На Тьюринговской лекции, которая состоялась в июне 2018 г. на 45-м Международном симпозиуме компьютерной архитектуры, американские ученые Дэвид Паттерсон (David Patterson) и Джон Хеннесси (John Hennessy) описали архитектуру компьютеров нового Золотого века [1]. Перечислим четыре элемента этого Золотого века:

• совместная разработка проблемно-зависимого аппаратного и программного обеспечения;
• наборы открытых инструкций;
• гибкое проектирование кристаллов;
• расширенные возможности безопасности.

Открытая архитектура набора команд (RISC-V), позволяющая быстро совершенствовать проблемно-зависимые архитектуры, становится своеобразным «центром притяжения» по обеспечению безопасности процессоров.

Подразделение FPGA Business Unit компании Microchip Technology занимается разработкой архитектуры RISC-V с декабря 2014 г. Наши усилия, направленные на совершенствование этой архитектуры и ее потенциал дали толчок развитию многих направлений, включая создание инновационных решений, возможность определить будущее процессорных технологий и сократить стоимость систем. Благодаря таким возможностям повышается конкурентоспособность изделий, и улучшаются их отличительные особенности. Кроме того, архитектура RISC-V позволила нашей компании правильно обеспечить безопасность процессоров. Для решения этой задачи сотрудничали лучшие специалисты мира.

Опыт Microchip по обеспечению безопасности ПЛИС позволил нам установить угрозы компьютерной безопасности и справиться с теми проблемами, которые стояли перед всей отраслью. Плоды усилий, направленных в 2008 г. на изучение проблем безопасности ПЛИС, мы получили в 2012 г. после выпуска своей первой ПЛИС с интегрированной процессорной подсистемой. Чтобы дать возможность заказчикам создавать безопасные приложения, нам потребовалось разработать многоуровневую схему, в основе которой находилось безопасное оборудование. Далее располагался уровень безопасности проектирования, или IP-защиты, поверх которого находится прикладной уровень. Этот уровень создается заказчиком. В процессе работы нам стало известно о существовании атак в боковых каналах, например дифференциальных атак по энергопотреблению (DPA), с помощью которых злоумышленники легко извлекали ключи. В результате мы стали единственным поставщиком ПЛИС, который принял меры против DPA-атак, предложенные компанией CRI (в настоящее время – компания Rambus).

Распространяя опыт, полученный при разработке мер защиты ПЛИС, на сферу безопасности процессоров, мы удостоверились в том, что аппаратные уровни процессоров были созданы десятки лет назад еще до того, как вопросы обеспечения безопасности этих устройств стали одними из главных. Чтобы архитектуры набора команд (ISA) отвечали растущему спросу на безопасные вычисления, использовались «топорные» решения в виде патчей, которые устанавливались в уязвимую систему. Мы хорошо были осведомлены о побочных каналах и, в частности, о микроархитектурных побочных каналах, через которые скрытая от программиста особенность реализации процессора могла использоваться злоумышленниками для организации утечки информации. После обнаружения уязвимостей Spectre и Meltdown вся компьютерная отрасль узнала об угрозе утечек через микроархитектурные скрытые каналы и осознала необходимость в перестройке аппаратного фундамента компьютерной архитектуры.

Мы стали не единственными, кто быстро оценил потенциал RISC-V как платформы для переделки аппаратной основы вычислений. Безопасность была главной темой обсуждений архитектуры RISC-V, начиная с самого первого заседания рабочей группы, на котором выступали представители компании LowRISC и группы Shakti Processor Program. Эти два примера свидетельствуют о том широком диапазоне сотрудничества, которое возникло на основе RISC-V. Программа Shakti Processor, которая финансируется Правительством Индии, демонстрирует возможности многих стран по использованию RISC-V, дабы обеспечить некоторую технологическую независимость, а деятельность компании LowRISC осуществляется благодаря набирающему силу движению, цель которого заключается в создании открытого аппаратного обеспечения. Количество выступлений на мероприятиях сообщества RISC-V, посвященных вопросам обеспечения безопасности, росло теми же темпами, что и число самих мероприятий, причем 13 из 55 заседаний на инаугурационном саммите RISC-V, состоявшемся в декабре 2018 г., были посвящены этим животрепещущим вопросам (см. рис. 1).

