Sahtecilik, güvenlik ve tasarım kusurları arasındaki çizgilerin, bir cihazın karmaşıklığıyla birlikte olağandışı davranışların olası nedenlerinin katlanarak arttığı gelişmiş paketlerde ve işlem düğümlerinde belirlenmesi giderek zorlaşıyor.

Tuhaf davranışlar, truva atı içeren bir parça da dahil olmak üzere sahte bir parçadan kaynaklanıyor olabilir. Veya bir siber saldırının sonucu olabilir. Aynı zamanda belirli bir sıradaki heterojen bileşenler arasındaki karmaşık etkileşimlerden de kaynaklanabilir; temel olarak sessiz veri hatası üreten bir köşe durumu. Hatta tasarımın bir veya daha fazla bölgesinde açık veya kısa devre oluşturan gizli bir kusur yaratabilen süreç varyasyonundan da kaynaklanabilir. Sebep ne olursa olsun, tüm yolların araştırılması gerekir.

Tüm bu olasılıklar arasında, sahtecilik tespit edilmesi en kolay olanıdır ve önemli ilerlemelerin kaydedildiği bir alandır.

Florida Üniversitesi EÇE bölümü başkanı Mark Tehranipoor, "Geçtiğimiz birkaç yılda geri dönüştürülmüş, klonlanmış, yeniden işaretlenmiş, aşırı üretilmiş ve sahtecilik dışında yeni veya ortaya çıkan bir sahtecilik yaklaşımı olmadı" dedi. “Dolayısıyla çözümünüz bu beş senaryodan birinin gerçekleşeceği gerçeğine dayanıyor ve siz de ona göre çözümler geliştiriyorsunuz. Ancak güvenlik, saldırganın istihbaratıyla ilgilenir. Siz bunları çözdüğünüzü düşündüğünüzde, sistemlerde yeni bir güvenlik açığı ortaya çıkabilir. Veya haberlerde, güvenlik değerlendirmesi sırasında hiç düşünmediğiniz yeni bir güvenlik açığının ortaya çıktığını duyarsınız. Güvenlik bir kedi-fare oyunudur. Sahtecilik öyle değildir çünkü farklı sahteci türlerini biliyoruz. Bunu son 20 yıldır yapıyorlar.”

Mike Borza, Synopsus Bilim insanı, Florida Üniversitesi'nin, özellikle çoklu kalıp/çoklu yonga uygulamalarında önemli olan, doğrudan test cihazında bulunan bir çipin kimliğini doğrulamak için teknoloji üzerinde çalıştığını belirtti. "Eğer bunu yüksek hacimde doğru bir şekilde yapabiliyorsanız, bu, bir tür sahtecilikten kurtulmanızı sağlar" dedi.

Diğer yaklaşımlar şunları içerir: PUF'ler (fiziksel olarak klonlanamayan işlevler) bunlar çözümün yalnızca bir yönüdür. Borza, "Kalıbı tanımladıktan ve onu başlatabildikten sonra bir PUF iyidir" dedi. "Ancak bir PUF'u açıp bunu doğru çipe sahip olduğunuzu doğrulamak için kullanamazsınız çünkü her PUF benzer görünüyor."

Bir PUF'un, tasarımın orijinal bir kopyası olduğuna dair kalıbın zayıf bir tanımlayıcısı olarak kullanılmasına izin verebilecek istatistiksel önlemler vardır. Sorun şu ki, PUF'ların ne yapması gerektiğini modellemek için çok büyük miktarda veri gerekiyor ve PUF'ların bir çipletten, kalıptan veya levhadan nasıl değiştiği gibi önemli miktarda çip üzerindeki PUF'lar hakkında gerçekten çok fazla veri yok. bir sonrakine.

Borza, "İnsanlar bu şeylerin nasıl değiştiğini bilmek için yeterli veriye sahip değil ancak bazı etkilerin olduğunu biliyorlar" dedi. "PUF'yi yardımcı verilerle kontrol ediyorsunuz, çünkü yardımcı veriler, rastgele bir veri akışından ve başka yerden oluşturulan ve PUF'daki her şeyle evli olan gerçek rastgele özelliklere sahiptir. Yine de siz bu başlatmayı yapmadan önce PUF'un kendisi yönetilmesi gereken sistematik varyasyonlara sahip olacak ve bu da o tasarıma özgü bir şeyi tanımlama fırsatı yaratacaktır."

