Hardware-attestatie: hoe een chip bewijst dat hij niet gelogen heeft
Stel je voor dat je een pakketje ontvangt en wilt weten of het onderweg is geopend. Een simpel plakbandje zegt niet veel: dat kan iedereen vervangen. Maar een verzegeling met een uniek, vervalsingsbestendig hologram dat alleen de afzender kan aanbrengen, is een ander verhaal. Als het hologram intact is, weet je zeker dat de inhoud is wat de afzender beloofde. Hardware-attestatie doet iets vergelijkbaars met computers en telefoons: een klein, afgeschermd stukje chip in het apparaat kan cryptografisch "bewijzen" welke software er draait en of daar sinds de fabriek aan is geknoeid.
Dat klinkt abstract, maar het probleem dat het oplost is heel concreet. Als je inlogt bij je bank, of als een bedrijf gevoelige data verwerkt op een server die ergens in een datacenter van een cloudleverancier staat, moet je erop kunnen vertrouwen dat het apparaat is wat het beweert te zijn: geen gerooteerde telefoon met verborgen malware, geen gemanipuleerde server waar een beheerder stiekem meeleest. Software alleen kan dat vertrouwen niet leveren, want software kan altijd door andere software worden nagemaakt of omzeild. Hardware-attestatie legt het bewijs daarom vast in fysieke chips die zijn ontworpen om onmogelijk (of extreem moeilijk) te vervalsen.
Wat is het precies?
De kern van hardware-attestatie is een geheime sleutel die nooit het apparaat verlaat. Bij de fabricage van een chip wordt een uniek cryptografisch sleutelpaar aangemaakt: een geheime sleutel die permanent binnen in een afgeschermd stukje silicium blijft opgesloten, en een bijbehorende publieke sleutel die de fabrikant registreert. Dat afgeschermde onderdeel heet vaak een Trusted Platform Module (TPM), een secure element of een secure enclave: een soort kluisje binnen de chip, met eigen rekenkracht, dat zelfs de rest van het besturingssysteem niet zomaar kan uitlezen.
Wanneer het apparaat opstart, meet dit kluisje stap voor stap wat er gebeurt: welke bootloader wordt geladen, welke versie van het besturingssysteem, of beveiligingsinstellingen zijn aangepast. Van elke stap wordt een cryptografische vingerafdruk (een hash, een soort onvervalsbaar samenvattend getal) opgeslagen. Dit heet secure boot of measured boot: het apparaat onthoudt niet alleen dát het is opgestart, maar exact hóe.
Als een externe partij — een bank-app, een cloudserver, een collega-apparaat — wil weten of het apparaat te vertrouwen is, stuurt die een willekeurige uitdaging (een nonce, om te voorkomen dat oude antwoorden worden hergebruikt). Het kluisje in de chip ondertekent die uitdaging samen met de opgeslagen vingerafdrukken, met de geheime sleutel die het apparaat nooit verlaat. De ontvanger controleert die handtekening met de publieke sleutel en met een lijst van bekende, goedgekeurde vingerafdrukken. Klopt alles, dan weet de ontvanger: dit is een echt, ongewijzigd apparaat met precies deze software erop. Dat hele proces heet remote attestation.
Wat wil men ermee bereiken?
Het achterliggende doel is vertrouwen op afstand, zonder dat je iemand op zijn woord hoeft te geloven. Voor consumenten betekent dit bijvoorbeeld dat een streamingdienst of bank kan controleren dat een telefoon niet is "gejailbreakt", voordat gevoelige content of een betaling wordt toegestaan.
Voor bedrijven en cloudcomputing is de inzet groter. Wie gevoelige data — medische dossiers, financiële transacties, bedrijfsgeheimen — laat verwerken op een server van een externe cloudleverancier, wil eigenlijk dat zelfs de leverancier zelf niet kan meekijken. Dat streven heet confidential computing: data blijven versleuteld, behalve binnenin een afgeschermd stukje processor, en attestatie bewijst aan de klant dat die afscherming daadwerkelijk actief is voordat er gevoelige gegevens naartoe worden gestuurd.
Een derde motivatie is bescherming tegen supply chain-aanvallen: kwaadwillenden die al vóór aflevering malware op apparaten of servers installeren. Attestatie maakt zulke manipulatie in principe zichtbaar, omdat de vingerafdrukken van de software niet meer overeenkomen met wat verwacht wordt.
Voorbeelden uit de praktijk
De Trusted Platform Module is het bekendste voorbeeld. Dit is een open standaard van de Trusted Computing Group, sinds 2009 vastgelegd als TPM 1.2 en later doorontwikkeld naar TPM 2.0 (internationaal gestandaardiseerd als ISO/IEC 11889). Miljoenen laptops en zakelijke pc's hebben een TPM-chip, en sinds Windows 11 (2021) is een TPM 2.0-module een officiële systeemeis van Microsoft — wat destijds tot de nodige discussie leidde, omdat veel oudere pc's daardoor niet meer in aanmerking kwamen voor de upgrade.
