Gracias de nuevo por asistir a nuestra sesión sobre seguridad integrada. Aquí están las preguntas que siguieron a la presentación y sus respuestas. Si tiene más preguntas, no dude en ponerse en contacto con nosotros.
¿Son compatibles todos los procesadores i.MX con el arranque seguro para establecer la raíz de confianza?
NXP: Sí, todas las familias de procesadores i.MX soportan arranque seguro utilizando HAB o AHAB dependiendo de la familia de procesadores. Los procesadores más recientes también admiten la clave ECDSA para el arranque de alta seguridad.
En su presentación ha mencionado el arranque seguro y el arranque cifrado. Se pueden utilizar ambos a la vez?
NXP: Sí, necesitas un arranque seguro antes de poder realizar el paso de arranque cifrado. No querrás cifrar una imagen que no haya sido autenticada primero para evitar la ejecución de código no fiable que contenga malware. La función de arranque cifrado añade una operación de seguridad adicional al arranque seguro.
¿Se puede utilizar el proceso de arranque seguro con las versiones principales de u-Boot y del núcleo de Linux?
NXP: Sí, el arranque seguro se puede utilizar con las versiones principales de u-Boot y del kernel de Linux, y disponemos de guías paso a paso para guiar a los usuarios a través de este proceso: Arranque seguro: guías paso a paso para dispositivos compatibles con HAB y AHAB.
Nota: Por favor, cambie a la versión BSP requerida.
¿Pueden autenticarse los entornos de ejecución de confianza como OPTEE para ampliar la raíz de confianza?
NXP: Sí, OPTEE o cualquier otro TEE puede ser autenticado para extender la raíz de la roya.
¿Con qué procesador i.MX o Digi SOM nos recomendaría empezar para explorar las funciones de seguridad descritas hoy?
Digi: Bueno, realmente depende de su aplicación final. Como todos los procesadores i.MX y los SOM Digi ConnectCore® admiten las funciones de arranque seguro que hemos comentado hoy, tendría que ver qué funcionalidad adicional necesita. Los nuevos procesadores i.MX 8 son sin duda muy populares y ofrecen una gama de seguridad y procesamiento que se adapta a su aplicación.
Encontrará una lista de opciones de SOM ConnectCore, así como una herramienta de comparación de productos, en la página de SOM de Digi. O póngase en contacto con un representante de Digi desde el enlace Contáctenos.
¿Dónde puedo obtener más información sobre el proceso de arranque seguro para los procesadores i.MX?
NXP: Disponemos de documentación detallada como notas de aplicación en nuestro sitio web y guías paso a paso en Code Aurora para un arranque seguro y cifrado para que tu sistema arranque de forma segura y establezca la raíz de confianza:
Digi: Hemos integrado completamente el arranque seguro como parte de los bloques de seguridad Digi TrustFence® para Linux y Android. En la documentación de Digi encontrará la información necesaria para activarlo y utilizarlo, así como explicaciones sobre los conceptos y la infraestructura.
Si el módulo se infecta, los datos se alterarán antes de cifrarse. Cómo derrotar a este tipo de malware?
NXP: Los usuarios deben realizar el arranque seguro antes de poder realizar el paso de arranque cifrado. No es conveniente cifrar una imagen que no se ha autenticado primero para evitar que se ejecute código no fiable que contenga malware. La función de arranque cifrado añade una operación de seguridad adicional al arranque seguro.
¿Cuál es la interfaz de usuario que permite a los usuarios actualizar el firmware y gestionar los certificados de forma segura? ¿Realizan estas funciones los clientes o hay proveedores de servicios gestionados que se encargan de ello?
NXP: Todo lo relacionado con la gestión del firmware y del sistema operativo lo realizan actualmente nuestros socios (nubes y terceros). NXP no dispone actualmente de un servicio interno para ello, pero puede facilitar información a sus socios.
Digi: Para dispositivos Digi, puede realizar actualizaciones de firmware seguras con Digi TrustFence®. Consulte la documentación de TrustFence.
Hemos observado que NXP ha respaldado los Vigiles™ en múltiples lugares. Están los parches y mitigaciones validados por NXP?
