Root of Trust: het onaantastbare startpunt van digitale beveiliging
Elke keer dat je smartphone opstart, gebeurt er iets wat je nooit ziet: het toestel controleert of de allereerste software die het uitvoert wel echt van de fabrikant komt en niet stiekem is aangepast door een hacker. Die controle moet ergens beginnen, en dat beginpunt moet zelf onaantastbaar zijn, anders kun je net zo goed niets controleren. Dat onaantastbare beginpunt heet de Root of Trust: letterlijk de "wortel van vertrouwen", een klein stukje hardware of software waarvan de beveiliging niet ter discussie staat en waarop alle andere beveiliging in het apparaat voortbouwt.
Vergelijk het met een notaris die een handtekening waarmerkt. Jij vertrouwt een document omdat de notaris het heeft gestempeld, en je vertrouwt de notaris omdat die is aangesteld door de overheid. Ergens in die keten moet een instantie zijn die je gewoon moet vertrouwen, zonder verdere check, anders loop je oneindig door met de vraag "maar wie controleert de controleur?". In een computer is de Root of Trust die laatste schakel: een chip of stukje code dat al bij de fabricage is vastgelegd en dat nooit meer op afstand kan worden gewijzigd. Vanaf dat vaste punt bouwt het apparaat, stap voor stap, een vertrouwensketen op naar het besturingssysteem en de apps die je gebruikt.
Wat is het precies?
Een Root of Trust bestaat meestal uit drie ingrediënten: een stukje hardware dat fysiek moeilijk te manipuleren is, een geheime sleutel die daarin is ingebakken, en een klein programma dat als eerste draait bij het opstarten.
Dat proces heet secure boot, oftewel geverifieerd opstarten. Bij het aanzetten van een apparaat controleert de Root of Trust eerst de digitale handtekening van de volgende softwarelaag, bijvoorbeeld de bootloader, met behulp van cryptografie (wiskundige technieken om berichten te versleutelen en handtekeningen te verifiëren). Klopt de handtekening, dan mag die laag starten, en die laag controleert op zijn beurt de laag erna, enzovoort. Zo ontstaat een keten van vertrouwen helemaal tot aan het besturingssysteem. Is er ook maar één schakel gemanipuleerd, dan stopt het opstartproces of slaat het apparaat alarm.
De sleutel waarmee dit gebeurt, staat vaak in speciale hardware die is afgeschermd van de rest van de chip: een Trusted Platform Module (TPM), een Secure Enclave, of een apart beveiligd gebied binnen de hoofdprocessor, zoals ARM TrustZone. Dat afschermen is essentieel, want als de sleutel via software uitleesbaar zou zijn, kon een aanvaller hem stelen en zelf valse handtekeningen zetten. Sommige chips gebruiken daarvoor een Physical Unclonable Function (PUF): microscopische, toevallige productieverschillen in het silicium leveren een unieke digitale vingerafdruk op die niet te kopiëren is, zelfs niet door de fabrikant zelf.
Een Root of Trust werkt niet alleen bij het opstarten. Moderne systemen gebruiken hem ook om software-updates te controleren, om tegenover een server te bewijzen dat een apparaat ongewijzigd is (attestation, oftewel betrouwbaarheidsverklaring), en om encryptiesleutels voor opgeslagen data te beschermen.
Wat wil men ermee bereiken?
Het idee erachter is simpel: kun je niet vertrouwen op de onderste laag van een systeem, dan is alle beveiliging daarboven zinloos. Een virusscanner op een besturingssysteem waarvan de kern al gemanipuleerd is, kan worden misleid. Encryptie met een sleutel die uit software te stelen is, biedt weinig bescherming. Door vertrouwen te verankeren in hardware die fysiek lastig te wijzigen is, wil men aanvallen tegengaan die dieper zitten dan een gewoon virus, zoals manipulatie van firmware (de basissoftware die hardware aanstuurt) via zogeheten rootkits of bootkits.
Een tweede doel is betrouwbare identificatie van apparaten. Bedrijven en clouddiensten willen kunnen vaststellen of een laptop, server of IoT-sensor (Internet of Things, een slim apparaat dat via internet communiceert) daadwerkelijk het apparaat is dat het beweert te zijn, en of het niet gemanipuleerd is, voordat toegang tot een netwerk wordt verleend. Een Root of Trust levert daarvoor een soort onvervalsbaar geboortecertificaat.
Ten derde speelt regelgeving een rol. Overheden en sectoren als de auto-industrie en de medische wereld eisen steeds vaker aantoonbare hardwarebeveiliging, onder meer om te voldoen aan normen voor de weerbaarheid van kritieke infrastructuur.
