכנון מוצרים מותאמי-CRA, התקנים כגון מיקרו-בקרים MCX N94x ומעבדי יישומים i.MX 93 של NXP, מספקים בסיס אבטחת חומרה חסון באמצעות מובלעת מאובטחת (Secure Enclave‏) EdgeLock ואמצעי אבטחה בחומרה נוספים. בעזרת EdgeLock 2GO, צוותי פיתוח יכולים לחזק עוד יותר את מחויבותם לתאימות ארוכת-טווח ל-CRA ולמוצרים מאובטחים-מהתכנון בנוף רגולטורי מתפתח הזה.