Çipi güvence altına almak artık ürün piyasaya sürülmeden önce gerçekleştirilen son bir doğrulama ya da ürüne eklenen bir sertifika meselesi değil; tasarımdan dağıtıma ve izlemeye kadar uzanan bir süreç haline geldi. Bu, Semiconductor Engineering tarafından Design Automation Conference sırasında düzenlenen ve Arteris, Cadence, Keysight EDA, Rambus, Siemens EDA, Synaptics ve Synopsys uzmanlarının katıldığı kapalı tartışmanın en önemli sonucuydu. Bu içerik, Ann Mutschler'ın yönettiği söz konusu tartışmadan alıntılara dayanıyor.
Saldırı yüzeyi; yapay zekânın, chiplet'lerin, yazılım tanımlı sistemlerin, FPGA'lerin ve bağlantılı sistemlerin yaygınlaşmasıyla genişliyor. Bu nedenle risk, bir devredeki fiziksel kusurla ya da doğrudan çipe yönelik bir saldırıyla sınırlı değil; ağdan, gömülü yazılımdan veya programlanabilir bir katmandan başlayabilir ve bir zayıflıktan yararlanarak sisteme erişebilir ya da sistemi devre dışı bırakabilir.
Sertifikasyondan Gerçek Kullanıma
Cadence'ten Yathiendra Vunnam, performans ve hesaplama gereksinimlerini karşılamak için farklı OSI modeli katmanlarında IPsec ve MACsec gibi mekanizmaları kullanan çok katmanlı savunmayı birçok müşterinin benimsediğini belirtti. Ancak bazı şirketlerin sertifikaya odaklandığını, çünkü bunun ürünü satmalarına yardımcı olduğunu; ardından daha küçük, daha düşük maliyetli ve yeniden kullanılabilir bir tasarıma ulaşmak için gerekli koruma grubunu daralttıklarını da açıkladı.
Rambus'tan Scott Best'e göre sorun, koruma teknolojisine sahip olmanın onun doğru uygulandığını kanıtlamaması. Müşteri yan kanal saldırılarına, hata enjeksiyonu saldırılarına veya PUF teknolojisine karşı koruma talep edebilir; ancak bu unsurları, nihai sistem içinde nasıl entegre edilip kullanılacaklarını açıklamadan, gereksinimler listesindeki tamamlanmış kutucuklar olarak ele alabilir. Aynı durum CRA ve ISO 26262 gibi çerçevelere uyum veya Keysight ya da bir rakip kuruluş aracılığıyla CSIP Level 3 edinme için de geçerli.
Bu, sertifikaların veya standartların değersiz olduğu anlamına gelmiyor; yalnızca bunların tek başına ürünün gerçek işletim koşullarında güvenli olduğuna dair yeterli kanıt sunmadığı anlamına geliyor. Katılımcıların vurguladığı boşluk, kâğıt üzerinde bir güvenlik mekanizmasının bulunması ile bu mekanizmanın diğer donanım, yazılım ve ağlarla entegre edildiğinde çalışabilmesi arasındaki farktı.
Görünürlük Bileşen Listesiyle Başlıyor
Keysight EDA'dan Alexander Petr, modern sistemlerin üst üste binen katmanlar üzerine kurulduğunu söyledi: çip, ardından paket, kart ve sistem; daha sonra veri merkezlerini ve geniş ağları içeren bağlantılı bir ekosistem. Daha fazla işlev gömülü yazılıma taşındıkça, ürüne nelerin girdiğini bilmek riskleri izleyebilmenin koşulu haline geliyor.
Bu süreç, Petr'in donanım için Software Bill of Materials olarak tanımladığı donanım bileşenlerine ilişkin bir yazılım listesi oluşturmanın yanı sıra güvenlik açıklarının izlenmesini ve dağıtım sonrasında izlemeyi de kapsıyor. Açık kaynak yazılımlar bu zorluğu artırıyor; Petr, kötü niyetli tarafların açık kaynak topluluklarına sızmaya ve arka kapılar yerleştirmeye yönelik girişimlerine dikkat çekti. Ayrıca bir zero-day güvenlik açığının keşfedilmesi yeterli değil; şirketin önce sisteminin etkilenen bileşeni kullanıp kullanmadığını, ardından bunu düzeltip düzeltemeyeceğini veya uygun bir savunma oluşturup oluşturamayacağını bilmesi gerekiyor.
Chiplet mimarisi de başka bir zorluk getiriyor. Farklı kaynaklardan gelen birimlerin birleştirilebilmesi maliyeti düşürebilir; çünkü her bloğun mutlaka en gelişmiş düğümlere ihtiyaç duyması gerekmez. Ancak bu durum pratik bir soruyu gündeme getiriyor: Tasarımcı her chiplet'in güvenliğini nasıl doğrulayacak ve güvenliği daha düşük olan birimin tüm sistemi riske atmamasını nasıl sağlayacak?
