Munculnya keamanan berbasis perangkat keras dan mengapa itu penting [Q&A]

Cybersecurity biasanya dipandang sebagai sesuatu yang harus ditangani melalui perangkat lunak. Namun dalam beberapa tahun terakhir kami telah melihat elemen perangkat keras mulai merayap masuk – persyaratan Windows 11 untuk kemampuan TPM misalnya.

Bisakah kita berharap untuk melihat lebih banyak langkah-langkah keamanan berbasis perangkat keras? Dan manfaat apa yang ditawarkan ini? Kami berbicara dengan Ed Maste, direktur senior teknologi di FreeBSD Foundation (organisasi nirlaba yang mendukung sistem operasi FreeBSD open source) untuk mencari tahu.

BN: Keamanan sering dianggap sebagai masalah yang harus ditangani perangkat lunak. Bagaimana perkembangan perangkat keras mulai memengaruhi keamanan dan bagaimana tren itu akan berkembang?

EM: Perkembangan perangkat keras selalu berdampak pada keamanan, karena perangkat keras membentuk fondasi di mana keamanan perangkat lunak dibangun. Namun, dalam beberapa tahun terakhir, semakin banyak pengakuan akan pentingnya keamanan perangkat keras — dan tren ini akan terus berlanjut karena ketergantungan kita pada teknologi meningkat dan ancaman menjadi lebih canggih.

Salah satu contoh perangkat keras yang berdampak pada keamanan adalah penggunaan boot aman dan modul platform tepercaya (TPM), yang membantu memastikan bahwa sistem tidak dirusak atau disusupi selama boot. Selain itu, penggunaan enkripsi berbasis perangkat keras, seperti pada hard drive dan di jaringan, sudah mapan sebagai sarana untuk melindungi data sensitif.

Melihat ke masa depan, kita dapat berharap untuk melihat pengembangan langkah-langkah keamanan berbasis perangkat keras yang lebih maju, dan integrasi langkah-langkah keamanan perangkat keras dan perangkat lunak untuk memberikan pendekatan keamanan yang lebih komprehensif. Salah satu contohnya adalah pengembangan secure instruction set architectures (ISA), yang menyediakan fondasi yang aman untuk eksekusi perangkat lunak.

BN: Apa yang Anda maksud dengan arsitektur set instruksi (ISA)?

EM: Arsitektur set instruksi (ISA) adalah spesifikasi untuk mikroprosesor yang menentukan set instruksi yang dapat dijalankan oleh prosesor. Beberapa contoh ISA meliputi:

x86: Ini adalah ISA populer yang digunakan di banyak komputer desktop dan laptop, serta server. Ini telah berkembang selama bertahun-tahun dan memiliki beberapa versi, termasuk versi 16-bit, 32-bit, dan 64-bit. ARM: ISA ini digunakan di banyak perangkat seluler, termasuk smartphone dan tablet. Dikenal dengan konsumsi daya yang rendah, yang membuatnya sangat cocok untuk digunakan pada perangkat portabel. Baru-baru ini, ARM 64-bit menjadi populer di ruang server. RISC-V: Ini adalah ISA yang relatif baru yang telah mendapatkan daya tarik dalam beberapa tahun terakhir karena sifat dan fleksibilitas sumber terbukanya. Sangat cocok sebagai platform penelitian.

Ada juga ISA lain yang digunakan saat ini, masing-masing dengan serangkaian fitur dan aplikasi yang dimaksudkan sendiri. Sistem operasi FreeBSD open source saat ini mendukung tiga ISA yang disebutkan di atas, serta Power (sebelumnya PowerPC).

BN: Bagaimana ISA memengaruhi postur keamanan perusahaan?

EM: Pilihan arsitektur set instruksi (ISA) dapat berdampak besar pada postur keamanan perusahaan, karena ISA yang berbeda mungkin memiliki fitur keamanan yang berbeda dan potensi kerentanan.

Berikut adalah beberapa cara di mana ISA dapat mempengaruhi keamanan:

Fitur keamanan: Beberapa ISA menyertakan fitur keamanan bawaan, seperti dukungan untuk perlindungan memori, pencegahan eksekusi data, atau enkripsi berbasis perangkat keras. Fitur-fitur ini dapat membantu mengurangi jenis kerentanan dan serangan keamanan tertentu. Kerentanan: Seperti perangkat lunak, ISA dapat memiliki kerentanan yang dapat dimanfaatkan oleh penyerang. Penting bagi perusahaan untuk selalu mengikuti pembaruan mikrokode CPU untuk mengurangi kerentanan ini. Kompatibilitas: Pilihan ISA perusahaan juga dapat memengaruhi kemampuannya untuk menggunakan alat dan perangkat lunak keamanan tertentu. Misalnya, jika perusahaan menggunakan ISA yang tidak didukung secara luas, mungkin akan lebih sulit menemukan alat keamanan yang kompatibel dengan ISA tersebut.

