Saugus įkrovimas ir programinės įrangos stiprinimas: išsamus apsaugos vadovas

Informatec Digital » Ištekliai » Saugus įkrovimas ir programinės įrangos stiprinimas: išsamus apsaugos vadovas

Daugelyje įrenginių ir įrangos programinė įranga tyliai paleidžiama kiekvieną kartą paspaudus maitinimo mygtuką, tačiau nuo to momento visa kita priklauso nuo patikimumo arba visiškos netvarkos. Kas yra programinė įranga ir kam ji naudojama?. Saugaus įkrovimo, UEFI ir geros programinės įrangos apsaugos derinys Tai skiria sistemą, kuri gali atlaikyti rimtas atakas, nuo sistemos, kurią gali pažeisti paprastas kenkėjiškas USB diskas.

Šiame straipsnyje mes imsis veiksmų ir ramiai, bet tiesiai šviesiai paaiškinsime, Kas yra „Secure Boot“, kaip jis susijęs su UEFI programine įranga ir kokios problemos kyla dėl sertifikatų, kurių galiojimo laikas baigiasi 2026 m.? Ir kaip visa tai dera su „Windows“, „Linux“ ir įterptųjų sistemų saugumu. Taip pat pamatysite pažangius sprendimus, tokius kaip nuotolinis BIOS valdymas, vientisumo stebėjimas ir ekspertų partnerių vaidmuo, kai viskas tampa sudėtinga.

Kas yra saugus įkrovimas ir kodėl jis toks svarbus?

Saugus įkrovimas yra saugumo funkcija, integruota į UEFI programinę įrangą kuris kontroliuoja, kuri programinė įranga gali veikti ankstyvuosiuose paleidimo etapuose. Jo misija yra paprasta suformuluoti, bet sunkiai įgyvendinama: užtikrinti, kad būtų paleistas tik pasirašytas ir patikimas kodas (paleidimo programos, UEFI tvarkyklės, EFI programos), ir blokuoti bet kokį dvejetainį failą, kuris neatitinka programinės įrangos nustatytų politikų.

Praktiškai UEFI programinė įranga lygina vykdomo kodo skaitmeninį parašą su viduje saugomų sertifikatų ir parašų sąrašų serija. Jei parašas atitinka leistiną sertifikatą arba maišą patikimoje duomenų bazėje (DB)Tas komponentas vykdomas; kitu atveju jis blokuojamas. Tai skirta užkirsti kelią įkrovos rinkinių ir kenkėjiškų programų, bandančių prisijungti prie įkrovos proceso, vykdymui.

Saugus įkrovimas masiškai atsirado kartu su „Windows 8“, kai pradėjo daugėti grėsmių, kurios buvo įkeliamos prieš operacinę sistemą. Modelis susideda iš pasitikėjimo grandinėsPati UEFI programinė įranga patikrina savo vidinius modulius (pvz., „Option ROM“), tada patikrina įkrovos tvarkyklę (pvz., „Windows Boot Manager“ arba „shim“ / GRUB sistemoje „Linux“) ir, tik jei viskas priimama, perduoda valdymą tam įkrovos tvarkytuvui, kuris savo ruožtu patikrina branduolį arba kitus dvejetainius failus.

Svarbiausia yra tai, kad Saugaus įkrovimo patikimumą apibrėžia gamykloje nustatyta programinės įrangos politikaŠi politika išreiškiama raktų ir duomenų bazių medžiu: platformos raktu, kuris yra svarbesnis už visus kitus, KEK, kurie autorizuoja pakeitimus, ir dviem sąrašais – DB ir DBX, kurie nurodo, kas leidžiama, o kas draudžiama. Teisingas šios ekosistemos valdymas yra toks pat svarbus, kaip ir... Įjunkite saugų paleidimą sistemoje „Windows 11“ meniu

Rakto struktūra: PK, KEK, DB ir DBX

Saugaus įkrovimo esmė yra raktų hierarchijos ir parašų duomenų bazėsSuprasti tai yra esminis dalykas bet kokiai apsaugos strategijai, tiek namų aplinkoje, tiek, svarbiausia, verslo ar kritinės svarbos infrastruktūros objektuose.

