Được công bố vào tháng 3 tại Google Cloud Next '17, chip bảo mật Google Titan là một khối xây dựng khác trong nỗ lực của Google nhằm tăng cường thông tin bảo mật và thu hẹp khoảng cách với các đối thủ - chủ yếu là AWS và Microsoft Azure. Sau khi thử nghiệm chip trong trung tâm dữ liệu của họ khá lâu, Google gần đây đã công bố chi tiết kỹ thuật của nó. Vì vậy, nếu bạn đã bắt gặp những tin tức về chip bảo mật Titan của Google và tự hỏi tất cả những gì về nó. Trong bài viết này, tôi sẽ đề cập đến chip bảo mật Google Titan là gì, nó hoạt động như thế nào và mọi thứ khác mà bạn cần biết về nó.
Chip bảo mật Titan là gì?
Nói một cách đơn giản nhất, Titan là một con chip bảo mật ngăn chặn các cuộc tấn công mà chính phủ gián điệp chặn phần cứng và chèn phần mềm cấy ghép . Hiện tại, những kẻ tấn công làm điều này chủ yếu bằng cách khám phá các lỗ hổng phần sụn để vượt qua hệ thống phòng thủ của hệ điều hành và cài đặt các rootkit có thể tồn tại ngay cả sau khi hệ điều hành đã được cài đặt lại.
Titan là một phần của Google Cloud Platform (GCP) được thiết kế, xây dựng và vận hành với mục tiêu bảo vệ mã và dữ liệu của khách hàng. Con chip này là một bộ điều khiển vi mô an toàn, công suất thấp được tạo ra để đảm bảo các hệ thống luôn khởi động từ trạng thái tốt đã biết trước. Con chip này có kích thước của một chiếc khuyên tai stud nhỏ và đã được cài đặt trong nhiều máy chủ và thẻ mạng có các trung tâm dữ liệu lớn của Google.
Khi con chip lần đầu tiên được công bố trở lại vào tháng 3 năm nay, Google đã lên kế hoạch sử dụng bộ xử lý để cung cấp cho mỗi máy chủ của mình một danh tính riêng. Cho đến ngày hôm nay, Google hiện đang sử dụng chip bảo mật Titan để bảo vệ các máy chủ chạy các dịch vụ của riêng mình như Google Tìm kiếm, Gmail và YouTube.
Titan Security Chip bao gồm những gì?
Các máy trong trung tâm dữ liệu của Google có nhiều thành phần bao gồm CPU, RAM, BMC, Bộ điều khiển giao diện mạng (NIC), chương trình cơ sở khởi động, flash chương trình cơ sở khởi động và lưu trữ liên tục. Các thành phần này tương tác với nhau một cách có hệ thống để khởi động máy. Để bảo vệ quá trình khởi động này, Google sử dụng khởi động an toàn dựa trên sự kết hợp giữa phần mềm khởi động được xác thực và bộ tải khởi động, cùng với các tệp khởi động được ký kỹ thuật số, để cung cấp các biện pháp bảo mật mong muốn.
Titan là một con chip được thiết kế đặc biệt, không chỉ đáp ứng những mong đợi này mà còn cung cấp hai thuộc tính bảo mật bổ sung quan trọng - khắc phục và toàn vẹn hướng dẫn đầu tiên. Con chip này giao tiếp với CPU chính thông qua bus SPI và giao thoa giữa đèn flash firmware khởi động của các thành phần như BMC hoặc PCH. Điều này cho phép nó quan sát mọi byte của phần sụn khởi động.
Để đạt được các biện pháp bảo mật mà Titan hứa hẹn, nó bao gồm một số thành phần . Một số trong những người nổi bật được đề cập dưới đây.
- Bộ xử lý ứng dụng an toàn
- Một bộ đồng xử lý mật mã
- Một bộ tạo số ngẫu nhiên phần cứng
- Một hệ thống phân cấp khóa tinh vi
- RAM tĩnh nhúng (SRAM)
- Một đèn flash nhúng
- Khối bộ nhớ chỉ đọc
- Bus giao diện ngoại vi nối tiếp (SPI)
- Bộ điều khiển quản lý Baseboard (BMC) hoặc Trung tâm điều khiển nền tảng (PHC)
Titan Security Chip hoạt động như thế nào?
Bước đầu tiên trong quá trình làm việc của chip bảo mật Titan là thực thi mã bởi các bộ xử lý của nó . Điều này được thực hiện ngay sau khi máy chủ được cấp nguồn. Sau đó, quá trình chế tạo đặt ra một mã bất biến được tin tưởng hoàn toàn và được xác nhận tại mỗi lần thiết lập lại chip. Sau đó, chip chạy tự kiểm tra được tích hợp vào bộ nhớ của nó. Điều này xảy ra mỗi khi nó khởi động để đảm bảo rằng tất cả bộ nhớ, bao gồm cả ROM, không bị giả mạo.
