Im Internet der Dinge (IoT) ist ein herkömmliches Trusted Platform Module (TPM), das für die Architekturen leistungsfähiger PCs entwickelt wurde, nicht immer die beste Wahl. Doch gerade die wachsende Zahl einfacher und mit nur geringen Ressourcen ausgestatteter Edge-Geräte erfordert zuverlässige Sicherheitsmechanismen. Ein sicheres Gerät, das mit TPM-Funktionen – beispielsweise von NXP – ausgestattet ist, bietet einen hochgradigen Schutz in einem für den IoT-Betrieb besser geeigneten Format.
Die Computerindustrie verlässt sich seit Langem auf eine spezielle Art von sicherem Kryptoprozessor, dem sogenannte Trusted Platform Module (TPM). Damit lassen sich PCs, Laptops, Netzwerkgeräte und andere Computer hardwarebasiert schützen. Während im Computerbereich das TPM hauptsächlich dazu verwendet, die für den Schutz von Benutzerpasswörtern, die Festplattenverschlüsselung und die vertrauenswürdige Ausführung erforderlichen Anmeldeinformationen sicher zu speichern, stellen Embedded- sowie Edge-Geräte meist andere Anforderungen. Die für den PC-Einsatz geeigneten TPM-Chips enthalten in der Regel Produktkonfigurationsregister (PCRs), die es ermöglichen, die installierte SW- und Systemkonfiguration zu verfolgen und die Vertrauenswürdigkeit der Computerplattform über einen längeren Zeitraum zu gewährleisten. Die TPM-Funktionalität ist in ISO/IEC 118889 spezifiziert, und der TPM-Betrieb ist von der Trusted Computing Group (TCG) zertifiziert. Die TCG ist eine Branchenorganisation, die von führenden Computerplattformunternehmen gegründet wurde.
Anforderungen der IoT-Geräte
Geräte, die im Internet der Dinge (IoT) betrieben werden, sind prinzipiell mit denselben Risiken konfrontiert wie Computer, die mit einem Netzwerk verbunden sind. Aus der IoT-Perspektive kann jedoch das Hinzufügen selbst eines kompakten TPM zu einem übermäßigen Overhead in Bezug auf die Größe des SW-Stacks und die Plattformressourcen führen, die für die Steuerung des TPM erforderlich sind, wobei es nicht die Flexibilität und die Kryptofunktionalität bietet, die für die Unterstützung IoT-spezifischer Aufgaben erforderlich sind, wie den Aufbau einer sicheren Netzwerkverbindung, das Onboarding in mehreren Clouds, das Speichern mehrerer Schlüssel zur Authentifizierung von Daten oder die sichere Verbindung mit weiteren Geräten. Diese Anwendungsfälle waren für herkömmliche Computer-TPMs nicht vorgesehen.
Aufgrund des unterschiedlichen Bedrohungsscenarios sowie des meist kompakten Formfaktors benötigen IoT-Geräte zusätzliche Funktionen, die ein herkömmliches TPM in der Regel nicht bietet, wie die sichere Anbindung an den Host-Controller (beispielsweise über das von Global Platform standardisierte Secure Channel Protocol 03 oder SCP03), eine geringe Grundfläche, die auch in kompakte Geräte passt, oder die Programmierbarkeit, um die Sicherheitslogik an den Typ des IoT-Geräts anzupassen. Um den spezifischen Anforderungen des IoT gerecht zu werden, können Entwickler die TPM-Funktionalität mit einem sicheren Element versehen, das speziell für den IoT-Betrieb entwickelt wurde.
Skalierbare Lösung
Das EdgeLock SE050 ist eine manipulationssichere, hardwarebasierte Komponente mit einem vorinstallierten Applet, das für IoT-Anwendungsfälle optimiert ist und die geeignete TPM-Funktionalität bereitstellt. Die gesamte Familie der EdgeLock-SE050-Komponenten, von der Einstiegs- bis zur High-End-Version, bietet TPM-ähnliche Funktionen, wie eine sichere kryptografische Verarbeitung und die sichere Schlüsselspeicherung sowie die Erzeugung und Speicherung eindeutiger IDs.