Viršuje yra Platformos raktas (PK)Šis raktas, kurį paprastai generuoja ir tvarko aparatūros gamintojas, yra galutinis autoritetas: jį turintis asmuo gali modifikuoti visus kitus „Secure Boot“ elementus ir taip pažeisti visą pasitikėjimo grandinę. Kai kurios organizacijos gamykloje nustatytą pirminį raktą pakeičia savu, kad įgytų platformos valdymą.

Vienu lygiu žemiau randame Key Exchange Keys (KEK)Raktai, leidžiantys atnaujinti DB ir DBX duomenų bazes. Paprastai yra „Microsoft KEK“, vienas ar keli iš aparatūros gamintojo, o įmonių aplinkoje – organizacijai skirti KEK. Bet kuris subjektas, turintis galiojantį KEK, gali pridėti arba atšaukti sertifikatus ir maišos kodus saugaus įkrovimo sąrašuose.

La leidžiamų parašų duomenų bazė (DB) Jame saugomi sertifikatai ir dvejetainių failų maišos, kuriuos programinė įranga gali vykdyti paleidimo etape. Tai apima „Microsoft“, originalios įrangos gamintojo (OEM) ir, jei taikoma, įmonės, kuri valdo įrenginių parką, sertifikatus. Kai programinė įranga analizuoja paleidimo tvarkyklę arba pasirenkamąją ROM, ji ieško atitikmens duomenų bazėje, kad nuspręstų, ar ją įkelti.

Priešingoje pusėje yra atšauktų parašų duomenų bazė (DBX)„DBX“, kuri renka dvejetainius failus ir sertifikatus, kurie nebeturėtų būti laikomi saugiais, yra periodiškai atnaujinama „Microsoft“, kad panaikintų pažeidžiamus įkrovos tvarkykles (kaip matyti „BootHole“ atveju) arba komponentus, kurie pasirodė esą nesaugūs. DBX atnaujinimas yra labai svarbus siekiant užkirsti kelią pasirašytam, bet pasenusiam dvejetainiam failui, kuris liktų įėjimo tašku.

„Secure Boot“ sertifikatai, kurių galiojimo laikas baigiasi 2026 m.

Nuo saugaus įkrovimo įdiegimo beveik visi su „Windows“ suderinami kompiuteriai jį įdiegė. bendras „Microsoft“ sertifikatų rinkinys KEK ir DBProblema ta, kad kai kurie iš šių sertifikatų buvo išduoti 2011 m. ir artėja prie jų galiojimo pabaigos datos, o tai turi tiesioginės įtakos milijonų įrenginių įkrovos apsaugai.

Tiksliau, sertifikatai, pvz. „Microsoft Corporation“ KEK CA 2011, „Microsoft Windows“ produkcijos PCA 2011 o „Microsoft UEFI CA 2011“ Jų galiojimo laikas yra nuo 2026 m. birželio iki spalio mėn. Kiekvienas iš jų atlieka skirtingą vaidmenį: pasirašo DB ir DBX atnaujinimus, „Windows“ įkrovos programą, trečiųjų šalių įkrovos įkroviklius arba išorinių gamintojų pasirinkimų ROM.

Siekdama užtikrinti nuolatinį saugumą, „Microsoft“ išleido 2023 m. nauji sertifikatai, kurie pakeičia 2011 m. išduotus sertifikatusPavyzdžiui, „Microsoft Corporation KEK 2K CA 2023“ kaip originalaus KEK pakaitalas, „Windows UEFI CA 2023“ sistemos įkrovos įkrovikliui ir atnaujinti sertifikatai EFI programoms ir trečiųjų šalių „Option ROM“ atmintims pasirašyti.

Bendrovė centralizuotai tvarko šių sertifikatų atnaujinimą didelėje „Windows“ ekosistemos dalyje, labai panašiai kaip platina kitus saugos pataisymus. Originalios įrangos gamintojai taip pat išleidžia programinės įrangos atnaujinimus kai reikia įtraukti naujus sertifikatus arba koreguoti saugaus įkrovimo nustatymus.

