OpenTitan : pionnier des racines de confiance silicium open-source transparentes pour systèmes plus sûrs

Alors que la connectivité des appareils s'étend, le risque de cyberattaques grandit. Au cœur du matériel sécurisé se trouve la racine de confiance (Root of Trust, RoT). Bien que de nombreux fabricants intègrent le RoT dans le silicium, les designs propriétaires manquent souvent de transparence, forçant les concepteurs à placer une confiance aveugle dans des composants invisibles.

Voici OpenTitan — une coalition engagée à rendre la sécurité de confiance disponible dès le niveau silicium par une ouverture et une accessibilité sans précédent.

L'initiative unit des leaders comme ETH Zurich, G+D Mobile Security, Google, Nuvoton Technology et Western Digital, et est pilotée par l'organisation indépendante à but non lucratif lowRISC CIC (Cambridge, Royaume-Uni). Tirant parti d'une évolution de la puce Titan de Google et du cœur RISC-V d'ETH, le projet vise à délivrer un RoT plus ouvert, transparent et de haute qualité qui sous-tendra la confiance dans les systèmes critiques.

OpenTitan promet un degré radical de transparence — tout, jusqu'à la frontière de la fonderie, est ouvert. Des ingénieurs des entreprises partenaires conçoivent ouvertement le design logique d'un RoT silicium, incluant le processeur RISC-V lowRISC Ibex, coprocesseurs cryptographiques, générateur matériel de nombres aléatoires, hiérarchie de clés sophistiquée, interfaces mémoire volatile et non-volatile, mécanismes de défense, périphériques I/O et logique de démarrage sécurisé. Le résultat sera un design RoT de haute qualité et directives d'intégration adaptées aux serveurs de centres de données, baies de stockage, périphériques et plus.

L'open-sourcing du design silicium améliore la transparence, la confiance et ultimement la sécurité. Un RoT silicium garantit que la pile matérielle et son logiciel restent dans un état vérifié, digne de confiance en authentifiant le micrologiciel de démarrage, prévenant les malwares bas niveau, et fournissant une identité machine cryptographiquement unique. Il protège aussi les clés de chiffrement contre la falsification — même pendant l'expédition — et délivre des pistes d'audit traçables et services de sécurité temps-réel.

« L'intégrité système doit être ancrée dans le silicium », a déclaré Dominic Rizzo, responsable OpenTitan de Google Cloud, au lancement du projet. « Nous avons construit notre propre RoT Titan propriétaire pour les centres de données Google, apprenant que l'intégration transparente et l'intégrité des instructions sont essentielles. OpenTitan rend ce même niveau de confiance ouvertement disponible et flexible, éliminant le besoin de foi aveugle. »

Pourquoi open source ?

Partenaires fondateurs OpenTitan (Image : OpenTitan)

Dans la plupart des designs, le RoT se situe physiquement entre le processeur de démarrage et la ROM ou flash non-volatile contenant le micrologiciel initial. Le RoT valide l'intégrité du micrologiciel avant que le processeur ne puisse commencer le démarrage, et peut fournir un chemin de récupération si des bugs latents de micrologiciel surviennent. Le module RoT est typiquement une puce séparée ou un bloc IP embarqué dans un SoC.

Les RoT silicium trouvent application dans les cartes mères serveurs, cartes réseau, appareils clients comme ordinateurs portables et téléphones, routeurs grand public et dispositifs IoT. Google s'est reposé sur son RoT Titan personnalisé pour garantir que ses machines de centres de données démarrent uniquement depuis du code vérifié.

Google a souligné le besoin d'« ancrer la confiance dans le silicium » et déclaré : « Avec nos partenaires, nous visons à partager les bénéfices de puces RoT fiables à travers l'industrie en les rendant open source. »

Richard New, VP R&D de Western Digital, a noté que toutes les puces RoT en circulation aujourd'hui sont propriétaires. « Parce que les implémentations sont opaques, les utilisateurs finaux ne peuvent pas vérifier indépendamment la qualité de l'architecture, du micrologiciel ou du design matériel du RoT », a-t-il dit. « Les utilisateurs doivent faire confiance au concepteur pour l'avoir implémenté correctement et sans erreurs. »

OpenTitan argumente qu'un RoT silicium open-source offre les mêmes avantages de construction de confiance que le logiciel open-source : design transparent, détection précoce des problèmes, et réduction de la confiance aveugle. Les contributions communautaires stimulent l'innovation, tandis qu'un design de référence commun fournit un choix d'implémentation et préserve la cohérence d'interface.

OpenTitan s'attend à délivrer un niveau radical de transparence, ouvrant virtuellement tout, jusqu'à la « frontière fonderie ». (Image : OpenTitan)

La stratégie d'OpenTitan repose sur trois piliers : transparence, qualité et flexibilité. Chacun peut inspecter, évaluer et contribuer au design et à la documentation, assurant un RoT silicium transparent et digne de confiance. Le groupe délivre un design logiquement sécurisé de haute qualité, complet avec micrologiciel de référence, collateral de vérification et documentation exhaustive. La flexibilité permet aux adopteurs de réduire les coûts et d'atteindre des marchés plus larges en intégrant un RoT agnostique fournisseur dans serveurs, stockages, périphériques et autres dispositifs.

À la conférence de presse, Gavin Ferris, cofondateur et membre du conseil lowRISC, a dit : « Nous sommes environ 40-50 % complets sur le design de référence. »

New a ajouté : « OpenTitan jouera un rôle majeur dans notre stratégie. Western Digital a longtemps championné l'open source — pensez Linux et RISC-V — et croit que les solutions les plus sécurisées naissent d'implémentations ouvertes, inspectables, couplées à des politiques transparentes. OpenTitan a le potentiel de disrupter le modèle propriétaire et d'offrir à l'industrie un RoT de référence open-source de haute qualité. »

Réaction de l'industrie

John Moor, directeur général de la IoT Security Foundation, a dit à EE Times Europe qu'un RoT est essentiel pour la sécurité IoT. « Le coût est une barrière majeure, donc un RoT open-source aiderait », a-t-il dit, ajoutant que la scrutation et le soutien de Google donnent de la crédibilité.

Andy Hopper, président lowRISC et ancien fondateur de la société devenue Arm, a remarqué : « La racine de confiance silicium est trop critique pour être propriétaire. OpenTitan exemplifie comment le développement open-source stimule l'innovation et délivre un silicium véritablement digne de confiance. Dans un monde post-Loi de Moore, la collaboration et la transparence sont la voie à suivre. »

Haydn Povey, CEO de Secure Thingz et ancien responsable sécurité chez Arm, a souligné le besoin de sensibiliser aux RoTs — qu'ils soient open ou propriétaires. « La sécurité ne sera jamais parfaite, mais favoriser la discussion ouverte empêche les lacunes. Bien fait, l'open source peut être encore plus sécurisé », a-t-il dit.

Povey a mis en évidence que la sécurité est la prochaine frontière informatique — de la périphérie à l'entreprise — et qu'OpenTitan représente une avancée significative vers la sécurité système open-source.