En konferensbricka håller på att bli undantaget
DEF CON 34 öppnar den 6 augusti i västra hallen på Las Vegas kongresscenter, och brickan är inte det vanliga blinkande minnet. Den byggdes av Andrew Huang, hårdvaruforskaren känd som bunnie, kring ett chip han själv konstruerat och kallat Baochip-1x. Arrangörerna beskriver den som en fullvärdig och först i sitt slag granskningsbar plattform, och räknar upp vad den ska duga till efteråt: säkerhetsnyckel, lösenordshanterare, hårdvarusäkerhetsmodul och vacker ljusalstrare.
Specifikationen är inte leksaksmässig. Baochip-1x är en TSMC-komponent på 22 nanometer på en egen masksats, ungefär fyra millimeter per sida, med en VexRiscv-processor på 350 MHz och en minneshanteringsenhet, fyra in- och utgångskärnor på 700 MHz, 4 MiB resistivt och 2 MiB statiskt minne, kryptografiska acceleratorer, en äkta slumptalsgenerator, ett skyddande nät, störningssensorer och hårdvaruskyddade nyckelplatser. Produktionskvalificerade skivor finns i Hsinchu, med några tusen nakna chip planerade till slutet av 2026.
Det som förtjänar en ägares uppmärksamhet är inte kislet. Det är att flera tusen människor strax håller en säkerhetsnyckel vars konstruktion de kan kontrollera, något som nästan ingen med en säkerhetsnyckel kan göra i dag.
Granskningsbar betyder något bestämt här, och det tar slut någonstans
Påståendet är smalare och mer intressant än vad öppen källkod brukar antyda. Huang utvecklade en teknik som heter IRIS, för infrarött på plats, som använder infrarött ljus för att se på ett chips transistorer utan att löda loss det eller förstöra det. Baochip-1x kapslades medvetet för att fungera med den. Poängen är inte att du kan läsa konstruktionen. Den är att du kan titta på den fysiska komponenten i din hand och kontrollera att det tryckta mönstret är det som skulle finnas där.
Huang kallar konstruktionen till största delen öppen, och just den reservationen är det mest trovärdiga med den. Beräkningsblocken är publicerade för granskning. Busstommen, USB-gränssnittet och de analoga delarna inklusive faslåsslingan, spänningsregulatorerna och anslutningsytorna förblir stängda. Hans motivering är exakt: alla stängda delar är i praktiken ledningar, och de data som går in på ena sidan bör motsvara dem som kommer ut på den andra.
Du får gärna vara oense om var den gränsen går. Vad du inte kan är att få ett tydligare svar från en vanlig leverantör, för en vanlig leverantör drar ingen gräns alls. Ett kommersiellt säkert element är stängt från anslutningsytorna och inåt, och den enda försäkran som ges är ett certifieringsdokument som beskriver en process och inte komponenten på ditt bord.
Titta nu på det som redan hänger i din nyckelknippa
Gör samma prov på de förtroendeankare ditt företag redan är beroende av. Säkerhetsnycklarna dina administratörer bär. Plattformsmodulen som är fastlödd i varje bärbar dator du delar ut. Hårdvarusäkerhetsmodulen som håller dina signeringsnycklar. Det säkra elementet i betalterminalerna vid dina diskar. Var och en av dem finns just för att vara det du inte behöver lita på något annat om, och för var och en består ditt bevis av en leverantörs ord och ett certifikat.
Det är ingen anklagelse och inget argument för att byta ut något. De flesta av dessa delar är välgjorda och bakom certifieringsordningarna ligger verkligt arbete. Poängen är smalare: du har accepterat en icke verifierbar komponent exakt på den plats i din arkitektur där verifiering betyder mest, och du gjorde det för att det hittills inte fanns något annat att acceptera.
Detta blir affärsmässigt snarare än filosofiskt eftersom den försäkran du har gäller en tillverkningsprocess och inte den enskilda enhet som kom in i ditt hus. Ett certifikat säger att en konstruktion har bedömts. Det säger inte att chipet i den här kapseln är den konstruktionen. IRIS är intressant för att den tar sig an den andra frågan, alltså den som en revisor skulle ställa om språket för den fanns.
Europa är på väg att kräva öppenhet i fel skikt
Det som gör detta till en planeringspunkt i stället för en kuriositet är tidtabellen. Cyberresiliensförordningen börjar bita den 11 september 2026, när rapporteringsskyldigheterna gäller: den som tillverkar en produkt med digitala delar måste ge ENISA och det behöriga nationella insatsteamet en tidig varning inom 24 timmar från kännedom om en aktivt utnyttjad sårbarhet, en fylligare anmälan inom 72 timmar och en slutrapport inom 14 dagar. De väsentliga kraven, inklusive programvaruförteckningen, följer den 11 december 2027.
Läser man de två datumen tillsammans blir snedheten uppenbar. Europa bygger ett rättsligt system som till slut kommer att tala om vilken programvara som finns i en produkt, med en tidsfrist och en namngiven myndighet. Någon motsvarighet för vilket kisel som finns i den existerar inte. Om en sårbarhet i ett förtroendeankare av hårdvara utnyttjas i en produkt du tillverkar, löper din 24-timmarsklocka mot en komponent du aldrig kunnat undersöka och vars leverantör inte är skyldig dig något motsvarande utlämnande.
För en europeisk tillverkare är den luckan en tidsrisk och ingen abstraktion, eftersom rapporteringsplikten är din och ogenomskinligheten någon annans. För ett företag som bara köper in är utsattheten mildare men botemedlet detsamma: det du inte kan verifiera bör åtminstone stå namngivet i ett avtal.
Frågan som ska skickas den här veckan
Bygg inte om något kring en konferensbricka. Baochip-1x görs av ett enmansbolag i Delaware som är självfinansierat utan externa investerare, tillverkas via en partner som håller relationen med TSMC och siktar på allmän tillgänglighet i slutet av året. Det är en seriös ingenjörsinsats på en tunn affärsmässig grund, och att behandla det som ett inköpsalternativ i dag vore fel lärdom.
Den rätta kostar ett mejl. Fråga varje leverantör av säkerhetsnycklar, hårdvarumoduler eller säkra element vilket oberoende bevis de kan lämna för att chipet i en levererad enhet motsvarar den publicerade konstruktionen, och spara det som kommer tillbaka. De flesta svar hänvisar till ett certifieringssystem, och att veta det exakt är värdefullt just för att det inte är samma påstående. När ett team till slut sätter en siffra på det är beloppet litet och känt: 200 säkerhetsnycklar för omkring 550 kronor styck är en post på 110 000 kronor, och beslutet det underbygger är värt mer än så.
Läs vidare: Dörren som stod öppen var paketkällan | 16.000 företag delar leverantörsrisken. Inte du
