Silicon Labs lance Secure Vault : solution matérielle pour renforcer la sécurité IoT

Quand il s'agit de sécurité Internet of Things (IoT), les fournisseurs de puces entendent souvent la même critique : les concepteurs et fabricants ne traitent pas la sécurité comme une exigence centrale. La justification prévalente est que la sécurité ajoute du coût, et si elle n'est pas essentielle, pourquoi s'en soucier ? De nombreux appareils intègrent aussi la sécurité seulement comme une après-pensée, les laissant vulnérables au compromis.

Partout dans le monde, les gouvernements durcissent les règles. La loi SB-327 de Californie a pris effet en janvier 2020, la norme ETSI européenne mandate maintenant la cybersécurité pour l'IoT grand public, et le gouvernement britannique rédige une nouvelle loi sur la sécurité IoT. En réponse, les vendeurs intensifient leurs campagnes de sensibilisation.

Cette semaine Silicon Labs a annoncé une nouvelle offre de sécurité basée matériel pour ses solutions système sur puce (SoC) sans fil. La technologie Secure Vault est une suite complète conçue pour aider les fabricants d'appareils à affronter les menaces IoT croissantes et répondre aux exigences réglementaires. Elle est déjà intégrée dans la plateforme Wireless Gecko Series 2, qui associe fonctions de sécurité logicielles et matériel de fonction physiquement non-clonable (PUF) pour réduire le risque de brèches et protéger la propriété intellectuelle.

Silicon Labs décrit Secure Vault comme un SoC sans fil rentable qui délivre un niveau de sécurité optimisé. Le sous-système — comprenant un cœur dédié, bus, et mémoire — est isolé du processeur hôte, assurant que la gestion de clés, la cryptographie, et autres fonctions critiques restent protégées. Cette séparation matérielle est particulièrement précieuse pour les entreprises naviguant le RGPD en Europe et la SB-327 de Californie.

Nous avons demandé à Gregory Guez, Senior Director of Product Marketing pour la sécurité IoT chez Silicon Labs, comment Secure Vault diffère d'autres solutions comme les environnements d'exécution de confiance (TEE). Il a expliqué : « Secure Vault fournit une isolation entre l'élément sécurisé et l'application client en matériel, pas en logiciel. Alors que d'autres vendeurs peuvent offrir la gestion de clés avec stockage limité, notre design basé PUF délivre un stockage de clés sécurisé sur tout l'espace mémoire. »

Secure Vault offre aussi des clés chiffrées résistantes au falsification. Guez a ajouté : « Les clés chiffrées sont protégées par des détecteurs et réponses configurables. Les certificats d'identité sécurisés de Secure Vault permettent aux fabricants de prouver l'authenticité de l'appareil — une exigence essentielle dans l'écosystème IoT d'aujourd'hui. »

L'analyste senior cybersécurité Tanner Johnson d'Omdia note que la sécurité embarquée est une exigence non-négociable. « Les mises à jour logicielles seules ne peuvent pas corriger les vulnérabilités ancrées dans du matériel insécurisé. Les composants matériels doivent servir de première ligne de défense, surtout que de nouvelles lois ciblent la sécurité des produits IoT », a-t-il dit.

En combinant matériel et logiciel, Secure Vault aide les fabricants à sauvegarder la réputation de marque, l'intégrité du design, et les données consommateurs. Embarquer le système de sécurité dans le SoC sans fil simplifie le développement et permet des mises à jour sécurisées over-the-air (OTA) tout au long du cycle de vie du produit. Délivrer un firmware véritable et de confiance atténue les exploits, menaces, et lacunes réglementaires imprévus.

Secure Vault adresse les quatre piliers de la sécurité IoT — confidentialité, authentification, intégrité, et vie privée — via identité d'appareil sécurisée, gestion de clés robuste, et détection de falsification avancée.

L'identité d'appareil sécurisée résout le défi de l'authentification post-déploiement. Le service de provisioning de confiance usine de Silicon Labs génère un certificat d'identité d'appareil unique pendant la fabrication du CI — akin à un certificat de naissance — permettant la sécurité post-déploiement, l'authenticité, et les contrôles de santé basés sur l'attestation. Le certificat garantit l'authenticité de la puce pour sa durée de vie.

Secure Vault fournit un stockage de clés sécurisé, avec clés chiffrées utilisant une clé maître générée via PUF (Image : Silicon Labs)

Le secret des clés est critique pour l'accès appareil et données. Secure Vault chiffre et isole les clés du code d'application. Toutes les clés sont chiffrées avec une clé maître générée par un PUF, et les signatures de mise sous tension sont uniques à chaque appareil. Les clés maître sont créées lors de la mise sous tension, éliminant les clés maître stockées et réduisant les vecteurs d'attaque.

La détection de falsification va de la résistance au falsification de boîtier à la détection sophistiquée au niveau silicium de manipulations de tension, fréquence, et température. Des fonctions de réponse de falsification configurables permettent aux développeurs de déclencher interruptions, resets, ou même suppression de clés secrètes quand des anomalies sont détectées.

Secure Link chiffre l'interface entre un microcontrôleur et une puce Wi-Fi pour empêcher les attaquants de glaner SSIDs ou mots de passe (Image : Silicon Labs)

Fonctionnalités additionnelles de Secure Vault incluent la protection anti-rollback — empêchant le rechargement de firmware plus ancien et vulnérable — et Secure Link, qui chiffre l'interface microcontrôleur-Wi-Fi en utilisant des échanges de clés Diffie-Hellman par session, par appareil. Le lien est sécurisé de manière unique par appareil et les clés sont régénérées à chaque cycle d'alimentation, rendant l'exploitation difficile.

Silicon Labs échantillonne actuellement des SoC sans fil compatibles Secure Vault, prévus pour sortie fin T2 2020.