Et konferencebadge er ved at blive undtagelsen

DEF CON 34 åbner den 6. august i vesthallen i Las Vegas Convention Center, og badget er ikke det sædvanlige blinkende minde. Det er bygget af Andrew Huang, hardwareforskeren kendt som bunnie, omkring en chip han selv har designet ved navn Baochip-1x. Arrangørerne beskriver det som en fuldgyldig og første af sin slags efterprøvelig platform og opregner, hvad det skal bruges til bagefter: sikkerhedsnøgle, adgangskodestyring, hardwaresikkerhedsmodul og pæn lysgenerator.

Specifikationen er ikke legetøj. Baochip-1x er en TSMC-komponent på 22 nanometer på et dedikeret maskesæt, omkring fire millimeter på hver led, med en VexRiscv-processor på 350 MHz og en hukommelsesstyringsenhed, fire ind- og udgangskerner på 700 MHz, 4 MiB resistiv og 2 MiB statisk hukommelse, kryptografiske acceleratorer, en ægte tilfældighedsgenerator, et beskyttende net, forstyrrelsessensorer og hardwarebeskyttede nøglepladser. Produktionskvalificerede skiver ligger i Hsinchu, og nogle få tusind nøgne chips sigtes mod slutningen af 2026.

Det, der fortjener en ejerleders opmærksomhed, er ikke siliciummet. Det er, at flere tusind mennesker om lidt holder en sikkerhedsnøgle, hvis opbygning de kan kontrollere, og det kan næsten ingen med en sikkerhedsnøgle i dag.

Efterprøvelig betyder noget bestemt her, og det stopper et sted

Påstanden er snævrere og mere interessant, end åben kildekode normalt antyder. Huang har udviklet en teknik kaldet IRIS, for infrarød på stedet, som bruger infrarødt lys til at se på en chips transistorer uden at lodde den af eller ødelægge den. Baochip-1x blev bevidst indkapslet, så den passer til det. Pointen er ikke, at du kan læse designet. Den er, at du kan se på den fysiske komponent i din hånd og kontrollere, at det trykte mønster er det, der skulle være der.

Huang kalder designet overvejende åbent, og netop det forbehold er det mest troværdige ved det. Beregningsblokkene er offentliggjort til eftersyn. Busstellet, USB-grænsefladen og de analoge dele, herunder faselåssløjfen, spændingsregulatorerne og ind- og udgangsfladerne, forbliver lukkede. Hans begrundelse er præcis: alle de lukkede dele er reelt ledninger, og de data, der går ind på den ene side, bør svare til dem, der kommer ud på den anden.

Man kan være uenig i, hvor den grænse går. Det, man ikke kan, er at få et klarere svar fra en almindelig leverandør, for en almindelig leverandør trækker slet ingen grænse. Et kommercielt sikkert element er lukket fra fladerne og indefter, og den eneste sikkerhed, der tilbydes, er et certificeringsdokument, der beskriver en proces og ikke komponenten på dit bord.

Se nu på det, der allerede hænger i din nøglering

Lav den samme prøve på de tillidsankre, din virksomhed allerede afhænger af. Sikkerhedsnøglerne, dine administratorer bærer. Platformsmodulet, der er loddet fast i hver bærbar, du udleverer. Hardwaresikkerhedsmodulet med dine signeringsnøgler. Det sikre element i betalingsterminalerne ved dine skranker. Hver af dem findes netop for at være det, du ikke behøver stole på noget andet om, og for hver af dem består dit bevis af en leverandørs ord og et certifikat.

Det er ikke en anklage om forsømmelse og ikke et argument for at udskifte noget. De fleste af disse dele er velbyggede, og bag certificeringsordningerne ligger virkeligt arbejde. Pointen er snævrere: du har accepteret en ikke-verificerbar komponent præcis det sted i din opbygning, hvor verifikation betyder mest, og du gjorde det, fordi der indtil nu ikke var noget andet at acceptere.

Det bliver forretningsmæssigt frem for filosofisk, fordi den sikkerhed, du har, angår en fremstillingsproces og ikke den enkelte enhed, der kom ind i dit hus. Et certifikat siger, at et design blev vurderet. Det siger ikke, at chippen i dette hus er det design. IRIS er interessant, fordi den tager fat på det andet spørgsmål, altså det, en revisor ville stille, hvis sproget til det fandtes.

Europa er ved at kræve gennemsigtighed i det forkerte lag

Det, der gør dette til et planlægningspunkt frem for en kuriositet, er tidsplanen. Forordningen om cyberrobusthed begynder at bide den 11. september 2026, når indberetningspligterne gælder: den, der fremstiller et produkt med digitale elementer, skal give ENISA og det relevante nationale beredskabshold en tidlig advarsel inden 24 timer efter kendskab til en aktivt udnyttet sårbarhed, en mere fyldig underretning inden 72 timer og en endelig rapport inden 14 dage. De væsentlige krav, herunder softwarestyklisten, følger den 11. december 2027.

Læser man de to datoer sammen, er skævheden tydelig. Europa bygger en retlig ordning, der til sidst vil fortælle dig, hvilken software der er i et produkt, med en frist og en navngiven myndighed. Der er ingen modstykke for, hvilket silicium der er i det. Bliver en sårbarhed i et hardwaretillidsanker udnyttet i et produkt, du fremstiller, løber dit 24-timers ur mod en komponent, du aldrig kunne undersøge, og hvis leverandør ikke skylder dig en tilsvarende oplysning.

For en europæisk producent er det hul en tidsplansrisiko og ikke en abstraktion, for indberetningspligten er din, og uigennemsigtigheden tilhører en anden. For en virksomhed, der kun køber ind, er udsattheden mildere, men midlet det samme: det, du ikke kan efterprøve, bør i det mindste være nævnt i en kontrakt.

Spørgsmålet, der skal sendes i denne uge

Byg ikke noget om omkring et konferencebadge. Baochip-1x laves af et enmandsselskab i Delaware, der er selvfinansieret uden eksterne investorer, fremstilles gennem en partner, der holder forholdet til TSMC, og sigter mod almindelig tilgængelighed sidst på året. Det er en seriøs ingeniørindsats på et tyndt forretningsgrundlag, og at behandle det som en indkøbsmulighed i dag ville være den forkerte lære.

Den rigtige koster en e-mail. Spørg hver leverandør af sikkerhedsnøgler, hardwaremoduler eller sikre elementer, hvilket uafhængigt bevis de kan give for, at chippen i en leveret enhed svarer til det offentliggjorte design, og gem det, der kommer tilbage. De fleste svar vil henvise til en certificeringsordning, og netop det er værd at vide, fordi det ikke er den samme påstand. Når et hold til sidst sætter tal på, er beløbet lille og kendt: 200 sikkerhedsnøgler til omkring 375 kroner stykket er en post på 75.000 kroner, og den beslutning, det oplyser, er mere værd end det.

Læs videre: Døren, der stod åben, var pakkekilden  |  16.000 firmaer deler leverandørrisikoen. Det gør du ikke