OpenTitan 是一個旨在將開源軟件的成功帶入芯片設計領域的項目，特別是芯片級信任根。該項目于 2023 年 6 月實現 RTL Freeze，并將于今年年底生成工程樣品硅。

該項目由LowRISC管理，LowRISC是一家英國非營利組織，由Gavin Ferris博士和Rob Mullins教授（2008年與Pi的創建者Eben Upton共同創立了Raspberry Pi基金會）于2014年在劍橋大學計算機實驗室創立。

LowRISC于2019年3月成為OpenTitan項目的管理者，并一直與包括谷歌、西部數據、希捷等在內的合作伙伴合作。

信任之根

信任根（RoT）是所有后續操作所基于的錨。因此，簡單來說，沒有與操作系統分離的RoT的設備是非常暴露的。操作系統必須可供應用程序訪問，因此可以被攻擊者訪問。如果這些攻擊者從應用程序級別（包括安全軟件）進入操作系統，那么設備可能會在無形中受到損害。需要一個單獨的信任根，該根位于操作系統和BIOS之下，并且攻擊者無法訪問。

這個單獨的信任根可用于驗證啟動過程是否未被修改，并為加密密鑰提供安全的家。理想情況下，該RoT應安裝在單獨的防篡改芯片中。更具體地說，這樣的硅RoT(S-RoT)可以幫助保護設備免受bootkit、rootkit和固件攻擊。

Tanium端點安全總監Duncan Miller解釋說：“這些威脅是在操作系統加載之前執行的，并且可以改變操作系統驗證其完整性并確保安全操作的方式。如果沒有一個安全的起點，也沒有驗證硬件調用實際上在系統初始化期間提供了它們應該提供的數據，那么后續的操作可能會以操作系統內部任何東西都看不到的方式受到損害?！?/p>

OpenTitan 可以被描述為一種安全的防篡改加密簽名微控制器?！八毩⒂诓僮飨到y，并為系統提供一定的安全保證和服務，例如確保操作系統和驅動程序的最低級別沒有受到損害，”Ferris 說?！耙驗槿绻麄兏腥玖?，無論你的防病毒軟件怎么說，游戲就結束了。這有點學術性，因為損害已經造成了?！?/p>

OpenTitan S-RoT 于2023年6月實現了寄存器傳輸級 (RTL) 凍結狀態。這意味著邏輯設計已得到驗證和修復——這是制造之前的芯片開發的一個重要里程碑。

圖片

開源的優點

OpenTitan項目正在開發一個開源S-RoT。它比開發開源軟件復雜得多。費里斯說：“但這是值得的，開源在共享基礎知識產權和允許公司快速構建產品方面的價值是不言而喻的?！?/p>

開源S-RoT有兩個主要優點：透明度和可用性。當芯片級RoT首次被討論和引入時（第一個是 2008 年英特爾的PTT），人們擔心該設備的使用現在由英特爾控制。如果 RoT 驗證啟動固件和操作系統的真實性，那么它可以阻止任何未經 RoT 設計者批準的東西運行。 

費里斯評論道：“這些設備用于保護您的食物鏈，用于獨立于操作系統存儲網絡訪問機密之類的東西——這很好，但是誰控制著你信任的東西呢？”

多年來，這種能力的網絡安全優勢顯然戰勝了專有產品缺乏透明度所固有的不信任。然而，開源 S-RoT 可提供安全性和透明度。

Ferris 說：“OpenTitan 具有三個核心原則，靈活性、質量和透明度。透明度是根本。開發人員為其產品構建自己的 RoT 操作，并將所有信任屬性錨定在操作系統下方的芯片中。為了獲得 OpenTitan 的廣泛支持，我們需要只有開源才能獲得的透明度?！?/p>

S-Rot 提供了對設備操作的信任，而透明度則提供了對 S-RoT 的信任。

開源的第二個優勢是可用性?？梢怨降卣f，網絡防御者正面臨一場迅速逼近的完美風暴：具有 OT 關鍵功能的小型嵌入式設備 (IoT) 激增，而防御措施卻匱乏；惡意行為者的復雜性和專業性日益增強；以及對內置安全的監管重點（歐洲的 NIS2 和網絡彈性法案，以及美國拜登的“設計安全”）。