NXP: Las versiones GA del software NXP Linux utilizan la herramienta Vigiles™ para garantizar que los parches se aplican y validan correctamente. Para el software específico del cliente, Vigiles™ se basa en validaciones upstream. Además, Vigiles™ proporciona enlaces de referencia a exploits/mitigaciones cuando están disponibles para que los clientes puedan configurarse para validar la corrección o aplicar las mitigaciones respectivas. Consulte el contenido de Vigiles™ para obtener más información.
¿Cómo ayuda la raíz de confianza si falla la cadena de suministro? ¿Se cargan programas infectados en el dispositivo?
NXP: La fabricación segura es clave. Nuestro seminario web sobre fabricación ofrece información útil al respecto.
NXP también ofrece funciones de protección de fabricación en determinados procesadores i.MX. Consulte nuestra información de fabricación sobre la protección del borde.
¿Permite actualizaciones de arranque?
NXP: El arranque seguro inicial desde la ROM interna inmutable no se puede actualizar. Sin embargo, el cargador de arranque secundario utilizado por el cliente puede actualizarse utilizando varios mecanismos. En la nota de aplicación Secure Over-the-Air Prototype for Linux Using CAAM and Mender or SWUpdate se proporciona un ejemplo de cómo realizar actualizaciones seguras por aire.
Digi: Proporcionamos instrucciones para realizar actualizaciones de firmware seguras (que pueden incluir una imagen de cargador de arranque firmada / cifrada) en la documentación de Digi TrustFence®.
Cobra NXP por los servicios EdgeLock™ 2GO?
NXP: Sí, el servicio utiliza un modelo de pago por uso (tarifa por claves/emisión de certificados, revocación). NXP puede proporcionarle un presupuesto para su aplicación específica. Consulte la página de EdgeLock 2GO para más detalles.
Hola Asim, ¿te importaría comentar en qué situaciones tiene sentido utilizar EdgeLock™ 2GO y cuándo tiene sentido utilizar las funciones criptográficas de I.MX 8?
NXP: EdgeLock™ 2GO es un servicio SaaS mientras que el i.MX es un procesador seguro, por lo que no se pueden comparar. EdgeLock™ 2GO está disponible en i.MX y otros SoC acoplados a un SE050 SE. EL 2GO puede gestionar certificados en dispositivos i.MX + SE050 en nombre de los clientes; SE050 + EL 2GO mejora las capacidades de seguridad del i.MX (gestión de claves, root of trust, zero touch cloud onboard). Consulte el libro blanco de EdgeLock 2GO.
No obstante, los clientes pueden seguir gestionando las claves/certificados en los procesadores i.MX aprovechando las capacidades criptográficas/de almacenamiento de claves del i.MX. Consulte el Almacenamiento cifrado de i.MX mediante claves seguras CAAM.
nota de aplicación.
¿Se puede actualizar el código de la aplicación mediante Digi Remote Manager? He oído que solo se puede actualizar el sistema operativo a través de Digi Remote Manager?
Digi: Sí, Digi Remote Manager ofrece total flexibilidad en las actualizaciones. Pueden ser solo aplicaciones, particiones seleccionadas o una actualización completa del sistema.
¿Qué garantías ofrecen a los clientes que utilizan sus soluciones de seguridad?
NXP: Aunque NXP ha implementado funciones de seguridad avanzadas, todos los productos pueden estar sujetos a vulnerabilidades no identificadas. Los clientes son responsables del diseño y funcionamiento de sus aplicaciones y productos para reducir el efecto de estas vulnerabilidades en las aplicaciones y productos de los clientes, y NXP no acepta ninguna responsabilidad por cualquier vulnerabilidad que se descubra. Los clientes deben implementar las salvaguardas de diseño y funcionamiento adecuadas para minimizar los riesgos asociados a sus aplicaciones y productos.
Digi: De acuerdo. Disponemos de una excelente asistencia y documentación para ayudar a los clientes a integrar la seguridad en sus productos, así como de un equipo de servicios de diseño inalámbrico que puede proporcionar asistencia experta en ingeniería a lo largo del proceso. Póngase en contacto con nosotros para obtener más información.