Jei įrenginys negaus naujų raktų iki dabartinių galiojimo pabaigos, jis toliau bus paleistas ir gaus „Windows“ naujinimus įprastai, bet nebegalėsite taikyti konkrečių švelninimo priemonių paleidimo etapeNegausite kai kurių „Windows Boot Manager“ pakeitimų, DB/DBX atnaujinimų ar pataisų, skirtų naujai atrastiems žemo lygio pažeidžiamumams.

Sertifikato galiojimo pabaigos poveikis ir būtini veiksmai

2011 m. sertifikatų galiojimo pabaiga nereiškia, kad jūsų kompiuteris nustos įsijungti, bet Taip, tai palaipsniui mažina sistemos gebėjimą apsiginti nuo grėsmių, kurios turi įtakos paleidimui.Tai gali turėti pasekmių, be kita ko, tokiuose scenarijuose kaip „BitLocker“ apsaugos stiprinimas arba trečiųjų šalių įkrovos įkroviklių, kurie priklauso nuo saugaus įkrovos patikimumo grandinės, naudojimas.

Siekdama sumažinti riziką, „Microsoft“ rekomenduoja ir daugeliu atvejų automatizuoja procesą KEK ir DB atnaujinimas su 2023 m. sertifikataisIT administratoriai ir saugumo pareigūnai turėtų patikrinti, ar jų įrenginiai gavo šiuos pakeitimus, ypač nevienalyčiuose įrenginių parkuose su senesne aparatine arba programine įranga, kuri nebeatnaujinama taip dažnai.

Raginimas veikti aiškus: Patikrinkite saugaus įkrovimo būseną kiekvieno tipo įrenginyjeNustatykite, ar naudojami senesni sertifikatai, suplanuokite atnaujinimą ir laikykitės gairių, kad Įgalinti saugų paleidimą po BIOS atnaujinimoValdomose aplinkose dažnai reikia peržiūrėti gamintojo pateiktą dokumentaciją arba vadovautis „Windows saugaus įkrovimo rakto kūrimo ir valdymo gairėmis“, kad nauji raktai būtų tinkamai integruoti į diegimo procesą.

Kai kuriais atvejais, ypač kai PK, KEK arba DB buvo pritaikyti naudojant organizacijos sertifikatus, Atnaujinimui gali reikėti rankinių veiksmų ir kruopštaus testavimo Kad nebūtų išjungiami teisėti įkrovos įkrovikliai, kurie dar nebuvo pasirašyti iš naujo naudojant dabartinius raktus. Koordinavimo klaida čia gali lemti sistemų nepavykimą paleisti įdiegus saugos pataisą.

Saugus įkrovimas ir „Linux“: pasitikėjimo grandinė, shim ir GRUB2

„Linux“ sistemose situacija panaši, tačiau su savais ypatumais. Dauguma šiuolaikinių distribucijų remiasi komponentas, vadinamas tarpine„Shim“ yra mažas „Microsoft“ pasirašytas įkrovos įkroviklis, kurį UEFI programinė įranga priima iš karto. „Shim“ veikia kaip tiltas: programinė įranga ją įkelia naudodama „Microsoft“ parašą, o tada „Shim“ patvirtina GRUB2 ir branduolį naudodama konkrečiam platinimui skirtus raktus.

Įprastas „Linux“ darbo eiga su saugiu įkrovimu yra tokia: UEFI patvirtina shim, shim patvirtina GRUB2, o GRUB2 patvirtina branduolįKiekvienas etapas remiasi skaitmeniniais parašais ir raktų politika, esančia pačioje „shim“ plokštelėje ir „Secure Boot“ duomenų bazėse. Tai užtikrina, kad aparatūros gamintojui nereikia iš anksto žinoti kiekvieno platinimo raktų, tačiau jis vis tiek gali kontroliuoti, kuris branduolys gali būti paleistas.

