Um crachá de conferência está prestes a ser a exceção
A DEF CON 34 abre a 6 de agosto na sala oeste do centro de congressos de Las Vegas, e o seu crachá não é a habitual recordação com luzes. Foi construído por Andrew Huang, o investigador de hardware conhecido como bunnie, à volta de um chip por ele desenhado e chamado Baochip-1x. Os organizadores descrevem-no como uma plataforma inspecionável de pleno direito e primeira do género, e enumeram para que deve servir depois: chave de segurança, gestor de palavras-passe, módulo de segurança por hardware e gerador de luzes bonitas.
A especificação não é de brincar. O Baochip-1x é uma peça TSMC de 22 nanómetros num conjunto de máscaras próprio, com cerca de quatro milímetros de lado, um processador VexRiscv a 350 MHz com unidade de gestão de memória, quatro núcleos de entrada e saída a 700 MHz, 4 MiB de memória resistiva e 2 MiB de memória estática, aceleradores criptográficos, um gerador de números aleatórios verdadeiro, uma malha de proteção, sensores de perturbação e ranhuras de chave protegidas por hardware. Há bolachas qualificadas para produção em Hsinchu, com alguns milhares de chips nus previstos para o final de 2026.
O que merece a atenção de um empresário não é o silício. É que vários milhares de pessoas estão prestes a segurar uma chave de segurança cuja construção conseguem verificar, algo que hoje quase ninguém com uma chave de segurança consegue fazer.
Inspecionável significa aqui algo concreto, e para em algum ponto
A afirmação é mais estreita e mais interessante do que o código aberto costuma sugerir. Huang criou uma técnica chamada IRIS, de infravermelho no local, que usa luz infravermelha para observar os transístores de um chip sem o dessoldar nem o destruir. O Baochip-1x foi encapsulado de propósito para ser compatível com ela. A questão não é poder ler o desenho. É poder olhar para a peça física que tem na mão e verificar que o padrão impresso é o que ali devia estar.
Huang chama ao seu desenho maioritariamente aberto, e é justamente essa ressalva o que nele há de mais credível. Os blocos de cálculo estão publicados para inspeção. A estrutura do barramento, a interface USB e os componentes analógicos, incluindo a malha de bloqueio de fase, os reguladores de tensão e os contactos de entrada e saída, permanecem fechados. O seu argumento é preciso: todos os componentes fechados são no fundo fios, e os dados que entram de um lado devem corresponder aos que saem do outro.
Pode discordar de onde passa essa fronteira. O que não pode é obter uma resposta mais clara de um fornecedor corrente, porque um fornecedor corrente não traça fronteira alguma. Um elemento seguro comercial está fechado dos contactos para dentro, e a única garantia oferecida é um documento de certificação que descreve um processo e não a peça que está na sua secretária.
Olhe agora para o que já traz no porta-chaves
Aplique o mesmo teste às raízes de confiança de que a sua empresa já depende. As chaves de segurança que os seus administradores usam. O módulo de plataforma fiável soldado em cada portátil que entrega. O módulo de segurança por hardware que guarda as suas chaves de assinatura. O elemento seguro nos terminais de pagamento dos seus balcões. Cada um deles existe precisamente para ser aquilo sobre o qual já não precisa de confiar em mais nada, e para cada um a sua prova é a palavra de um fornecedor e um certificado.
Não é uma acusação de má conduta nem um argumento para substituir seja o que for. A maioria destas peças está bem feita e por trás dos regimes de certificação há trabalho a sério. A questão é mais estreita: aceitou um componente não verificável exatamente no ponto da sua arquitetura em que a verificação mais conta, e fê-lo porque até agora não havia outra coisa para aceitar.
Isto torna-se comercial e não filosófico porque a garantia que detém diz respeito a um processo de fabrico e não à unidade concreta que chegou às suas instalações. Um certificado diz que um desenho foi avaliado. Não diz que o chip dentro deste invólucro é esse desenho. O IRIS é interessante porque ataca a segunda pergunta, aquela que um auditor faria se existisse vocabulário para a formular.
A Europa vai exigir transparência na camada errada
O que transforma isto de curiosidade em assunto de planeamento é o calendário. O regulamento da ciber-resiliência começa a apertar a 11 de setembro de 2026, quando se aplicam as obrigações de comunicação: quem fabrica um produto com elementos digitais tem de dar à ENISA e à equipa nacional de resposta competente um alerta precoce nas 24 horas seguintes a conhecer uma vulnerabilidade ativamente explorada, uma notificação mais completa em 72 horas e um relatório final em 14 dias. Os requisitos essenciais, incluindo a lista de materiais de software, chegam a 11 de dezembro de 2027.
Lidas em conjunto, as duas datas tornam a assimetria evidente. A Europa está a construir um regime jurídico que acabará por lhe dizer que software existe dentro de um produto, com prazo e com uma autoridade identificada. Não há equivalente para que silício existe lá dentro. Se uma vulnerabilidade numa raiz de confiança de hardware for explorada num produto que fabrica, o seu relógio de 24 horas corre contra um componente que nunca pôde examinar e cujo fornecedor não lhe deve divulgação equivalente.
Para um fabricante europeu essa lacuna é um risco de calendário e não uma abstração, porque o dever de comunicar é seu e a opacidade é de outro. Para uma empresa que apenas compra, a exposição é mais suave mas o remédio é o mesmo: aquilo que não consegue verificar deve, pelo menos, estar nomeado num contrato.
A pergunta a enviar esta semana
Não reconstrua nada em torno de um crachá de conferência. O Baochip-1x é feito por uma empresa do Delaware de uma só pessoa, autofinanciada e sem investidores externos, fabricada através de um parceiro que mantém a relação com a TSMC e a apontar para disponibilidade geral no final deste ano. É um esforço de engenharia sério sobre uma base comercial fina, e tratá-lo hoje como opção de compra seria a lição errada.
A lição certa custa um correio eletrónico. Pergunte a cada fornecedor de chaves de segurança, módulos de hardware ou elementos seguros que prova independente consegue apresentar de que o chip de uma unidade entregue corresponde ao desenho publicado, e arquive o que voltar. A maioria remeterá para um esquema de certificação, e sabê-lo com exatidão vale a pena precisamente por não ser a mesma afirmação. Quando uma equipa lhe puser um preço, o número é pequeno e conhecível: um parque de 200 chaves de segurança a cerca de 50 euros cada é uma rubrica de 10.000 euros, e a decisão que sustenta vale mais do que isso.
Leia a seguir: A porta que ficou aberta era o registo de pacotes | 16.000 empresas juntam o risco de fornecedor. Você não