Voorbeelden uit de praktijk
Apple introduceerde in 2013 de Secure Enclave, een aparte coprocessor in de iPhone 5S die vingerafdrukgegevens voor Touch ID en later gezichtsdata voor Face ID opslaat, gescheiden van de hoofdprocessor. Zelfs Apple zelf kan die data niet uitlezen.
Google bouwde de Titan-chip: eerst als losse usb-beveiligingssleutel (Titan Security Key, 2018) en vervolgens ingebakken als Titan M-chip in de Pixel 3-smartphone, om de integriteit van het besturingssysteem te bewaken en gestolen toestellen minder bruikbaar te maken.
Microsoft kondigde in 2020 Pluton aan, een beveiligingsprocessor die het samen met chipmakers AMD, Intel en Qualcomm rechtstreeks in hun processoren integreert in plaats van als los onderdeel op het moederbord. Het idee: een geïntegreerde Root of Trust biedt minder aanvalsvlak dan een chip die via een aparte verbinding met de rest van het systeem communiceert.
Amazon gebruikt binnen zijn cloudplatform AWS het Nitro System, met een speciale Nitro Security Chip die controleert of de servers waarop klanten draaien niet stiekem zijn aangepast, belangrijk omdat klanten de fysieke hardware nooit zelf zien.
Ook in de auto-industrie wint de techniek terrein: moderne auto's bevatten tientallen boordcomputers (ECU's) die elkaar aansturen, en fabrikanten bouwen daar Hardware Security Modules (HSM's) in als Root of Trust, mede gedreven door de veiligheidsnorm ISO/SAE 21434 uit 2021 voor cyberbeveiliging in voertuigen.
Hoe ver is de techniek?
Root of Trust is, anders dan veel opkomende technologieën, al volledig operationeel en op grote schaal ingezet. TPM-chips zitten al jaren in bedrijfslaptops, en sinds Windows 11 in 2021 als systeemeis gold, ook in vrijwel elke nieuwe consumenten-pc. Smartphones van Apple, Google, Samsung en anderen hebben allemaal een vorm van hardwarematige Root of Trust.
De ontwikkeling zit nu vooral in verfijning en uitbreiding, niet in het bewijzen dat het concept werkt. Belangrijke trends zijn het verkleinen en goedkoper maken van de techniek, zodat ook eenvoudige IoT-apparaten zoals sensoren en slimme stopcontacten een Root of Trust kunnen krijgen (de TCG-standaard DICE, Device Identifier Composition Engine, is daarvoor ontworpen), en het dichter integreren van de beveiligingschip in de hoofdprocessor, zoals bij Pluton.
Toch is het geen onfeilbaar systeem. Onderzoekers hebben herhaaldelijk kwetsbaarheden gevonden, bijvoorbeeld in specifieke TPM-implementaties of in de manier waarop fabrikanten sleutels beheren bij productie. Een Root of Trust verkleint het aanvalsoppervlak drastisch, maar sluit fysieke aanvallen met gespecialiseerde laboratoriumapparatuur, zogeheten side-channel- of glitch-aanvallen, niet volledig uit. Ook blijft het een zwakke schakel als de sleutels van fabrikanten worden gestolen of als toeleveringsketens worden gemanipuleerd, een risico dat overheden inmiddels serieus meewegen bij het inkopen van chips.
Wie werken eraan?
De standaarden komen grotendeels van de Trusted Computing Group (TCG), een samenwerkingsverband van chipfabrikanten en softwarebedrijven dat de TPM- en DICE-specificaties beheert. Het Amerikaanse standaardeninstituut NIST publiceert richtlijnen zoals SP 800-193 over de weerbaarheid van firmware.
Op het gebied van chips en producten lopen Apple, Google, Microsoft, Intel, AMD, Qualcomm en Samsung voorop, elk met een eigen implementatie zoals hierboven beschreven. Chipfabrikanten als Infineon, STMicroelectronics en NXP leveren gespecialiseerde beveiligingschips aan andere bedrijven, die deze inbouwen in producten variërend van betaalpasjes tot auto-onderdelen. ARM levert met TrustZone de onderliggende technologie die door talloze smartphone- en embedded-chipmakers wordt gebruikt.
Ook overheden zijn direct betrokken. Naast NIST in de Verenigde Staten stellen de Europese Unie en het Duitse BSI (Bundesamt für Sicherheit in der Informationstechnik) eisen aan hardwarebeveiliging voor kritieke infrastructuur en overheidsapparatuur. China ontwikkelt met TCM (Trusted Cryptography Module) een eigen, vergelijkbare standaard, deels om onafhankelijk te zijn van westerse specificaties.