Šiame kontekste tie patys elementai, kuriuos matėme anksčiau, išlieka esminiai: PK kontroliuoja, kas gali keisti visuotinius saugaus įkrovimo nustatymus. Programinėje įrangoje KEK nusprendžia, kas gali atnaujinti duomenų bazę ir duomenų bazę (DBX), duomenų bazė renka leidžiamus raktus (įskaitant tuos, kurie reikalingi tarpinei kopijai), o duomenų bazė saugo atšaukimus, kurie blokuoja pažeidžiamus dvejetainius failus.

Modelis turi sąveikumo pranašumų, tačiau padidina operacinį sudėtingumą. Pavyzdžiui, kai atsiranda kritinė pažeidžiamumas „shim“ arba GRUB2, būtina Greitai atnaujinkite paveiktą įkrovos tvarkyklę ir lygiagrečiai platinkite DBX įrašą, kuris atšaukia senas versijasJei užsakymas atliktas neteisingai, galite susidurti su sistemomis, kurioms vis dar reikia seno shim'o paleidimui, bet kurių dvejetainis failas buvo atšauktas.

Rezultatas yra toks teisingas DBX ir Linux įkrovos įkrovos parašų valdymas Tai tampa keblia užduotimi, ypač aplinkose, kuriose kartu egzistuoja keli distribucijos, LTS versijos ir trečiųjų šalių programinė įranga, kuri taip pat dalyvauja įkrovos procese (pavyzdžiui, šifravimo tvarkyklės arba hipervizoriai).

Nuo ko apsaugo „Secure Boot“... ir nuo ko ne.

Saugus įkrovimas yra skirtas blokuoti atakas, kurios veikia ankstyvosiose paleidimo stadijoseKalbame apie įkrovos rinkinius, kurie modifikuoja įkrovos tvarkyklę, kad ji įkeltų savo naudingąją apkrovą, branduolius, pakeistus kenkėjiškomis versijomis, suklastotas „Option ROM“ atmintines, kurios veikia prieš operacinę sistemą, arba EFI dvejetainius failus, įdiegtus siekiant padidinti duomenų stabilumą.

Reikalaujant, kad kiekvienas įkrovos grandinės komponentas būtų pasirašytas ir patvirtintas, atakų paviršius gerokai sumažėja visiems, norintiems „pasislėpti“ po operacine sistema. Pažeista įkrovos įkrovos programa gali išjungti telemetriją, apeiti vientisumo patikrinimus arba įdiegti rootkit'us. prieš aktyvuojant saugos įrankius. „Secure Boot“ bando uždaryti tą kelią.

Tai taip pat iš dalies apriboja užpuoliko, turinčio fizinę prieigą, galimybes: nebeužtenka tiesiog paleisti sistemą iš USB disko su modifikuotu įkrovos tvarkytuvu, nes programinė įranga... Jis atmes dvejetainius failus, kurie nėra pasirašyti naudojant palaikomus sertifikatus.Tai nereiškia, kad fizinis saugumas nustoja būti svarbus, tačiau tai pakelia kartelę tiems, kurie ketina pakenkti komandai pasinaudodami dėmesio stoka.

Tačiau „Secure Boot“ turi aiškių apribojimų. Tai neapsaugo nuo pačios operacinės sistemos pažeidžiamumų.Tai taip pat neužkerta kelio vartotojui, turinčiam didesnes teises, piktnaudžiauti teisėtomis funkcijomis ir padaryti žalos. Tai taip pat neužkerta kelio tinklo atakoms, paslaugų išnaudojimui ar netinkamoms konfigūracijoms programų lygmenyje.

Be to, istorija rodo, kad pati batų grandinė gali būti pažeidžiama. „Shim“ ir „GRUB2“ patyrė kritinių gedimųPavyzdžiui, liūdnai pagarsėjęs „BootHole“ atvejis, kai GRUB2 konfigūracijos analizės klaida leido manipuliuoti įkrovos procesu nepažeidžiant parašo. Į šiuos incidentus buvo reaguojama atnaujinant dvejetainius failus ir atšaukiant nesaugias versijas per DBX, o tai dar kartą pabrėžia aktyvios „Secure Boot“ priežiūros svarbą.

