Cihazımda görünen Secure Boot ne demek aslında? Donanım düzeyinde güvenlik nasıl kuruluyor?

[Valkyrie]

Arkadaşlar selamlar, bir süredir cihaz güvenliği konusuna dalıyorum da aklımı bir şeyler takmış. Bilgisayarımın ayarlarında ‘Secure Boot açık’ yazısını sık sık görüyorum ama gerçekten bunu yapan nedir, yazılım mı yoksa bir donanım mı devreye giriyor? Son günlerde OpenTitan, RoT, PUF gibi terimlerle de karşılaştım, hepsi birbirine giriyor kafam.

Kısaca şunu merak ediyorum: Bir cihazın kendine güvenilen bir kökü (root of trust) nasıl olur da klonlanamıyor? Yazılımdan bağımsız bir şey mi lazım bunun için? Yeni alacağım bir IoT cihazı veya embedded proje için düşünyorum da, gerçekten değip duran bu konuyu basitçe anlatırsanız sevinirim. Hocalarım bu işin iç yüzünü anlatırsa çok iyi olur.

"İşlemci: Ryzen 7 7800X3D"

"Ekran Kartı: RTX 4070 Ti Super"

"Bellek: 32GB DDR4 3200MHz"

"Depolama: 1TB Samsung 980 Pro"

[Yiğit Kara]

Reis, güzel konuyu açmışsın, aslında hepsi birbiriyle zincir gibi bağlı, sırayla dökelim. Önce Secure Boot’u netleştireyim: Bu temelde bir yazılım süreci. Bilgisayar açılırken her aşamada bir sonraki bileşenin imzası bir önceki tarafından kontrol ediliyor. Yani bootloader’ı yüklerken onun gerçek bir Microsoft/OS üretici imzası olduğunu doğruluyorsun, sahte ya da değiştirilmiş bir sürüm varsa boyunu biliyor. Yani ‘güvenilen zincir’ (chain of trust) mantığı. Sorun şu ki, bu imzalar teoretik olarak klonlanabilir, anahtarlar sızıntıya uğrayabiliyor ya da birisi bu anahtarlara erişirse tüm sistemi taklit edebilir. Yani yazılımla sınırlı bir güvenlik.

İşte burda devreye donanım giriyor. Hardware Root of Trust (RoT), yani soğuk başlangıçtan (cold boot) itibaren çalışan, yazılımdan bağımsız bir güvenlik çubuğu. Cihazın fabrikadan çıkarken içine gömülmüş, kimse değiştiremeyen bir sır anahtarı var. Bu anahtarı kopyalamaya çalışsan fiziksel olarak bile alamazsın. OpenTitan’a gelirsek, Google’ın da içinde olduğu bir konsorsiyumun açık kaynaklı, denetlenebilir bir RoT çipini. Amacı, kapalı kutu üreticilerin tersine mühendisliğini yapam eyeceğin, herkesin kaynağı inceleyebildiği bir güven kökü üretmek. Açık olması büyük avantaj çünkü zafiyetler herkes tarafından taranabiliyor.

PUF (Physical Unclonable Function) ise işin en havalı kısmı: Silikon üzerinde üretici ne kadar çaba gösterse göster, iki çip birbirinin aynısı olamaz. Üretim sırasındaki mikron düzeyindeki rastlantısal varyasyonlar, her çipe eşsiz bir ‘parmak izi’ veriyor. Bu parmak izini okuyup bir anahtara çeviriyorsun. Yani anahtarı saklamaya bile gerek yok, sadece o çipe özel fiziksel durumu okuyorsun. Klonlamak için çipi parçalaman, o detayları ölçmen lazım ki pratikte imkansız. DICE (Device Identity Composite) mimarisiyse bu süreçleri bir sisteme oturtuyor: Her cihaz için katmanlı, izlenebilir kimlikler üretiyor. Hangi modülün ne zaman flashlandığını, hangi sürümle çalıştığını tek tek belgeleyip, her bileşen için ayrı güvenli kimlik oluşturuyorsun. IoT dünyasında özellikle cihazların buluta güvenli bağlanmasında çok işe yarıyor.

Pratikte sana düşen: Eğer bir cihaz alıyorsan ya da proje için seçim yapacaksan, önce Secure Boot’un açık olup olmadığını, sonra RoT/PUF desteğinin olup olmadığını, mümkünse açık kaynaklı bir çip (OpenTitan gibi) tercih etmeyi göz önünde bulundur. Kapalı kutu çiplerde PUF gibi fiziksel bir güvence genelde olmaz, o yüzden ‘güvenim yazılımda’ demek çoğu zaman ‘güvenim, kimse görmeden sakladığım bir anahtarda’ demek oluyor. Umarım aklındakiler oturmuştur, takılan olursa buradayım.

[Yazar]

Yazılar