Başka sorunlar da var. Her çip benzersizdir ve bir çip için iyi sonuç veren şey, diğeri için ideal olmayabilir. Örneğin Infineon yaklaşık 30,000 farklı çip geliştirdi, ancak bazıları o kadar küçük ki tanımlama amacıyla ayrı ayrı işaretlenemiyor. Sonuç olarak en iyi uygulamalar büyük ölçüde farklılık gösterebilir.

“Müşterilerimizle, bir Avrupa derneği olan Component Obsolescence Group Deutschland (COGD) veya yerel şubeleri olan uluslararası bir birlik olan ve müşterilerimizin birçoğunun da yer aldığı Uluslararası Eskime Yönetimi Enstitüsü (IIOM) gibi birlikler aracılığıyla iletişim kuruyoruz. açık piyasadan satın alma riskine ilişkin farkındalığı artırabileceğimiz üyeler," dedi marka koruma ve sahtecilikle mücadele güvenlik danışmanı Konrad Bechler Infineon Technologies.

saldırı vektörleri
Sahte çipler güvenlik ihlallerine de neden olabilir ve bu, üçüncü taraf çipletlerin piyasaya sürülmesiyle daha da büyüyecek bir sorundur.

Alan Porter, elektronik ve yarı iletken bölümü başkan yardımcısı Siemens Digital Industries Yazılımı, mühendislik ekiplerine, birden fazla kaynaktan gelen kalıpları, yongaları veya aracıları paketlerine monte edilmeden önce eklemeye başladıklarında permütasyonlar hakkında düşünmelerini tavsiye ediyor. "İçlerinde farklı alt tabakalar ve farklı malzemeler bile olabilir, bu da karmaşıklığı daha da artırır. Burada şeffaflık çok önemli” dedi. "Burada önemli olan, tedarik zincirinde kim olursa olsun süreçlerin ve protokollerin sürdürülmesinin çok önemli olmasıdır. Buna odaklanırsak ve tedarik zincirinin bütünlüğünü korumak için yapmamız gerekeni yaparsak belki jeopolitiği ve bu endişeleri hafifletebiliriz. Onlardan kurtulabileceğimizi söylemiyorum ama kesinlikle hafifletebiliriz. Kariyerimin ilk dönemlerinde çok büyük bir OEM'de çalışıyordum ve bu da yapmamız gereken şeyin bir parçasıydı. Foxconn gibi şirketlerle çalıştığınızda durum göz önüne alındığında TSMC'nin bile endişeleri oluyor. Bu aslında şeffaflıkla güven kazanmak, veri akışının kontrol edildiğinden ve dijital ayak izlerinin ve işlenebilen ve izlenebilen şeylerin yerinde olduğundan emin olmakla ilgili."

Bunun bir diğer ayağı da mümkün olduğunca saldırıları önlemek, gerektiğinde onlarla mücadele etmektir.

Sahtecilikle ilgili saldırılarla mücadelede genel olarak iki genel yaklaşım vardır. Kıdemli Ürün Yönetimi Direktörü Scott Best, "Biri, bir çipin dijital kimliğini güvenilir bir şekilde doğrulamasına ve elbette bu dijital kimliğin kolayca kopyalanmasını engellemesine olanak tanıyor" dedi. Rambus ve kurcalamaya karşı koruma teknolojisi geliştirme direktörü. “Diğer yaklaşım, 'sıfır güven' olarak adlandırılan üretim akışı bağlamında bile bir çipin güvenli bir şekilde üretilmesine olanak tanıyor. Tedarik zinciri güvenliği olarak bilinen bu ikinci husus, çip güvenliği kadar önemlidir, çünkü çipin kendisi size güvenli bir şekilde üretilip üretilmediğini söyleyemez."

Bu alanlarda ayrıca yaklaşık iki düzine ilgili karşı önlem bulunmaktadır. Neyin kullanılacağı uygulamaya ve hedefin değerine göre değişecektir. Örneğin, yazıcı kartuşlarındaki ve set üstü kutulardaki çipler doğası gereği düşük değerli olabilir, ancak milyarlarca dolarlık işlere açılan bir kapı sağlıyorlar. Diğer çipler daha karmaşık olabilir ancak potansiyel hasar daha düşük olacaktır. Hedef pazarın değeri ne kadar yüksek olursa, saldırıları önlemek için uygulanan kaynaklar da o kadar büyük olur.