Intel introduceerde in 2015, met de Skylake-generatie processors, Software Guard Extensions (SGX): een technologie waarmee stukjes software in een afgeschermde "enclave" binnen de processor kunnen draaien, onzichtbaar voor de rest van het systeem, inclusief het besturingssysteem zelf. Intel haalde SGX later (rond 2021) van consumentenprocessors af, maar zet de technologie voort op serverchips voor zakelijke confidential-computingtoepassingen.
Apple bouwt sinds de iPhone 5s (2013, met de A7-chip) een Secure Enclave in zijn processors: een gescheiden co-processor die vingerafdruk- en gezichtsherkenningsdata en cryptografische sleutels beheert, los van de hoofdprocessor.
Google gebruikt sinds 2017 een eigen beveiligingschip, Titan, in Google Cloud-datacenters en Chromebooks, om de integriteit van firmware te bewaken vanaf het allereerste opstartmoment. Een afgeleide versie, Titan M, kwam in 2018 in de Pixel 3-telefoon terecht, gevolgd door de verbeterde Titan M2 in de Pixel 6 (2021).
Ook in tweefactorauthenticatie speelt attestatie een rol: hardwaresleutels die voldoen aan de FIDO2/WebAuthn-standaard, zoals een YubiKey, kunnen aan een website bewijzen dat het om een echt, ongemanipuleerd stukje hardware gaat en niet om een softwarematige nabootsing.
Hoe ver is de techniek?
Hardware-attestatie is voor een deel allang gangbare praktijk: TPM-chips zitten al jaren standaard in zakelijke laptops, en smartphones van Apple en Google bevatten al sinds het midden van de jaren 2010 een vorm van secure element. In die zin is de basistechnologie volwassen en breed uitgerold.
Waar het front van de ontwikkeling nu ligt, is confidential computing op grotere schaal in de cloud: Microsoft Azure, Google Cloud en Amazon (met zogeheten Nitro Enclaves) bieden allemaal varianten van servers waarbij klanten via attestatie kunnen verifiëren dat hun data in een afgeschermde omgeving wordt verwerkt. AMD heeft hiervoor zijn SEV-technologie (Secure Encrypted Virtualization, sinds 2016) doorontwikkeld tot SEV-SNP, breed beschikbaar sinds de EPYC "Milan"-serverchips uit 2021. ARM kondigde in 2021 met Armv9 een vergelijkbare aanpak aan onder de naam Confidential Compute Architecture (CCA), die inmiddels in nieuwere ARM-serverchips terug te vinden is.
De belangrijkste obstakels zijn niet zozeer de cryptografie zelf — die wordt als solide beschouwd — maar de praktische kwetsbaarheden eromheen. Onderzoekers hebben herhaaldelijk aanvallen gedemonstreerd op specifieke implementaties van SGX en vergelijkbare technologieën (zoals side-channel-aanvallen, waarbij informatie via bijvoorbeeld timing of stroomverbruik lekt in plaats van via een directe fout in het protocol). Dat betekent niet dat het concept faalt, maar wel dat "attestatie zegt dat het veilig is" niet automatisch hetzelfde is als "het is ook daadwerkelijk onder alle omstandigheden veilig". Daarnaast blijft interoperabiliteit tussen leveranciers een knelpunt: attestatie van een Intel-chip werkt niet zomaar hetzelfde als die van AMD of ARM, wat standaardisatie-initiatieven (zoals die van de Confidential Computing Consortium) probeert te verhelpen, met wisselend tempo.
Wie werken eraan?
De basisstandaarden voor TPM's worden beheerd door de Trusted Computing Group, een samenwerkingsverband van chipmakers en softwarebedrijven. Voor confidential computing is de Confidential Computing Consortium (opgericht in 2019, ondergebracht bij de Linux Foundation) het belangrijkste platform, met leden als Intel, AMD, ARM, Google, Microsoft, IBM/Red Hat en Alibaba.
Op chipniveau zijn de grote spelers Intel (SGX, TDX), AMD (SEV/SEV-SNP), ARM (TrustZone, Confidential Compute Architecture) en Apple (Secure Enclave). Onder de cloudleveranciers investeren Microsoft Azure, Google Cloud en Amazon Web Services alle drie fors in confidential-computingdiensten die op deze hardware voortbouwen. Voor authenticatiestandaarden is de FIDO Alliance toonaangevend, en overheidsinstanties zoals het Amerikaanse NIST publiceren richtlijnen over attestatie en apparaatvertrouwen die ook buiten de VS als referentie dienen.