Merci encore d'avoir assisté à notre session sur la sécurité embarquée. Voici les questions qui ont suivi la présentation et leurs réponses. Si vous avez d'autres questions, n'hésitez pas à nous contacter.
Tous les processeurs i.MX prennent-ils en charge le démarrage sécurisé pour établir la racine de confiance ?
NXP : Oui, toutes les familles de processeurs i.MX prennent en charge le démarrage sécurisé en utilisant soit HAB soit AHAB selon la famille de processeurs. Les processeurs les plus récents prennent également en charge la clé ECDSA pour le High Assurance Boot.
Dans votre présentation, vous avez mentionné le démarrage sécurisé et le démarrage crypté. Peuvent-ils être utilisés ensemble ?
NXP : Oui, vous avez besoin du démarrage sécurisé avant de pouvoir effectuer l'étape de démarrage crypté. Vous ne voulez pas chiffrer une image qui n'a pas été authentifiée au préalable pour éviter d'exécuter un code non fiable contenant des logiciels malveillants. La fonction de démarrage crypté ajoute une opération de sécurité supplémentaire en plus du démarrage sécurisé.
Le processus de démarrage sécurisé peut-il être utilisé avec les versions principales de u-Boot et du noyau Linux ?
NXP : Oui, le démarrage sécurisé peut être utilisé avec les versions principales de u-Boot et du noyau Linux et nous avons des guides étape par étape pour guider les utilisateurs dans ce processus : Démarrage sécurisé - guides étape par étape pour les appareils compatibles HAB et AHAB.
Note : Veuillez passer à la version BSP requise.
Les environnements d'exécution de confiance comme OPTEE peuvent-ils être authentifiés pour étendre la racine de confiance ?
NXP : Oui, OPTEE ou tout autre TEE peut être authentifié pour étendre la racine de rust.
Avec quel processeur i.MX ou Digi SOM recommanderiez-vous de commencer pour explorer les fonctions de sécurité décrites aujourd'hui ?
Digi : Eh bien, cela dépend vraiment de votre application finale. Comme tous les processeurs i.MX et les SOMs ConnectCore® de Digi prennent en charge les fonctions de démarrage sécurisé dont nous avons parlé aujourd'hui, il vous faudrait voir quelle fonctionnalité supplémentaire est nécessaire. Les nouveaux processeurs i.MX 8 sont certainement très populaires et offrent une gamme de sécurité et de traitement adaptée à votre application.
Vous pouvez trouver une liste des options de ConnectCore SOM ainsi qu'un outil de comparaison de produits sur la page Digi SOMs. Vous pouvez également contacter un représentant Digi en cliquant sur le lien " Contactez-nous".
Où puis-je obtenir plus d'informations sur le processus de démarrage sécurisé pour les processeurs i.MX ?
NXP : Nous disposons d'une documentation détaillée telle que des notes d'application sur notre site Web et des guides pas à pas sur Code Aurora pour un démarrage sécurisé et crypté afin d'obtenir un démarrage sécurisé de votre système et d'établir la racine de confiance :
Digi : Nous avons entièrement intégré le démarrage sécurisé comme partie des blocs de sécurité Digi TrustFence® pour Linux et Android. Vous pouvez trouver les informations dont vous avez besoin pour l'activer et l'utiliser ainsi que des explications sur les concepts et l'infrastructure dans la documentation Digi.
Si le module est infecté, les données seront altérées avant d'être cryptées. Comment vaincre ce type de malware ?
NXP : Les utilisateurs doivent effectuer un démarrage sécurisé avant de pouvoir effectuer l'étape de démarrage crypté. Vous ne voulez pas chiffrer une image qui n'a pas été authentifiée au préalable pour éviter d'exécuter un code non fiable contenant des logiciels malveillants. La fonction de démarrage crypté ajoute une opération de sécurité supplémentaire en plus du démarrage sécurisé.
Quelle est l'interface utilisateur qui permet aux utilisateurs de mettre à jour le micrologiciel et de gérer les certificats en toute sécurité ? Les clients exécutent-ils ces fonctions ou des fournisseurs de services gérés s'en chargent-ils ?
NXP : Tout ce qui concerne la gestion des micrologiciels et des systèmes d'exploitation est actuellement effectué par nos partenaires (clouds et tiers). NXP n'a pas actuellement de service interne pour cela mais peut fournir des informations sur les partenaires.
Digi : Pour les appareils Digi, vous pouvez effectuer des mises à jour sécurisées du firmware avec Digi TrustFence®. Voir la documentation TrustFence.