Рис. 1. Участники одного из 13 заседаний на саммите 2018 RISC-V

О том, что архитектура RISC-V ISA не только становится фокусом внимания всех заседаний, посвященных вопросам безопасности, но и центральным средством защиты процессоров, свидетельствуют, например, такие факты:

• Американское агентство передовых оборонных исследовательских проектов (DARPA), которое инвестирует в RISC-V и средства обеспечения безопасности, выбрало эту архитектуру в качестве оценочной платформы для своей программы SSITH. В ее рамках ведется разработка дополнительных аппаратных средств, которые будут осуществлять регулярное перемещение блоков критических данных в памяти компьютера.
• Более 30 участников Фонда RISC-V предлагают средства обеспечения безопасности или принимают финансовое участие в разработке проектов RISC-V этого фонда (см. рис. 2).
• Над созданием расширений к RISC-V ISA работают две технические группы Фонда RISC-V – Crypto и Trusted Execution Environment.
• Фонд RISC-V учредил Комитет Security Standing, который определяет и координирует многогранную деятельность, к которой относится продвижение архитектуры RISC-V в качестве идеального средства обеспечения безопасности и достижения консенсуса в выборе наилучших технологий защиты интернета вещей и встраиваемых устройств.

Рис. 2. Более 30 участников Фонда RISC-V предлагают средства обеспечения безопасности или принимают финансовое участие в разработке проектов RISC-V этого фонда

Комитет Security Standing при Фонде RISC-V приглашает для ежемесячных выступлений докладчиков на темы, связанные с вопросами безопасности. Эти докладчики не обязательно являются членами Фонда. На одном из выступлений Герно Хайзер (Gernot Heiser) из организации Data61 представил инфраструктуру, которая позволяет понять концепцию компьютерной безопасности на основе RISC-V. Герно и его коллеги по Data61, прежде изучавшие микроархитектурные скрытые каналы, в 2016 г. написали статью [2], в которой классифицировали атаки с использованием этих каналов.

Герно предлагает т.н. «дополненную» архитектуру набора команд (aISA), расширяющую взаимодействие между аппаратным и программным обеспечением относительно традиционной ISA, которая намеренно абстрагируется от всех понятий времени и микроархитектуры. Напротив, в архитектуре aISA имеются механизмы, которые позволяют бинарному интерфейсу приложений (ABI) усилить контроль над состоянием микроархитектуры процессорной системы. Например, с этой целью осуществляется очистка кэшей или логические операции для прогнозирования ветвлений, благодаря чему обеспечивается защита от угроз, использующих боковые каналы синхронизации кэша.

После определения и реализации архитектуры aISA появляется возможность создать т.н. стек безопасности RISC-V, который базируется на формально верифицированных реализациях формально описанных элементов (см. рис. 3). Этот стек начинается с аппаратного уровня и базовой архитектуры ISA и доходит до уровня, где реализуется архитектура aISA. На вершине этого стека находится микроядро безопасности, у которого теперь имеется доступ к микроархитектуре с помощью aISA. Микроядро принимает меры по предотвращению атак через микроархитектурные боковые каналы.

Рис. 3. Безопасное будущее – формально определенный и формально верифицированный стек безопасности RISC-V

Начавшаяся революция RISC-V уже оправдала многие ожидания, в т.ч. по перестройке основ компьютерной безопасности. Компания Microchip гордится той ролью, которая ей досталась в достижении этого прогресса в сотрудничестве с участниками Фонда RISC-V. В той же мере мы гордимся лидерством в сегменте изделий RISC-V и способностью предвидения. Мы с нетерпением ожидаем совместной работы по осуществлению инновационных проектов с партнерами, чтобы в полной мере воспользоваться преимуществами открывающихся возможностей.

Скачать статью в пдф

Размещение статей и рекламы в журнале Электронные Компоненты anton.denisov@ecomp.ru; 7(916) 716-1353