Čo je Certifikovaný zabezpečený prvok (SE)?
Certifikovaný zabezpečený prvok (SE) je malý, odolný voči zásahom čip, ktorý uchováva tajomstvá ako privátne kľúče a vykonáva kryptografiu vo vnútri uzavretej miestnosti. Certifikovaný znamená, že čip prešiel testovaním bezpečnosti tretími stranami. Predstavte si ho ako trezor so svojím vlastným mozgom a veľmi prísnym dozorcom.
“Všetky zabezpečené prvky sú rovnaké.” Nie je to pravda. Certifikovaný zabezpečený prvok (SE) môže niesť veľmi odlišné certifikácie a úrovne odolnosti voči útokom a dizajn peňaženky okolo neho veľmi záleží.
Ako funguje Certifikovaný zabezpečený prvok (SE)
Rýchly príbeh. Chcete podpísať kryptotransakciu zo svojho telefónu alebo hardvérovej peňaženky. Hlavné zariadenie pošle čipu požiadavku na podpis, ale Certifikovaný zabezpečený prvok (SE) drží privátny kľúč vo vnútri a vráti podpis len v prípade, že kontroly prešli.
- Štart: Hostiteľské zariadenie pošle požiadavku na podpis spolu s údajmi o transakcii do SE.
- Overenie: SE skontroluje PIN alebo politiku a môže potvrdiť na obrazovke alebo tlačidle.
- Derivácia: Kľúče sú odvodené a udržiavané interne, často cez logiku podobnú BIP32, nikdy neopúšťajú čip.
- Podpis: SE vypočíta podpis vo vnútri pomocou kryptografických motorov na hardvérovej úrovni a obranní proti bočným kanálom.
- Vrátenie: Iba podpis sa vráti k hostiteľovi. Privátny kľúč zostáva uzamknutý v trezore, áno, tak to je jednoduché.
Ak niečo vyzerá nesprávne, SE odmietne. Opakované zlyhania môžu spôsobiť meškanie alebo zámky.
Prečo je dôležitý Certifikovaný zabezpečený prvok (SE)
Staráte sa o to, lebo kľúče sú peniaze. Malware miluje kľúče. Certifikovaný zabezpečený prvok (SE) znižuje šancu, že zo seba uniknú.
- Prínos: Silnejšia ochrana pre privátne kľúče, aj keď je telefón alebo notebook infikovaný.
- Pozízia: Crypto peňaženky používajú SE na podporu dôvery s testovaním a auditmi.
- Relevancia: Všimnete si SE v hardvérových peňaženkách, telefónoch s kontaktom na platbu a dokonca aj pasoch, ktoré dokazujú vašu totožnosť.
Žiadajte certifikát a úroveň. Napríklad CC EAL5 plus alebo zápis v overeniach FIPS 140. Ak sa produkt vyhne detailom, považujte to za dátový bod.
Kľúčové charakteristiky Certifikovaného zabezpečeného prvku (SE)
Čo ho robí výnimočným:
- Certifikácia: Nezávislé labá testujú podľa uvedených hrozieb a uverejňujú správy alebo zoznamy.
- Izolácia: Tajomstvá a kryptografia bežia v čipe, nie v bežnej systémovej pamäti.
- Odolnosť: Ochrana proti fyzickému skúmaniu, chybovému vkladaniu a bočným kanálom.
- Entropia: Hardvérové generátory náhodných čísel zasievajú kľúče silnou náhodnosťou.
- Atestácia: Niektoré SE dokážu preukázať, že sú legitímne a bežia na schválenom firmvéri.
- Obmedzenia: Pokusy o PIN a oneskorenia pomáhajú zastaviť útoky hrubou silou.
Variácie
Rôzne varianty a príbuzní, s ktorými sa stretnete:
- eSE: Vložený SE zvarný do telefónov a nositeľov pre platby a kľúče.
- UICC: SE v štýle SIM karty používaný operátormi, tiež použitý pre eSIM.
- MicroSD: SE balený ako pamäťová karta pre špeciálne zariadenia.
- TPM: Dôveryhodný modul platformy pre PC, podobný nápad, ale určený pre boot a kľúče na disku.
- TEE: Dôveryhodné prostredie vykonávania v hlavnom čipe, užitočné, ale nie úplne rovnaká izolácia ako samostatný SE.
- EMVCo: Bezpečnostné posúdenia platobnej úrovne, pozrite si EMVCo bezpečnosť.
- YubiKey: Kľúče s dizajnom založeným na SE pre 2FA a PGP.
Certifikovaný zabezpečený prvok (SE) je jednou súčasťou bezpečnostného príbehu. Firmvér aktualizácie, kontroly dodávateľského reťazca a používateľské návyky sú stále dôležité. Najlepší čip nezachráni zlý klik.
Príklad
Stlačíte potvrdenie na hardvérovej peňaženke a Certifikovaný zabezpečený prvok (SE) podpíše transakciu v čipe, pošle iba podpis na váš notebook na vysielanie.
Zaujímavosť
Rovnaká trieda zabezpečených čipov v kartách, ktoré sa dotýkajú pre platby, sa tiež nachádza v mnohých hardvérových peňaženkách, a aj váš ePassport pravdepodobne má jeden, Rolex potrebuje Reddit diskusie.
Zhrnutie
Króka verzia: Certifikovaný zabezpečený prvok (SE) je uzamknutý trezor pre kľúče, ktorý dokazuje, že bol testovaný, takže kliknete na odoslanie s menšou obavami.