Darüber hinaus umfasst die Produktfamilie Funktionen zur Zertifizierung und Produktkonfigurationsregister, um den Zustand des Geräts auch remote zu überprüfen. Die besondere Eigenschaft des EdgeLock SE050 gegenüber herkömmlichen TPMs liegt darin, dass er mehr IoT-relevante Funktionen und eine größere Vielfalt an Entwicklungs- und Nutzungsmodellen unterstützt und sowohl in winzigen Sensoren als auch in leistungsfähigen IoT-Geräten wie Edge-Computing-Plattformen eingesetzt werden kann.
Der EdgeLock SE050 geht über den grundlegenden TPM-Betrieb hinaus und bietet spezielle Unterstützung für den IoT-Betrieb, einschließlich eines flexibleren Ansatzes für die Verwaltung von Anmeldedaten und Benutzerrichtlinien. Pro Berechtigungsobjekt sind mehr Benutzer/Richtlinien-Kombinationen möglich, und der IC unterstützt die sichere Bindung an eine Host-MCU (über das Standard-SCP03-Protokoll). Der IC ermöglicht das Einfrieren von Schlüsseln (und verhindert so das Löschen durch andere Beteiligte), die Konfiguration von Zugriffsrechtsrichtlinien auf dem großen On-Chip-Speicher und unterstützt in Kombination mit dem EdgeLock-2GO-Service von NXP die Verwaltung von Schlüsseln und digitalen Zertifikaten über Funk im Feld.
Der IC unterstützt auch Multi-Tenancy, d. h. mehrere Beteiligte (z. B. Gerätehersteller, Wartungs- oder Infrastrukturbetreiber) können dasselbe sichere EdgeLock-SE050-Element verwenden, um ihre sensiblen Daten und Berechtigungsnachweise sicher zu speichern. Um die Integration zu vereinfachen und Entwicklungszeit zu sparen, unterstützt der EdgeLock SE050 die sichere Bindung an den Prozessor, nicht nur auf der Plattform-, sondern auch auf der Anwendungsebene. Der geringe Speicherplatzbedarf passt gut zu IoT-Formaten und macht die Implementierung kostengünstiger.
Vorinstallierte Funktionalitäten
Um einfache IoT-Knoten mit Strom zu versorgen, ist die Thin-Plug&Trust-Middleware, die auf dem Host-Mikroprozessor oder Mikrocontroller läuft, in ihrer Größe optimiert. Um eine schnelle Migration von einem herkömmlichen TPM zu einem EdgeLock SE050 zu ermöglichen, bietet diese Middleware eine TSS-Anpassungsschicht zur einfachen Integration in den TPM-Software-Stack (TSS). Die Vorintegration mehrerer Controller-, Prozessor- und Krypto-Bibliotheken, einschließlich OpenSSL und mbedTLS, ist ein weiteres Merkmal, das den Aufwand reduziert und Entwicklungszeit spart.
Das EdgeLock SE050 ist Teil des NXP EdgeLock Assurance Programms und bietet zertifizierte Sicherheit gemäß Common Criteria Framework mit EAL6+ AVA_VAN.5 Widerstandsniveau auf Hardware- aber auch auf Betriebssystemebene. Die sicheren Elemente des EdgeLock SE05x sind außerdem auf Skalierbarkeit ausgelegt und können einfach konfiguriert werden, um bestehende und künftige Standards zu unterstützen, wie z. B. CHIP (Connected Home over IP) für Smart Home, DLMS-COSEM für Smart Metering, ISA/IEC 62443 für Industrial Control Security und die Open Platform Communication United Architecture (OPC UA), die Datenaustauschstandards für die industrielle Kommunikation definiert.
