Caliptra: Open Compute bekommt Root-of-Trust für Server-SoCs
Auf dem Open Compute Summit haben AMD(öffnet im neuen Fenster) , Google(öffnet im neuen Fenster) , Microsoft(öffnet im neuen Fenster) und Nvidia gemeinsam einen Hardware Root-of-Trust (RoT) vorgestellt. Im Gegensatz zu Microsofts Cerberus , der vor zwei Jahren vorgestellt worden ist, handelt es sich dabei nicht um einen dedizierten Chip für das Server-Mainboard, sondern um einen IP-Block für die SoC-Integration. Das Projekt mit dem Namen Caliptra soll der Ankündigung zufolge(öffnet im neuen Fenster) den Ausgangspunkt für die Sicherheit der genutzten Server-SoCs bilden. Der RoT-Block soll vor allem die eingesetzte Firmware auf den Geräten kryptografisch absichern, sodass nur vertrauenswürdiger Code ausgeführt werden kann.
Zu den bisherigen Lösungen schreibt das Open Compute Project: "In der Branche gab es traditionell Inkonsistenzen bei den Sicherheitseigenschaften, die von Root-of-Trust-Lösungen unterstützt wurden, die wiederum durch RoT-Lösungen auf der Hauptplatine getrennt vom SoC selbst abstrahiert und erweitert wurden" . Mit dem nun vorgestellten gemeinsamen Design sollen eben dieses Inkonsistenzen überwunden werden.
Mit Caliptra sollen zahlreiche wichtige Sicherheitsfunktionen umgesetzt werden, wie Microsoft darlegt. So soll dieser zur Identifikation genutzt werden können (Attestation), die Komponenten des SoC sollen darüber verifiziert werden können (Measurement) und wie erwähnt soll die Integrität von nachladbarer Firmware darüber abgesichert werde.
Der RoT soll direkt in das SoC aufgenommen werden, von dessen restlichen Komponenten jedoch strikt getrennt sein, um die Sicherheit von Caliptra weiter gewährleisten zu können. Für den Chip soll das RISC-V-Design EL2 SweRV(öffnet im neuen Fenster) von Western Digital genutzt werden, der über die sogenannte Chips Alliance als Open Hardware bereitsteht. Zu diesem CPU-Kern hinzu kommen RAM, Beschleuniger für die kryptografischen Operationen sowie Peripheriefunktionen. Die Spezifikation von Caliptra steht in Version 0.5 bereit.