Características de seguridad del dispositivo de AWS Panorama

Cifrado de disco completo: el dispositivo implementa el cifrado de disco completo con la configuración de claves unificadas de Linux (LUKS2). Todos los datos del software y de las aplicaciones del sistema se cifran con una clave específica del dispositivo. Incluso con acceso físico al dispositivo, un atacante no puede inspeccionar el contenido de su almacenamiento.

Asignación al azar del diseño de la memoria: para protegerse contra los ataques dirigidos al código ejecutable cargado en la memoria, el dispositivo de AWS Panorama utiliza la asignación al azar del diseño del espacio de direcciones (ASLR). La ASLR asigna la ubicación del código del sistema operativo al azar a medida que se carga en la memoria. Esto evita el uso de exploits que intenten sobrescribir o ejecutar secciones específicas del código al predecir dónde se almacenará durante el tiempo de ejecución.

Entorno de ejecución de confianza: el dispositivo utiliza un entorno de ejecución de confianza (Trusted Execution Environment, TEE) basado en ARM TrustZone, con recursos de almacenamiento, memoria y procesamiento aislados. Solo una aplicación de confianza, que se ejecuta en un sistema operativo independiente dentro del TEE, puede acceder a las claves y otros datos confidenciales almacenados en la zona de confianza. El software del dispositivo de AWS Panorama se ejecuta en un entorno Linux que no es de confianza junto con el código de la aplicación. Solo puede acceder a las operaciones criptográficas realizando una solicitud a la aplicación segura.

Aprovisionamiento seguro: al aprovisionar un dispositivo, las credenciales (claves, certificados y otro material criptográfico) que transfiera al dispositivo solo son válidas durante un período breve de tiempo. El dispositivo utiliza las credenciales de corta duración para conectarse a AWS IoT y solicita un certificado para sí mismo que sea válido durante más tiempo. El servicio AWS Panorama genera credenciales y las cifra con una clave codificada en el dispositivo. Solo el dispositivo que solicitó el certificado puede descifrarlo y comunicarse con AWS Panorama.

Arranque seguro: cuando el dispositivo se inicia, cada componente de software se autentica antes de ejecutarse. La ROM de arranque, un software codificado en el procesador que no se puede modificar, utiliza una clave de cifrado codificada para descifrar el gestor de arranque, lo que valida el núcleo del entorno de ejecución de confianza, etc.

Núcleo firmado: los módulos del núcleo se firman con una clave de cifrado asimétrica. El núcleo del sistema operativo descifra la firma con la clave pública y comprueba que coincide con la firma del módulo antes de cargarla en la memoria.

dm-verity: de forma similar a como se validan los módulos del núcleo, el dispositivo utiliza la función dm-verity del mapeador de dispositivos Linux para comprobar la integridad de la imagen del software del dispositivo antes de montarlo. Si se modifica el software del dispositivo, no se ejecutará.

Prevención de reversión: al actualizar el software del dispositivo, el dispositivo funde un fusible electrónico en el SoC (sistema integrado en un chip). Cada versión del software prevé que se queme un número cada vez mayor de fusibles y no podrá funcionar si se queman más fusibles.