Ancak tedarik zinciri sorunu gibi görünen şey aslında bir bilgisayar korsanının bir tasarım veya sistemdeki zayıflıktan yararlanması olabilir. Bu tasarımda ne kadar çok öğe varsa, saldırının kaynağını belirlemek de o kadar zor olur.

Tehranipoor, "Güvenlik söz konusu olduğunda her zaman geride kalırsınız çünkü çok zeki ve çok fazla kaynağa sahip olan saldırgan, güvenlik mühendislerinin bulamayacağı bir güvenlik açığıyla karşınıza çıkabilir" dedi. "Bazen şirketlerin tasarımınızı imalat için ve bilinen hatalarla birlikte hızlı bir şekilde pazara göndermeleri gerekebilir. Saldırganın çipe saldırmak ve güvenlik açıklarını ortaya çıkarmak için bolca fırsatı vardı, ancak ne yazık ki tasarımcıların bunu düzeltmek için yeterli fırsatı olmadı."

Donanım tabanlı saldırılar genellikle üç kategoriye ayrılır:

• Non-invaziv — Bir çipin dijital kimliğini olabildiğince hızlı ve uygun maliyetli bir şekilde çıkarmaya çalışan, çoğunlukla ucuz saldırılar. Buna, çipin tedarik zinciri bütünlüğünü tehlikeye atmanın etkili bir yolu olan "temel hırsızlığı" da dahildir.
• Yarı invazif — Biraz daha karmaşık saldırılar, saldırgan olmayan bir saldırının düşman açısından başarılı olmadığı durumlarda gerçekleştirilir. Yarı-invaziv saldırılar çoğu zaman "garaj korsanlarının" bütçesinin ötesindedir, ancak yine de bir üniversite laboratuvarının yapabileceği kapsam dahilindedirler ve daha sonra hakkında bir makale yayınlayabilirler.
• Tamamen invazif — Transistör düzeyindeki bir çipin peşine düşen pahalı, karmaşık saldırılar. Bu tür bir saldırı genellikle bir üniversite laboratuvarının bütçesinin ötesindedir ancak ticari laboratuvarların ve devlet tarafından finanse edilen aktörlerin yetenekleri dahilindedir.

Bu alanlarda ayrıca yaklaşık iki düzine ilgili karşı önlem bulunmaktadır. Kullanılan şey uygulamaya ve hedefin değerine göre değişecektir. Örneğin, yazıcı kartuşlarındaki ve set üstü kutulardaki çipler doğası gereği düşük değerli olabilir, ancak milyarlarca dolarlık işlere açılan bir kapı sağlıyorlar. Diğer çipler daha karmaşık olabilir ancak potansiyel hasar daha düşük olacaktır. Hedef pazarın değeri ne kadar yüksek olursa, saldırıya uygulanan kaynaklar da o kadar büyük olur.

Best, "Bu kategorilere giren saldırıları hafifleten yaklaşık iki düzine karşı önlem tekniği var" diye açıkladı. “Ancak saldırıların karmaşıklığı ve maliyeti arttıkça karşı önlemler de artıyor. Sonuç olarak, büyük ticari gelir akışlarının etkilenebileceği veya müttefik birliklerin güvenliğinin tehlikede olduğu yerler gibi, tamamen istilacı saldırılara yönelik karşı önlemlerin çoğu yalnızca en güvenli silikonda yer alıyor."

Ancak her çip benzersizdir ve bir çip için iyi sonuç veren şey, diğeri için ideal olmayabilir. Örneğin Infineon yaklaşık 30,000 farklı çip geliştirdi, ancak bazıları o kadar küçük ki tanımlama amacıyla ayrı ayrı işaretlenemiyor. Sonuç olarak en iyi uygulamalar büyük ölçüde farklılık gösterebilir.

Çeşitlilik ve diğer zorluklar
Öncü düğümlerde daha fazla süreç varyasyonu, saldırının nereden geldiğini anlamayı zorlaştırıyor ve aynı tasarımda farklı çipler veya çipletler olduğunda bu sorun daha da artıyor.

Yarı iletken ekosistemi, uzun süredir varyasyonlarla istatistiksel olarak ilgilenmektedir; bu, tasarım ekiplerinin belirli bir üretim partisinden veya plakadan kaynaklanan bir sorunun olasılığını anlamalarına yardımcı olmaktadır. Ancak o kadar çok yeni süreç ve bir öncü dökümhaneden diğerine farklılıklar var ki, her sapmayı istatistiksel olarak tanımlamaya çalışmak neredeyse imkansız.