Nous avons remarqué que NXP a approuvé les Vigiles™ à plusieurs endroits. Les correctifs et les mesures d'atténuation sont-ils validés par NXP ?
NXP : Les versions GA des logiciels Linux de NXP utilisent l'outil Vigiles™ pour garantir que les correctifs sont correctement appliqués et validés. Pour les logiciels spécifiques aux clients, Vigiles™ s'appuie sur les validations en amont. En outre, Vigiles™ fournit des liens de référence vers les exploits/atténuations lorsqu'ils sont disponibles afin que les clients puissent se configurer pour valider le correctif ou appliquer les atténuations respectives. Consultez le contenu de Vigiles™ pour plus d'informations.
Comment la racine de confiance peut-elle aider si la chaîne d'approvisionnement échoue ? Des programmes infectés sont chargés dans l'appareil ?
NXP : La fabrication sécurisée est essentielle. Notre webinaire sur la fabrication fournit des informations utiles à ce sujet.
NXP propose également des fonctions de protection de la fabrication sur certains processeurs i.MX. Consultez nos informations sur la sécurisation de la périphérie.
Autorisez-vous les mises à jour/mises à niveau de démarrage ?
NXP : Le démarrage initial sécurisé à partir de la ROM interne immuable sur puce ne peut pas être mis à jour/mise à niveau. Le chargeur de démarrage secondaire utilisé par le client peut cependant être mis à jour en utilisant divers mécanismes. Un exemple d'exécution de mises à jour Secure Over the Air est fourni dans la note d'application Secure Over-the-Air Prototype for Linux Using CAAM and Mender or SWUpdate.
Digi : Nous fournissons des instructions pour effectuer des mises à jour de firmware sécurisées (qui peuvent inclure une image de bootloader signée / cryptée) dans la documentation Digi TrustFence®.
NXP facture-t-elle les services EdgeLock™ 2GO ?
NXP : Oui, le service utilise un modèle de paiement au fur et à mesure (frais par clés / émission de certificats, révocation). NXP peut fournir un devis budgétaire pour votre application spécifique. Voir la page EdgeLock 2GO pour plus de détails.
Bonjour Asim, pourriez-vous commenter les situations dans lesquelles il est judicieux d'utiliser EdgeLock™ 2GO et celles dans lesquelles il est judicieux d'utiliser les fonctionnalités cryptographiques d'I.MX 8 ?
NXP : EdgeLock™ 2GO est un service SaaS alors que le i.MX est un processeur sécurisé, ils ne sont donc pas comparables. EdgeLock™ 2GO est disponible sur les i.MX et autres SoC attachés à un SE050. EL 2GO peut gérer les certificats sur les appareils i.MX + SE050 pour le compte des clients ; SE050 + EL 2GO améliore les capacités de sécurité de l'i.MX (gestion des clés, racine de confiance, cloud embarqué zero touch). Voir le livre blanc EdgeLock 2GO.
Cependant, les clients peuvent toujours gérer les clés / certificats sur les processeurs i.MX en tirant parti des capacités de stockage cryptographique / de clés du i.MX. Voir le stockage crypté de l'i.MX utilisant les clés sécurisées de CAAM.
note d'application.
Peut-on mettre à jour le code de l'application en utilisant Digi Remote Manager? J'ai entendu dire que seul le système d'exploitation peut être mis à jour via Digi Remote Manager?
Digi : Oui, Digi Remote Manager offre une flexibilité totale sur les mises à jour. Il peut s'agir uniquement d'applications, de partitions sélectionnées ou d'une mise à jour complète du système.
Quelles garanties fournissez-vous aux clients qui utilisent vos solutions de sécurité ?
NXP : Bien que NXP ait mis en place des fonctions de sécurité avancées, tous les produits peuvent être sujets à des vulnérabilités non identifiées. Les clients sont responsables de la conception et du fonctionnement de leurs applications et produits afin de réduire l'effet de ces vulnérabilités sur les applications et produits des clients, et NXP n'accepte aucune responsabilité pour toute vulnérabilité découverte. Les clients doivent mettre en œuvre des mesures de protection appropriées en matière de conception et de fonctionnement afin de minimiser les risques associés à leurs applications et produits.
Digi : D'accord. Nous disposons d'une assistance et d'une documentation excellentes pour aider les clients à intégrer la sécurité dans leurs produits, ainsi que d'une équipe de services de conception sans fil qui peut fournir une assistance technique spécialisée tout au long du processus. Contactez-nous pour en savoir plus.