Įdiegimo, stiprinimo ir priežiūros iššūkiai

Daugelis „Secure Boot“ problemų kyla ne dėl sudėtingų atakų, o dėl... Įrenginiai su pasenusia programine įranga, nebenaudojamais DBX sąrašais arba raktais, kurių niekas nepatikrino nuo tada, kai aparatinė įranga buvo išpakuota.Tai yra, dėl gryno eksploatacinio aplaidumo, kuris kaupiasi laikui bėgant.

Daugeliu atvejų pirmasis patobulinimo punktas yra toks paprastas, kaip sistemingai taikyti UEFI/BIOS atnaujinimai gamintojo paskelbtasŠie atnaujinimai ne tik ištaiso klaidas, bet ir gali apimti naujas saugumo funkcijas, patobulinimus raktų valdyme ir pataisymus, skirtus pačios programinės įrangos pažeidžiamumams pašalinti.

Kitas svarbus frontas yra pagrindinė higienaOrganizacijos, kurios remiasi vien tik OEM ir „Microsoft PK“ bei KEK raktais, yra visiškai priklausomos nuo šių tiekėjų tvarkaraščių, o toms, kurios valdo savo raktus, reikia aiškaus inventoriaus sąrašo: kas pasirašo kiekvieną raktą, kada jis baigiasi ir koks yra rotacijos planas. Praradus šio žemėlapio kontrolę, prasideda chaosas.

DB ir DBX nusipelno ypatingo dėmesio. Mėnesius neatnaujinta DBX greičiausiai palieka dvejetainius išteklius, kurie jau buvo paskelbti nesaugiais.Kita vertus, prastai išbandytas atnaujinimas gali sutrikdyti suderinamumą su senesnėmis „shim“ arba „GRUB2“ versijomis. Todėl daugelis įmonių integruoja DB/DBX pakeitimus į įprastą pakeitimų valdymo ciklą, prieš tai juos išbandydamos testavimo aplinkoje.

Didelėse organizacijose vis dažniau naudojamasi „Secure Boot“ derinimu su Išmatuoti paleidimo rodikliai ir TPM palaikymasTai įrašo kiekvieno paleidimo etapo maišos vertes TPM, kad būtų galima nuotoliniu būdu patikrinti, ar įrenginys buvo paleistas naudojant žinomą ir autorizuotą programinės įrangos, paleidimo tvarkyklės ir branduolio derinį.

Daugiau nei paleidimas: programinės įrangos apsauga visuose etapuose

Kad ir koks galingas būtų „Secure Boot“, vien jo nepakanka. Programinės įrangos saugumas yra nuolatinis procesas Tai apima konfigūravimą, atnaujinimus, stebėjimą ir reagavimą į incidentus. Idėja yra sukurti vienas kitą sustiprinančius apsaugos sluoksnius.

Esminis aspektas yra tas, kad saugūs programinės įrangos atnaujinimaiNėra prasmės slėptis už „Secure Boot“, jei tada priimame programinės įrangos atnaujinimą iš bet kurios aplinkos nepatikrinus parašų, be apsaugos nuo senesnės versijos atakų ar be atkūrimo mechanizmo gedimo atveju. Atnaujinimai turi būti pasirašyti skaitmeniniu būdu, įdiegti laikantis patikimos procedūros ir, jei įmanoma, įtraukti apsaugą nuo grįžimo prie pažeidžiamų versijų.

Taip pat patartina pasinaudoti turima apsaugos įranga: pasitikėjimo aparatinės įrangos šaknys, saugios raktų saugojimo zonos, TPM, „TrustZone“, išoriniai saugos moduliaiŠie komponentai leidžia izoliuoti kriptografines paslaptis, todėl užpuolikui, turinčiam fizinę prieigą, yra daug sunkiau išgauti raktus ar modifikuoti kodą neaptiktam.

Kalbant apie duomenis, jų derinys patvirtintas paleidimas ir slaptos informacijos šifravimas Tai reikšmingas patobulinimas. Jei įrenginys naudoja saugų paleidimą, kad užtikrintų, jog paleidžiama tik patikima programinė įranga, jis gali susieti duomenų iššifravimą su ta patvirtinta būsena. Tokiu būdu, net jei kas nors nukopijuos atmintį, jis neturės prieigos prie turinio, nebent galės atkurti tą pačią teisėtą paleidimo seką.