Düzenlemeler Farkındalığı Artırıyor, Ancak Davranışı Garanti Etmiyor
Katılımcılar, Avrupa Siber Dayanıklılık Yasası CRA da dahil olmak üzere düzenlemelerin farkındalık düzeyini yükselttiği ve bazı şirketleri güven köklerine ve gömülü korumaya yatırım yapmaya yönelttiği konusunda hemfikirdi. Siemens EDA'dan Chris Giles, yasanın tek başına yeterli olmadığını; gereksinimleri sürekli yatırıma dönüştürmek için yaptırımın gerekli olacağını söyledi. Katılımcılar, yarı iletkenlerle bağlantılı tarihin 11 Eylül 2026 olduğunu belirtti; ancak nelerin açıklanmasının isteneceği ve bunun pratikte nasıl uygulanacağı konusunda sorular devam ediyor.
Synaptics'ten Mohit Arora, cezaların yıllık gelirin %4'üne kadar çıkabileceğine de dikkat çekti. Synopsys'ten Reed Hinkel ise bu tür bir baskının, daha önce tereddüt eden şirketleri çip üzerinde büyük bir güven kökü oluşturmaya veya Caliptra gibi Open Compute Project yaklaşımlarını benimsemeye yöneltmeye başladığını söyledi. Ancak tartışma, düzenlemelerin davranış üzerindeki etkisinin henüz kesinleşmediğini gösterdi; Giles, CRA'nın görüşmelerde güçlü biçimde yer aldığını ancak uygulamaları değiştirip değiştirmediğinden emin olmadığını belirtirken Petr, tartışma sırasında henüz herhangi bir para cezası uygulanmadığına dikkat çekti.
Pratikte Neler Değişiyor?
Gerekli dönüşüm yalnızca ek güvenlik araçları veya güvenlik amaçlı fikri mülkiyet satın almak değil; sorumluluğu tasarım, yazılım, ürün yönetimi ve operasyon ekipleri arasında dağıtmak. Bir ürünün sunduğu hizmetin değeri arttıkça güvenlik arızasının ve bununla ilişkili sorumluluğun maliyeti de artıyor. Bu nedenle Hinkel, yüksek değerli hizmet vaatlerinin hizmet seviyesi anlaşmalarını yerine getirme ve güvenlik açıklarına yanıt verme yönünde gerçek bir kapasiteyle desteklenmesi gerektiğini savundu.
Ticari ve askerî teşvikler de tartışmada ortaya çıktı. Kullanıcıların güvenini kazanan ürünler daha büyük bir güvenlik yatırımını haklı çıkarabilir. Ayrıca ABD Savunma Bakanlığı ve aralarında tartışmada adı geçen Boeing ve Airbus'ın da bulunduğu tedarikçilerin ihtiyaçları, bu alandaki yatırımın bir bölümünü yönlendiriyor. Ancak bu, kısıtları ortadan kaldırmıyor: Güvenlik her zaman maliyet ve piyasaya çıkış tarihiyle rekabet ediyor ve sertifikasyon, dağıtım ile izlemenin kalitesine kıyasla hâlâ daha kolay ölçülebiliyor.
Post-kuantum kriptografide Hinkel, zorluğun yalnızca donanım veya firmware ile sınırlı olmadığını; tarihsel olarak üst üste birikmiş katmanlar üzerine kurulan ve güncellenip genişletilmesi zor olan açık anahtar hızlandırıcılarına (PKA) da uzandığını açıkladı. Tartışmaya göre ürünlerin yeni algoritmaları üç yıl içinde desteklemesi gerekiyor; eski algoritmaların kullanımdan kaldırılması ise beş yıllık bir takvimle bağlantılı. Bu da post-kuantum kriptografiye hazırlığın, mevcut bir tasarıma yalnızca bir algoritma eklemekten ziyade mimarinin yeniden düzenlenmesini gerektirdiğine işaret ediyor.
Teknik okuyucu açısından en önemli çıkarım, kanıtlanabilir güvenliğin ürünün içinde nelerin bulunduğunu, bunların nasıl entegre edildiğini ve satış sonrasında nasıl izleneceğini kapsaması gerektiği. Sertifikasyon ise bu sürecin içinde bir doğrulama noktası olarak kalıyor; sürecin yerine geçmiyor. Düzenleyici yaptırımın ayrıntıları, güvenlik açıklarının açıklanmasının sınırları ve şirketlerin piyasaya yayılmış ürünleri ele alma kapasitesi, kaynağın sonuçlandırmadığı açık sorular olmaya devam ediyor.