BN: Proyek keamanan dari University of Cambridge, CHERI, telah mendapatkan momentum sebagai ISA — di mana ini di dunia nyata dan apa implikasi keamanan yang lebih luas dari proyek seperti CHERI?

EM: CHERI (Capability Hardware Enhanced RISC Instructions) adalah peningkatan keamanan berbasis perangkat keras yang bertujuan untuk meningkatkan keamanan sistem dengan menyediakan perlindungan memori yang ditingkatkan dan kontrol atas akses data. Proyek CHERI telah mengembangkan ISA yang disempurnakan sebagai varian MIPS, ARM, dan RISC-V. CHERI sedang dikembangkan di University of Cambridge dan SRI International sebagai proyek penelitian open source.

CHERI ISA telah mendapat banyak perhatian dalam beberapa tahun terakhir karena potensinya untuk meningkatkan keamanan sistem. CHERI memperkenalkan jenis tanggal perangkat keras baru, yaitu kemampuan. Kemampuan CHERI mengontrol akses ke wilayah memori, dan pada sistem CHERI, semua akses memori melalui kemampuan. Kemampuan ini memiliki batasan dan izin yang didukung perangkat keras. Ditambah dengan dukungan perangkat keras dan runtime, sistem CHERI memberikan keamanan memori spasial yang kuat.

Dalam hal status dunia nyata, CHERI masih dalam tahap penelitian dan pengembangan, tetapi prototipe dunia nyata sudah ada. Prototipe tercanggih adalah platform Arm’s Morello yang menambahkan CHERI ke inti berskala super berkinerja tinggi dan mengimplementasikannya dalam platform sistem-on-chip dan demonstrasi. Dengan rilis terbaru CheriBSD, platform Morello dapat menyediakan lingkungan pengembangan perangkat lunak desktop yang aman-memori berdasarkan FreeBSD. Beberapa implementasi FPGA juga ada untuk RISC-V dan upaya untuk membakukan CHERI untuk RISC-V sedang dilakukan. Morello dan CHERI-RISC-V sedang dieksplorasi oleh berbagai mitra industri, termasuk Google dan Microsoft.

Implikasi keamanan yang lebih luas dari proyek seperti CHERI sangat signifikan, karena memiliki potensi untuk meningkatkan keamanan sistem dalam beberapa cara. Dengan memberikan perlindungan memori yang ditingkatkan dan kontrol atas akses data, CHERI dapat membantu memitigasi berbagai kerentanan dan serangan keamanan, termasuk serangan berbasis memori seperti buffer overflows dan kerentanan use-after-free. Di luar keamanan memori, CHERI memungkinkan kompartementalisasi kinerja tinggi dan mempersulit penyerang untuk mendapatkan akses tidak sah ke data sensitif, yang menjadi perhatian utama banyak organisasi. Secara keseluruhan, pengembangan CHERI dan proyek serupa lainnya merupakan langkah penting dalam upaya berkelanjutan untuk meningkatkan keamanan sistem.

BN: Apa peran open source dalam evolusi keamanan perangkat keras?

EM: Sumber terbuka telah memainkan peran penting dalam evolusi keamanan perangkat keras. Sumber terbuka memungkinkan kolaborasi dan berbagi ide dan pengetahuan antara pengembang dan pakar keamanan. Ini dapat memfasilitasi pengembangan teknologi dan pendekatan keamanan perangkat keras baru, serta peningkatan yang sudah ada.

Fakta bahwa proyek sumber terbuka membuat kode sumber atau desain perangkat kerasnya tersedia bagi siapa saja untuk ditinjau dan diperiksa benar-benar dapat membantu meningkatkan keamanan, karena memungkinkan para ahli untuk mengidentifikasi kerentanan dan potensi kelemahan — dan untuk mengusulkan dan mengimplementasikan perbaikan. Proyek open source juga dapat mendorong inovasi, karena pengembang dapat membangun dan memperluas teknologi yang ada dengan cara yang baru dan kreatif. Hal ini dapat mengarah pada pengembangan teknologi dan pendekatan keamanan perangkat keras baru yang mungkin tidak dapat dilakukan sebaliknya.

CheriBSD adalah ekstensi FreeBSD yang mendukung kemampuan yang mengimplementasikan perlindungan memori dan fitur kompartementalisasi perangkat lunak yang didukung oleh CHERI ISA, memanfaatkan kemampuan perangkat keras pada platform Arm’s Morello, dan CHERI-RISC-V. Membangun sistem operasi mirip-Unix open source memfasilitasi kemajuan CheriBSD.

BN: Apa yang bisa kita harapkan dari masa depan inovasi keamanan berbasis perangkat keras?

EM: Keamanan perangkat keras adalah aspek penting dari keamanan sistem secara keseluruhan, dan akan terus memainkan peran yang semakin penting seiring perkembangan teknologi dan ancaman keamanan yang semakin canggih. Saya senang FreeBSD menjadi bagian dari upaya memajukan keamanan perangkat keras dan membentuk masa depan bidang ini.

Kredit gambar: Alexmit/depositphotos.com