Anbieter zum Thema

Microsemi Corp.

MicroConsult Academy GmbH

Heitec AG

E.E.P.D. Electronic Equipment Produktion & Distribution GmbH

Gewährleistung der Datensicherheit in Mid-Range-FPGAs

Immer mehr Geräte müssen mit der Cloud oder mit anderen Geräten verbunden werden und die Datensicherheit eines Systems ist von herausragender Bedeutung. Das FPGA ist typischerweise das Herz dieser Systeme und muss die Datensicherheit des Designs in angemessener Weise angehen. Hardware-Architekten müssen die Verantwortung zur Lösung dieser Problematik übernehmen, da Software-Lösungen alleine nicht ausreichen. Für eine sichere Datenkommunikation ist die übertragene Information zunächst zu verschlüsseln und auf der Empfängerseite zu entschlüsseln.

Doch dies sind lediglich High-Level-Anforderungen; ein spezieller Algorithmus und Schlüssel sind als Basis erforderlich, um die verschlüsselten Daten bereitzustellen. Es gibt viele gebräuchliche Algorithmen (einschließlich AES-256, SHA und ECC) und diese müssen auf einem zu nutzenden Schlüssel basieren. Für Datenverbindungen zur Cloud muss eine zweifache Schlüsselstrategie, genannt Public Key Infrastructure oder PKI, eingesetzt werden. PKI nutzt sowohl öffentliche als auch private Schlüssel.

Jeder Netzwerkknoten hat einen öffentlichen, zertifizierten Schlüssel, der von einem vertrauenswürdigen Dritten signiert oder genehmigt wird. Außerdem hat jeder Netzwerkknoten seinen eigenen privaten Schlüssel. Bei der sicheren Kommunikation nutzt man den zertifizierten öffentlichen Schlüssel des Netzwerkknotens, an den Daten übertragen werden, sowie den privaten Schlüssel zum Verschlüsseln der Daten. Nur der Netzwerkknoten mit seinem öffentlichen und privaten Schlüssel kann die Daten entschlüsseln. Dies ist eine grundlegende Beschreibung, wie Daten auf dem Weg in die Cloud gesichert werden.

Doch es gibt zwei wichtige Herausforderungen, die Hardware-Ingenieure meistern können. Die erste ist DPA, was bereits erläutert wurde – verfügt die Kryptografie-Engine (entweder die FPGA-Logik oder der Kryptografie-Prozessor) über interne DPA-Gegenmaßnahmen? Falls nicht, kann der private Schlüssel ermittelt und die Datenkommunikation gefährdet werden.

Als zweite Herausforderung bzw. Frage stellt sich, wie der private Schlüssel geschützt ist. Es gibt zahlreiche Hardware-Komponenten, die einen Schlüssel schützen können. Doch am sichersten ist ein System, bei dem sich eine Physikalisch Unklonbare Funktion (PUF) im FPGA befindet, welche die einzigartigen Merkmale jedes Silizium-Dies als eine Art biometrischer Fingerabdruck des Bausteins heranzieht.

Mit einer PUF und nichtflüchtigem Speicher kann ein Schlüssel mit der am wirksamsten geschützten Verschlüsselung gespeichert werden. Für Designs, bei denen die Datenkommunikation geschützt werden muss, sollten Entwickler FPGAs einsetzen, die interne DPA-Gegenmaßnahmen für die Fabric oder einen Kryptografie-Prozessor enthalten und einen Baustein mit PUF, Zufallszahlengenerator (Random Number Generator, RNG) und sicherem Schlüsselspeicher enthalten. Mid-Range-Density FPGAs der Familie PolarFire wurden entwickelt, um private Schlüssel zu schützen und eine komplett sichere Datenkommunikation zu ermöglichen. Bild 1 zeigt die Funktionsblöcke des Bausteins.

Dieser Bausteintyp vereinfacht die sichere Datenkommunikation wesentlich. Alle wichtigen Funktionsblöcke, darunter ein DPA-sicherer Kryptografie-Prozessor, PUF, Schlüsselspeicher und Zufallszahlengenerator befinden sich auf dem Chip. Der Entwickler muss lediglich den Prozessor programmieren, um mit dem Zufallszahlengenerator auf Basis eines bestimmten Verschlüsselungsprotokolls (zum Beispiel AES 256) den Schlüssel zu generieren sowie die interne PUF zum sicheren Speichern des Schlüssels heranziehen und schon implementiert der Kryptografie-Prozessor die sichere Kommunikation! Am überzeugendsten ist, dass für eine sichere Kommunikation nur sehr wenig FPGA-Ressourcen erforderlich sind.

Da die Herausforderungen, Designs sicher zu machen, immer wichtiger werden, müssen sich Entwickler für Lieferanten entscheiden, die ihre Systeme sicher machen können. Mid-Range-Density FPGAs stehen jetzt zur Verfügung, um die neuen Herausforderungen zu meistern, denen Embedded-Entwickler gegenüber stehen. Dazu gehören Design Security mithilfe von DPA-Gegenmaßnahmen und Datensicherheit mit Kryptografie-Prozessoren. Diese Security-Lösungen kommen ferner mit weniger Energie aus und ermöglichen kleinere Formfaktoren. Entwickler dürfen Sicherheitsanforderungen künftig nicht mehr übersehen. PolarFire-FPGAs bieten die Sicherheitsfunktionen, die der Markt verlangt und verfügen genau über die Ressourcen, Leistungsfähigkeit und Effizienz, welche Entwickler fordern.

Der Autor dieses Beitrags ist auch als Referent auf dem FPGA-Kongress 2018 vertreten (11.-13. Juni in München Dornach). www.fpga-kongress.de