Bước tiếp theo là tải firmware của Titan . Mặc dù phần sụn này được nhúng trong bộ nhớ flash trên chip, ROM khởi động Titan không tin tưởng nó một cách mù quáng. Thay vào đó, nó xác minh phần sụn của Titan bằng cách sử dụng mật mã khóa công khai và trộn danh tính của mã được xác minh này vào hệ thống phân cấp khóa của Titan. Cuối cùng, ROM khởi động tải firmware đã được xác minh.
Khi chip Titan khởi động chương trình cơ sở của chính nó một cách an toàn, nội dung của flash chương trình cơ sở khởi động của máy chủ sẽ được xác minh bằng mật mã khóa công khai. Trong khi xác minh này đang được xử lý, Titan có thể chuyển quyền truy cập PCH / BMC sang flash firmware khởi động. Bây giờ khi quá trình cuối cùng được hoàn thành, chip sẽ gửi tín hiệu để giải phóng phần còn lại của máy khỏi thiết lập lại. Tín hiệu này cung cấp cho Google Cloud Platform thông tin về phần mềm khởi động và hệ điều hành nào đang được khởi động trên máy của họ từ hướng dẫn đầu tiên. Google Cloud Platform cũng tìm hiểu về các bản vá vi mã có thể đã được tìm nạp trước hướng dẫn đầu tiên của phần sụn khởi động.
Cuối cùng, phần sụn khởi động được Google xác minh sẽ cấu hình máy và tải bộ tải khởi động . Điều này sau đó xác minh và tải hệ điều hành.
Tại sao cần phải có Titan Security Chip?
Vì hầu hết các phần cứng và máy chủ mạng được sản xuất ở nước ngoài, các nhà khai thác trung tâm dữ liệu làm việc cho Google Cloud Platform lo ngại về khả năng tin tặc quốc gia hoặc tội phạm mạng xâm phạm các thiết bị này trước khi vận chuyển chúng. Chip Titan của Google giải quyết những lo ngại này thông qua các kiểm tra liên tục nhằm cung cấp bảo mật bổ sung cho phần cứng điện toán đám mây. Điều này cho phép công ty duy trì mức độ hiểu biết trong chuỗi cung ứng của họ mà họ không có.
Một lý do khác tại sao cài đặt chip bảo mật Titan trong các máy chủ là các cuộc tấn công phần sụn mới có thể nhắm vào các chip phần mềm có thể ghi lại. Đây có thể là chip BIOS hoặc bộ điều khiển ổ cứng.
Titan Security Chip có lợi cho Google như thế nào?
Có hai cách chính mà chip bảo mật Titan mang lại lợi ích cho Google. Thứ nhất là quan điểm bảo mật và thứ hai là quan điểm cạnh tranh.
Từ quan điểm bảo mật, chip Titan mang lại lợi ích cho Google theo ba cách sau:
- Nó cung cấp một nguồn gốc tin cậy dựa trên phần cứng để thiết lập một bản sắc mạnh mẽ của một máy. Điều này giúp Google đưa ra các quyết định bảo mật quan trọng và xác thực sức khỏe của hệ thống. Kết quả là, điều này đảm bảo một lộ trình kiểm toán không thể đảo ngược về bất kỳ thay đổi nào được thực hiện.
- Các khả năng ghi nhật ký rõ ràng giả mạo giúp xác định các hành động được thực hiện bởi người trong cuộc với quyền truy cập root.
- Chip cung cấp xác minh tính toàn vẹn của phần sụn và các thành phần phần mềm.
Từ góc độ cạnh tranh, Google Cloud Platform hiện có 7% thị phần đám mây toàn cầu. Điều này làm cho nó đứng thứ ba so với Amazon Web Services (AWS) (41% thị phần) và Microsoft Azure (13% thị phần). Với chip Titan mới, Google đang tìm cách tạo sự khác biệt với các đối thủ cạnh tranh và đưa các công ty tập trung vào bảo mật hơn vào nền tảng điện toán đám mây của mình. Đây là một động thái quan trọng vì theo Gartner, thị trường điện toán đám mây trên toàn thế giới trị giá gần 50 tỷ USD.
Do đó, Google cũng đã phát triển một hệ thống nhận dạng mật mã đầu cuối dựa trên Titan. Điều này có thể đóng vai trò là gốc rễ của niềm tin đối với các hoạt động mật mã khác nhau trong các trung tâm dữ liệu của họ.
Titan Security Chip có thực sự giúp Google?
Mặc dù Google Cloud Platform hiện đang tụt hậu so với các đối thủ, đặc biệt là AWS, chip bảo mật Titan nghe có vẻ như là một thỏa thuận tuyệt vời với họ. Với kết quả thử nghiệm ấn tượng, tất cả đều thuộc về việc liệu con chip có giúp Google Cloud Services nổi bật so với các dịch vụ khác trong thời gian dài hay không. Cá nhân, tôi rất quan tâm xem mọi thứ sẽ ra sao. Thế còn bạn? Hãy cho tôi biết suy nghĩ của bạn về điều này trong phần bình luận bên dưới.
