Secure Boot
Secure Boot je bezpečnostný mechanizmus, ktorý zabezpečuje, že zariadenie po zapnutí spustí iba autentifikovaný a nemodifikovaný firmvér. Vytvára kryptografický reťazec dôvery — od prvej inštrukcie po zapnutí až po operačný systém — a je základným pilierom bezpečnosti vstavaných systémov.
Ako Secure Boot funguje?
Proces secure boot vytvára reťazec verifikácie, kde každý stupeň overuje nasledujúci:
- Nemenná Boot ROM — Malý bootloader vypálený do kremíku počas výroby. Je to hardvérový koreň dôvery — žiadny softvér ho nemôže zmeniť.
- Bootloader prvého stupňa — Boot ROM overí kryptografický podpis (napr. Ed25519, RSA-4096 alebo post-kvantový ML-DSA) pred spustením.
- Bootloader druhého stupňa — Overený prvým stupňom. Načíta a autentifikuje jadro alebo RTOS.
- Aplikačný firmvér — Posledný stupeň, overený pred spustením.
Ak akýkoľvek stupeň zlyhá pri overení, zariadenie sa zastaví alebo prejde do bezpečného režimu obnovy.
| Komponent | Úloha | Mechanizmus integrity |
|---|---|---|
| Boot ROM | Hardvérový koreň dôvery | Mask ROM — fyzicky nemenná |
| Fuse bank (OTP) | Ukladá hash koreňového verejného kľúča | Jednorazovo programovateľné |
| Bootloader | Načíta a overí nasledujúci stupeň | Overenie digitálneho podpisu |
| Firmvér | Aplikačný kód | Podpísaný obraz s ochranou proti rollbacku |
Prečo je Secure Boot kritický?
Bez secure boot je zariadenie zraniteľné voči:
- Útokom injekciou firmvéru — Škodlivý kód nahradí legitímny firmvér.
- Manipulácii v dodávateľskom reťazci — Modifikovaný softvér vložený počas výroby.
- Perzistentným rootkitom — Malvér, ktorý prežije továrenský reset.
- Rollback útokom — Návrat k staršiemu firmvéru so známymi zraniteľnosťami.
EU Cyber Resilience Act (CRA) bude od roku 2027 vyžadovať secure boot pre všetky produkty pripojené na internet predávané v EÚ.
Implementačné prístupy
ARM Platform Security Architecture (PSA)
Najrozšírenejší framework pre IoT secure boot. Definuje bezpečné (SPE) a nebezpečné (NSPE) prostredia pomocou ARM TrustZone.
FPGA Secure Boot
Pre FPGA návrhy secure boot zahŕňa šifrovanie bitstreamu (AES-256-GCM), autentifikáciu pomocou ECDSA alebo RSA a ukladanie kľúčov v on-chip BBRAM alebo eFUSE.
Súvisiace pojmy
- HSM — Dedikovaný hardvér na správu kryptografických kľúčov.
- IoT — Pripojené zariadenia, kde je secure boot nevyhnutný.
- EU Cyber Resilience Act — Regulácia vyžadujúca secure boot pre produkty na trhu EÚ.