Ciklas užbaigiamas naudojant apsaugos veikimo metu mechanizmus: Periodiniai atminties ir programinės įrangos vientisumo patikrinimai, stebėjimo sistemos, saugos įvykių žurnalai susiję su paleidimo gedimais arba modifikavimo bandymais ir, žinoma, derinimo sąsajų blokavimu, apsaugotu programos atminties skaitymu ir atitinkama aparatinės įrangos prieigos kontrole.

„FirmGuard“ ir nuotolinis BIOS / UEFI valdymas

Įmonių aplinkoje ir teikiant valdomas paslaugas, programinės įrangos konfigūracijos valdymas kiekvienam įrenginiui atskirai yra laiko švaistymas ir klaidų šaltinis. Būtent čia atsiranda tokių sprendimų kaip „FirmGuard“ – centralizuota platforma, skirta nuotoliniu būdu apsaugoti, konfigūruoti, stebėti ir atnaujinti BIOS / UEFI programinę įrangą.

Vienas iš jos ramsčių yra gebėjimas nuotoliniu būdu konfigūruoti svarbiausias BIOS / UEFI parinktis („SecureConfig“)Tai leidžia administratoriams sistemingai įjungti saugų paleidimą, koreguoti saugos parametrus, išjungti paleidimą iš neleistinų įrenginių arba taikyti sustiprintus konfigūracijos šablonus, fiziškai nelankantis kiekvienos darbo stoties.

Be to, „FirmGuard“ integruoja šias funkcijas: nuolatinis programinės įrangos vientisumo stebėjimas („SecureCheck“)Platforma stebi BIOS/UEFI pakeitimus, aptinka netikėtus pakeitimus ir įspėja, kai kas nors rodo galimą kenkėjišką veiklą arba neleistinus konfigūracijos pakeitimus. Aplinkoje, kurioje programinė įranga yra vis patrauklesnis taikinys, šis matomumas yra neįkainojamas.

Sistemoms, kurios vis dar veikia senuoju BIOS režimu, „FirmGuard“ prideda trečią dalį, „SecureSense“ – gebanti atpažinti sistemas, kurios vis dar naudoja senąsias BIOS versijas ir palengvinti jų perkėlimą į UEFI – tai esminis žingsnis norint naudoti „Secure Boot“ ir kitas modernias saugumo galimybes. Įmonės ar MSP požiūriu tai reiškia perėjimą nuo nevienalytės ir sunkiai valdomos infrastruktūros prie homogeniškesnės ir labiau apsaugotos bazės.

Apskritai šie sprendimai ne tik sumažina atakų prieš programinę-aparatinę įrangą riziką, bet ir Jie suteikia aiškią pridėtinę vertę valdomų paslaugų teikėjamsJie gali išsiskirti siūlydami papildomą apsaugos lygį po gaubtu ir, beje, padidinti savo pelno maržas automatizuodami užduotis, kurios anksčiau buvo atliekamos rankiniu būdu ir brangiai kainuoja.

Programinė-aparatinė įranga ir saugus įkrovimas įterptosiose sistemose

Be kompiuterių ir serverių, programinės įrangos saugumas yra labai svarbus įterptieji įrenginiai: pramoniniai valdikliai, medicinos įranga, plataus vartojimo elektronika, automobiliai ir taip toliau. Čia gedimai ne tik sukelia duomenų praradimą, bet dažnai ir fizinio saugumo riziką bei reguliavimo atsakomybę.

Šių įrenginių galutiniai vartotojai paprastai nežino, kad po paviršiumi slypi pažeidžiama programinė įranga. Tačiau šie incidentai yra labai realūs: Dėl saugumo problemų buvo masiškai atšaukiami medicinos prietaisai.Pavyzdžiui, gerai žinomas atvejis, kai dėl nuotolinės atakos rizikos reikėjo atnaujinti arba pakeisti širdies stimuliatorius. Šios situacijos daro įtaką gamintojų pasitikėjimui, finansams ir reputacijai.