開源 S-RoT 的可用性將使所有這些領域受益。

OpenTitan 和 IoT/OT

Ferris 說道：也許 OpenTitan 目前最引人注目的用途是在物聯網中，以及“它們更可怕的是運營技術，是放置閥門、執行器和傳感器的地方，而它們以前并不在網絡上。這是一個巨大且不斷增長的攻擊面——有史以來最大的安全漏洞即將發生?！?/p>

Viakoo Labs 副總裁 John Gallagher 補充道：“設備安全，尤其是物聯網安全，需要了解設備的真實情況。許多組織已將 802.1x 證書部署到設備上，以純軟件方式建立這種信任。OpenTitan 和其他硬件方法正在獲得關注，因為它們能夠在芯片組級別將安全性融入到設備中，而不是在交付鏈的后期使用基于軟件的方法。”

Rambus產品營銷高級總監Bart Stevens表示，S-RoT特別適合物聯網設備。“許多物聯網設備仍然缺乏信任根。雖然可編程 RoT解決方案是圍繞CPU構建的，但固定功能的硅基 RoT解決方案通常足夠緊湊，特別適合物聯網嵌入式設備?！?/p>

Ferris補充道，首先也是最重要的是，OpenTitan是一款低功耗獨立芯片。“它可以安裝到物聯網模塊中，而不會影響設計。但同樣重要的是，到今年年底，我們將公開發布重新配置。您可以將現有的片上系統放在其中的一個角落，這樣它就位于現有的設計中。它需要更多的硅面積，但不需要板上額外的芯片。當您考慮這些低功耗情況時，這一點很重要。”

對硅信任根的威脅

史蒂文斯提供了威脅和解決方案的摘要?！八鼞摫M可能安全，并包括以下功能：孤立執行，以確保敏感的安全功能只能在專用的安全域內執行；全面的防篡改和側通道抵抗，防止多重故障注入和側通道攻擊；分層安全提供多層防御并避免單點故障；和多個 RoT 實例，以確保資源、密鑰和安全資產的隔離，以便每個供應商、OEM 或服務提供商都可以執行自己的功能。”

他補充道，確保這些功能和冗余是 RoT 解決方案的一部分，“可以確保設備的安全性并降低任何妥協的可能性?！?/p>

費里斯表示同意：“所有系統都可能受到攻擊，但我們花了五年時間開發 OpenTitan，并吸收了包括 Google 在內的合作伙伴的所有知識和經驗。這個名字本身就是對谷歌 Titan 系列 RoT 的致敬，谷歌用它來保護其服務器、Chromebook 和其他設備的安全。”

由于 OpenTitan 是開源的，已知的威脅和內置的對策都是可以公開檢查的。他給出了一側通道攻擊的例子?！肮粽呖梢允褂眉す饣螂姶琶}沖來導致 RoT 跳過指令?！?nbsp;這可能會導致 RoT 錯過其安全檢查的要素，并允許設備在受保護設備失去安全性的情況下繼續運行。

“所以，我們有一個同步的雙核處理器。這使得攻擊者很難在兩個內核的正確位置中斷指令。已經采取了各種強化措施來防止此類攻擊?！?/p>

他承認，RoT 是具有所有專業知識的外國三字母機構的特定目標?！暗覀円恢倍际情_放的。學者和研究人員對我們的設計進行了五年的探索。每當發現一個弱點時，它就會在我們到達硅階段之前被修復。開放讓很多人能夠查看、檢查任何漏洞并將其通知我們，以便我們解決這些漏洞。”

簡而言之…

史蒂文斯問道，設備受損的風險有多大?！白顦O端的情況下，是否存在國家安全風險？如果您的設備的安全性受到損害，是否會對人類生命造成威脅，例如在自動駕駛汽車或航空航天領域？是否存在財務風險，例如用于保護手機或物聯網設備上的財務數據的芯片？如果您的芯片受到損害，您公司的品牌聲譽會面臨什么風險？”

隨著政府尋求確保制造商提供設計安全的產品的方法，這些安全風險正迅速因監管風險而加劇。

“基于可編程硬件的 RoT，”他繼續說道，“可以防范許多安全威脅，包括主機處理器泄露、非易失性存儲器 (NVM) 密鑰提取和 NVM 損壞。它還可以防止測試和調試接口攻擊、旁道和擾動攻擊、中間人和重放攻擊以及內部攻擊?！?/p>

S-RoT 正在迅速從一件好事發展成為一般計算（尤其是物聯網/OT）的重要組成部分。OpenTitan 提供透明度和可用性（通過 GitHub），為設備制造商提供了一條有吸引力的途徑。