Borza, "Bir düğüme indiğimizde, bu düğümdeki yeniliklerle ve neyin farklı olduğuyla ilgilenmek her zaman zordur" dedi. “Göreceğiniz şeyleri üst düzeyde planlayabilirsiniz, ancak alt düzeylere indikçe farklı veya daha önce karşılaşmadığınız şeyleri görmeye başlarsınız. Yarı iletken endüstrisinin neredeyse herkesten daha iyi çözdüğü şeylerden biri, yeni bir yoğunlukta yeni bir üretim çağına girerken bilinmeyenlerle uğraşmaktır. Sonuç olarak, bunu analiz etmeye çalışmak için fırsatlar olacak. Bunun doğasında olan bir diğer fırsat da rastgele sayılar üretmektir. Bu amaçla kullanabileceğiniz herhangi bir potansiyel entropi kaynağı arıyorum ve dijital tasarım insanları bu sorun hakkında bu şekilde düşünmeye alışık değiller. Bunu arzu edilen bir şey olarak görmüyorlar. Bu onlar için kesinlikle istenmeyen bir şey ama bizim için daha fazla, daha kaliteli, rastgele veri elde etme fırsatı."

Buna yaklaşmanın bir yolu çipin veya paketin içinden geçmektir ve bu, çeşitlilikten sahte çiplerin belirlenmesine kadar çeşitli sorunlarda işe yarar. Siemens Digital Industries Software Tessent grubunun ürün pazarlama direktörü Lee Harrison, "Çipletlerden oluşan bir cihazınız varsa, sonuçta daha karmaşık hale gelir" dedi. “Gömülü analitik teknolojisi, doğrulamayı uygulamak için parmak izini veya jetonu izleyebiliyor ve oluşturabiliyor. Bu, açılışta çipletlere kodlanan ve daha sonra değiştirilebilen ve sahtesi yapılabilen belirli bir anahtarın yerine, doğrulamayı kullandığımız ve bu monitörü, cihaz kapatıldığında kaybolacak bir dijital parmak izi oluşturmak için kullandığımız anlamına gelir. Ama sonra güç açıldığında tekrar çalıştırılıyor. Bu jeton temel olarak çiplerin her birinden ana kalıba toplanan parmak izidir. Daha sonra Güven Kökü, tüm yongaların genel imzasının doğru olduğunu ve cihazın söylediği gibi olduğunu doğrular."

Çözümler ve geleceğe yönelik kaygılar
Rambus' Best, bazı karşı tedbirlerin, EDA araçlarının tasarım ekibi tarafından kullanıldığı durumlar da dahil olmak üzere, tasarımın bütünlüğünü mühendisliğin ilk aşamalarından itibaren korumayı amaçladığını belirtti. “Örneğin ABD'deki RAMP programı, platformlarını 'bulutlaştırmak' için büyük araç satıcılarıyla birlikte çalıştı; böylece tasarım ekipleri, örneğin kötü amaçlı araçlar veya kötü amaçlı yazılımların bulaştığı durumlarda içeriden gelen saldırılara karşı güvenilir bir şekilde güvence altına alınmış bir mühendislik akışını kullanabilirler. Best, EDA yazılımının kendi bütünlüğünün önemli olduğunu söyledi.

Ancak genel anlamda sahteciliğe karşı koruma teknolojileri ve teknikleri EDA araçlarında etkin değildir. "Sahteciliğe karşı önlemlerin çoğu, özel mühendislik amacı gerektirir ve çipin tasarım akışının bir parçası olarak otomatik olarak dahil edilmez" dedi ve her durumun benzersiz olduğunu belirtti. “Büyük ölçüde korunan şeyin değerine bağlı; tek bir çipten elde edilen gelir mi, yoksa bir OEM platformunun yıllık gelir akışının tamamı mı? Ulusal güvenlik kaygıları söz konusu mu? Ayrıca çipin tam olarak nasıl doğrulandığı. Örneğin, bir çip üretilirken, ekipmanın çevrimiçi, bulut tabanlı bir veri tabanına gerçek zamanlı erişimi olduğunda, bir çipin orijinal olduğu birçok kez doğrulanır. Bu, çoğu hususu büyük ölçüde basitleştiriyor; çünkü üretimin son aşamalarında bir çipi etkinleştiren 'gizli kodlar', çipin menşei hemen doğrulanamadığı takdirde saklanabiliyor."