Kai įterptinio įrenginio programinė įranga pažeidžiama, pasekmės gali būti pražūtingos: klientų pasitikėjimo praradimas, brangūs atšaukimai, sertifikavimo vėlavimai (sveikatos priežiūros, automobilių, pramonės), poveikis prekės ženklo įvaizdžiui ir kartais veiklos sutrikimai ypatingos svarbos infrastruktūros objektuose.

Šiose aplinkose saugus įkrovimas tampa dar svarbesnis. pasitikėjimo grandinė nuo pirmojo vykdomo baito Tai užtikrina, kad galima paleisti tik gamintojo (arba patikimos institucijos) pasirašytą programinę-aparatinę įrangą. Nuo tada kiekvienas paleidimo proceso etapas gali patvirtinti kitą: pradinį paleidimo tvarkyklę, antrinį paleidimo tvarkyklę, programos programinę-aparatinę įrangą, įterptąją operacinės sistemos branduolį ir kt.

Tačiau „Secure Boot“ diegimas įterptuosiuose įrenginiuose nėra trivialus. Norint saugiai saugoti raktus, reikalinga aparatinė įrangaTai apima nekintamą kodo segmentą, kuris veikia kaip pasitikėjimo šaknis, ir gamybos procesą, galintį pritaikyti kiekvieną įrenginį su jo raktais ir sertifikatais jų neatskleidžiant. Labai ribotose platformose gali tekti įdiegti pasirinktinius saugius įkrovos įkroviklius, atsižvelgiant į visus su tuo susijusius našumo, išteklių suvartojimo ir kainos iššūkius.

Papildomi sluoksniai tikrai patikimai programinei įrangai

Norint užtikrinti patikimą programinės įrangos apsaugą, būtini keli sluoksniai. Pirmasis yra „Secure Boot“, tačiau aplink jį turi egzistuoti ir kiti sluoksniai. saugūs atnaujinimo mechanizmai, apsaugota saugykla, vykdymo laiko apsauga ir gera organizacinė praktika.

Atnaujinimų skyriuje turėtų būti kiekviena programinės įrangos arba žemo lygio programinės įrangos atvaizdas skaitmeniniu būdu pasirašyta ir, jei įmanoma, apsaugota nuo senesnių versijųBelaidžio ryšio (OTA) sistemos arba vietiniai atnaujinimai turėtų patikrinti parašą prieš priimdami pakeitimus, todėl patartina turėti atsarginius planus (atsargines programinės įrangos kopijas, saugius atkūrimo režimus), kad būtų išvengta nenaudojamų „plytų“ po gedimo, vadovaujantis geriausia praktika. programinės įrangos saugos naujinimai.

Saugus saugojimas atlieka dar vieną svarbų vaidmenį. Šiuolaikiniai mikrokontroleriai, sistemos lustai su „TrustZone“, TPM arba dedikuoti saugos elementai Jie leidžia apsaugoti raktus ir slaptus duomenis taip, kad net ir fizinę prieigą turintis asmuo negalėtų jų išgauti nepalikdamas pėdsakų ar neįdėdamas neproporcingų pastangų. Susiejus prieigą prie šių paslapčių su „Secure Boot“ sėkme, sukuriamas papildomas saugumo lygis.

Vykdymo metu svarbu suderinti periodiniai vientisumo patikrinimai, stebėjimo sistemos, atminties apsauga (MPU, MMU, „lockstep“), nepavykusių paleidimo bandymų arba įtartinų programinės įrangos pakeitimų žurnalus ir, labai svarbiuose produktuose, net fizinius įsilaužimo jutiklius.

Galiausiai, visa tai neveikia, jei organizacija nepriima saugaus kūrimo praktika ir pažeidžiamumų valdymasGrėsmių analizė, į saugumą orientuotas projektavimas, kodo peržiūros, įsiskverbimo testavimas, aiškūs incidentų reagavimo procesai ir gyvavimo ciklas, kuriame saugumas ir kokybė yra neatsiejami. Programinės-aparatinės įrangos negalima laikyti kažkuo, kas parašyta vieną kartą ir pamirštama.

