MIT の CSAIL とカリフォルニア大学バークレー校の EECS の研究者チームは、今年の秋のいずれかの時点で、RISC-V アーキテクチャに基づく、オープンソースで正式に検証された安全なハードウェア エンクレーブ「Keystone」の初期バージョンを提供することを目指しています。
「セキュリティコミュニティの観点から言えば、信頼できるセキュアエンクレーブを持つことは、安全なシステムを構築する上で非常に重要です」と、カリフォルニア大学バークレー校のコンピュータサイエンス教授であり、Oasis Labsの創設者兼CEOであるドーン・ソン氏は、The Registerとの電話インタビューで述べた。「これはコンピュータセキュリティにおける聖杯の一つと言えるでしょう。」
ソン氏はつい最近、Facebook、Google、Intel、Microsoft、カリフォルニア大学バークレー校、MIT、スタンフォード大学、ワシントン大学などの組織の技術専門家が参加したKeystone推進のためのワークショップに参加した。
Keystoneは、機密データを安全に保管するために、メインプロセッサから分離された信頼できる実行環境（TEE）を構築するためのコンポーネントとして設計されています。パブリッククラウドプロバイダーの台頭と仮想マシンおよびコンテナの普及に伴い、TEEの重要性はますます高まっています。機密性の高いワークロードを他者のハードウェア上で実行する場合、データが分離され安全に保管されることをより確実に望んでいるでしょう。
市場にはすでに様々なセキュリティハードウェア技術が存在します。Intelは、チップ内のセキュアエンクレーブに対応するソフトウェアガードエクステンション（SGX）と呼ばれる命令セットを提供しています。AMDはセキュアプロセッサとSEV、ARMはTrustZoneを提供しています。その他にも様々な技術が存在します。
しかし、これらの脆弱性は、設計者が望むほど侵入不可能ではなく、サイバーセキュリティ専門家が望むほど容易に検証できるものでもありません。最近公表された、IntelのSGXに影響を与えたForeshadowサイドチャネル攻撃は、このリスクの最近の例です。
オープンソースのセキュアエレメントがそのような問題から免れるということではありませんが、ソースコード付きのオープン仕様は精査できるため信頼性が高くなります。
「これらのソリューションはすべてクローズドソースなので、セキュリティと正確性を検証するのは困難です」とソン氏は述べた。「Keystoneプロジェクトでは、完全にオープンソースのソフトウェアとハードウェアのスタックを実現します。」
RISC-Vビジネス
さらに、RISC-Vマイクロアーキテクチャはサイドチャネル攻撃に対する脆弱性が低いようです。RISC-V Foundationは、今年初めにSpectreとMeltdownの脆弱性が公表された後、「発表されているRISC-Vシリコンには脆弱性はなく、人気のオープンソースRISC-V Rocketプロセッサはメモリアクセスを投機的に実行しないため、影響を受けません」と述べています。
(RISC-V Berkeley Out–of–Order Machine、または「BOOM」プロセッサは、分岐投機と分岐予測をサポートしているため、サイドチャネル攻撃に対する耐性があると想定すべきではありません。)
ライブラリ内の、ルート権限を与える「バックドア」を備えた、非ブランドの「軍用グレード」x86プロセッサ
続きを読む
RISC-V は 2010 年に導入された比較的新しい技術です。しかし、ARM などの大手チップメーカーは、RISC-V を攻撃するのに十分な脅威と見ています。
しかし、RISC-Vハードウェアメーカーがオープン化に全面的に取り組むかどうかはまだ明らかではない。Googleのソフトウェアエンジニアであり、corebootの開発者の一人であるロナルド・ミニッチ氏は最近、HiFiveのRISC-Vチップには独自の部分が含まれていると指摘した。
「RISC-Vが『オープン性』を意味するという期待が初期には高まっていたことは承知していますが、現状ではそうではないことが分かっています」と、彼は6月のメーリングリストのメッセージに記した。「…命令セットがオープンだからといって、必ずしも実装がオープンになるわけではありません。RISC-Vのオープン実装には、命令セットだけでなく、あらゆるレベルでオープン化を進めるという企業のコミットメントが不可欠です。」
RISC-Vは、Spectre、Meltdown、Foreshadowの教訓を取り入れた、より安全なチップ設計への移行となる可能性があります。Song氏によると、ワークショップでは「新しいハードウェアアーキテクチャをゼロから構築できるかどうか」について議論されました。®