Bununla birlikte, her COTS tasarımına dahil edilmesi gereken bazı temel en iyi uygulamalar vardır. "Örneğin, her çip, o çipin kimlik doğrulama protokolünün dijital kimlik değerine kriptografik olarak bağlı olduğu benzersiz bir cihaz kimliği içermelidir" dedi. “Benzer şekilde her çip, bir 'güvenli yaşam döngüsü' kullanmalıdır; öyle ki, bir çip, bir müşterinin sisteminde 'görev moduna' yerleştirildiğindeki çalışma şekliyle karşılaştırıldığında, erken üretim yaşam döngüsündeyken farklı şekilde çalışır.'

Ayrıca Infineon'dan Bechler, sorulması gereken başka sorulara da işaret etti. “Bu araçlar ne kadar iyi olabilir? Geri dönüştürülmüş bileşenlerin yeni olarak satıldığını tespit edebiliyorlar mı? Burada ilgi çekici olan sahtenin tanımıdır ve tanımlardan biri de geri dönüştürülmüş ve yenilenmiş bileşenlerin yeni olarak satılmasıdır. Bu, aynı zamanda uzun süreli depolama sağlayan yetkili tedarikçilerimizin de olduğu anlamına geliyor; dolayısıyla soru, aletlerin eski ve orijinal parçalar ile geri dönüştürülmüş parçalar arasındaki farkı nasıl bulabileceğidir."

Sonuç
Tasarımlar karmaşıklaştıkça güvenlik de karmaşıklaşıyor.

Synopsys'ten Borza şunları söyledi: "Bu entegrasyon seviyelerinde bir aşağı bir yukarı gidip geliyoruz ve 3D-IC yoğunluğu artırmanın bir yolu ama aynı zamanda çipi parçalamanın da bir yolu," dedi Synopsys'ten Borza, "ya da farklı işlevlere sahip olduğunuz için Birbirine benzemeyen teknolojilerin aynı pakette bir araya getirilmesi veya birçok entegre pakette tekrar tekrar kullanabileceğiniz işlevlerin parçalanması. Bu bir fırsat yaratıyor. Tersine mühendislik yapmak veya entegre pakete saldırmak, entegre devreye saldırmaktan daha kolaydır. Tahta düzeyindeki bir ürüne saldırmak kadar kolay değil, ancak kalıba saldırmaktan daha kolaydır. Bazı 3D ambalaj türlerine nüfuz etmek çok zordur, ancak genel olarak bir kalıptan diğerine gitmeniz gerektiğinde aralarında bir yol olduğunu bilirsiniz ve bu da fırsat yaratır. Birisi gidilecek ve aranacak bir yol olduğunu biliyor."

Daha sonra zorluk, soruna neden olan şeye dönüşür. Üçüncü taraf bir yonga mı, tasarımdaki bir kusur mu, yoksa üretim ya da paketlemeyle ilgili bir sorun mu vardı? Cevabı bulmak çok daha zor hale geliyor.

İlgili Okuma
Chiplet Güvenlik Riskleri Hafife Alındı
Ticari çipletlere yönelik güvenlik sorunlarının boyutu göz korkutucudur.
Güvenlik, AI/ML Çipleri ve Araçlar İçin Çok Daha Büyük Bir Sorun Haline Geliyor
Standartların olmayışı, değişen algoritmalar ve mimariler ile kötü tanımlanmış ölçümler, kötü niyetli oyunlara kapı açmaktadır.

• SEO Destekli İçerik ve Halkla İlişkiler Dağıtımı. Bugün Gücünüzü Artırın.
• PlatoData.Network Dikey Üretken Yapay Zeka. Kendine güç ver. Buradan Erişin.
• PlatoAiStream. Web3 Zekası. Bilgi Genişletildi. Buradan Erişin.
• PlatoESG. karbon, temiz teknoloji, Enerji, Çevre, Güneş, Atık Yönetimi. Buradan Erişin.
• PlatoSağlık. Biyoteknoloji ve Klinik Araştırmalar Zekası. Buradan Erişin.
• Kaynak: https://semiengineering.com/bug-flaw-or-cyberattack/