Programinės įrangos ir saugumo ekspertų partnerių vertė

Atsižvelgiant į viską, ką matėme, lengva suprasti, kodėl. Daugelis įmonių kreipiasi į partnerius, kurie specializuojasi įterptųjų sistemų ir kibernetinio saugumo srityse Kai jiems reikia sustiprinti „Secure Boot“ ir programinės įrangos apsaugą. Čia nepakanka mokėti programuoti: reikia įvaldyti aparatinę įrangą, kriptografiją, pramoninius procesus, reglamentus ir visą atakų bei gynybos ekosistemą.

Geras partneris turi praktinės patirties vystant įkrovos įkrovikliai, tvarkyklės, sudėtingos įterptosios sistemos, šifravimo mechanizmai ir aparatinės įrangos valdikliaiTai leidžia kurti į produktą iš tiesų integruotus saugumo sprendimus, o ne paskutinės minutės priedus, kurie tik apsunkina priežiūrą.

Jie taip pat paprastai turi vadovėliai ir patikrinti įrankiaiDaugkartinio naudojimo saugaus paleidimo moduliai, raktų ir sertifikatų valdymo scenarijai, programinės įrangos stiprinimo vadovai, CI kanalai, įskaitant dvejetainį pasirašymą ir automatinį patikrinimą ir kt. Tai taupo laiką ir sumažina brangiai kainuojančių pradedančiųjų klaidų tikimybę.

Kibernetinio saugumo aspektas yra ne mažiau svarbus. Komandos, kurios nuolat atnaujina savo žinias kibernetinio saugumo klausimais. Nauji pažeidžiamumai, šalutinio kanalo atakos, populiarių daiktų interneto rinkinių trūkumai Gera saugaus projektavimo praktika padeda integruoti saugumą nuo architektūros etapo, o ne bandyti jį taisyti pabaigoje. Paprastai vadovaujamasi „saugumo užtikrinimo projektuojant“ mąstysena, atliekant grėsmių modeliavimą ir rizikos peržiūrą nuo reikalavimų etapo.

Kai, be to, tą partnerį remia atitinkami ISO sertifikatai (ISO 9001, ISO 13485, ISO 26262 ir kt.)Jūs turite papildomą garantiją, kad jų procesai yra audituojami ir struktūrizuoti. Jie ne tik žino, ką reikia daryti, bet ir turi oficialias procedūras bei atsekamumą – tai labai vertinama reguliuojamuose sektoriuose, tokiuose kaip sveikatos apsauga ar automobilių pramonė.

Ir yra dar vienas veiksnys, mažiau techninis, bet ne mažiau svarbus: bendravimas ir empatijaGeras partneris neatvyksta kalbėdamas nesuprantama terminologija ir neprimesdamas sprendimų, kurių neįmanoma pritaikyti prie jūsų terminų ar biudžeto. Jis įsiklauso į jūsų apribojimus, aiškiai paaiškina galimybes ir pakoreguoja savo požiūrį, kad rastų pusiausvyrą tarp saugumo, kainos ir pateikimo į rinką laiko. Programinės-aparatinės įrangos ir saugaus įkrovimo projektuose tas jausmas, kad esate vienoje linijoje, yra labai svarbus.

Galų gale, Konfigūruokite saugų paleidimą ir sukietinkite programinę-aparatinę įrangą Tai apima tvirtą techninį pagrindą (UEFI, raktų hierarchiją, atnaujintus sertifikatus, prižiūrimą duomenų bazę/duomenų bazę), drausmingą veikimą (programinės įrangos atnaujinimus, raktų valdymą, matuojamą paleidimą, stebėjimą) ir, kai to reikalauja kontekstas, specializuotų sprendimų bei partnerių, galinčių užpildyti vidines spragas, palaikymą. Jei visa tai atliekama teisingai, sistema pradeda nuo patikimo paleidimo proceso, kuris sustiprina visas kitas vėliau taikomas saugumo priemones – nuo ​​branduolio iki aukščiausio lygio programų.

Susijęs straipsnis:

Kaip atnaujinti „Secure Boot“ sertifikatus sistemoje „Windows“ ir išvengti saugumo problemų