Fin février, à l’occasion du salon Embedded World, l’éditeur d’outils de développement pour l’embarqué IAR Systems a dévoilé les fruits de son alliance stratégique signée en 2017 avec l’américain Secure Thingz. Une alliance qui s’était doublée d’une prise de participation du Suédois dans le capital de la start-up. ...Créé en 2016, Secure Thingz fournit une suite d'outils baptisée Secure Deploy, qui permet le cryptage de bout en bout des logiciels de bas niveau d’un microcontrôleur, de leur déploiement sécurisé dans des environnements de production à haut risque, jusqu’à leur mise à jour et leur gestion à distance, une fois les systèmes déployés sur le terrain.
Le partenariat entre IAR Systems et la start-up s’est concrétisé par un environnement de développement orienté sécurité du nom d’Embedded Trust qui s’intègre sans couture dans le produit phare de la firme nordique, l’IDE IAR Embedded Workbench. Cette intégration permet d’inclure au sein d’un workflow de développement logiciel traditionnel les problématiques propres à la sécurité : gestion des identités et des certificats, configuration d’une racine de confiance, stockage des clés, création de profils de sécurité, déploiement sécurisé au sein de la cible, gestion des versions et des mises à jour, etc.
Dans la pratique, l’environnement Embedded Trust met à profit les blocs matériels de sécurité intégrés dans les microcontrôleurs de dernière génération, comme ceux de STMicroelectronics ou de Renesas, deux sociétés avec lesquelles Secure Thingz entretient aussi des relations étroites (*), pour fournir les ancres de confiance de bas niveau et les services sécurisés requis par les applications IoT dites « de confiance ».
Pour déployer des racines de confiance dans ces microcontrôleurs sécurisés, Embedded Trust propose une fonction dite Secure Boot Manager, qui est configurable à partir d’un petit cœur sécurisé jusqu’à un ensemble de fonctions d’exécution, de gestion et de mise à jour qui agissent sous le système d’exploitation temps réel ou l’application. Une fois l’application créée, Embedded Trust permet en outre de la chiffrer, de la signer et de la provisionner. Ce processus permet de passer des certificats de développement aux certificats formels pour l'entrée en production, évitant ainsi des fuites de propriété intellectuelle, précise IAR. Le code est signé et chiffré pour le microcontrôleur cible afin qu’aucun logiciel malveillant n’y soit ajouté et que ce code ne puisse s’exécuter que sur la cible prévue.
Pour étendre le processus de sécurité à la fabrication en volume, Embedded Trust s’intègre en outre avec le framework Secure Deploy de Secure Thingz pour un déploiement sécurisé dans des environnements de production à haut risque. On notera d’ailleurs à cet effet qu’IAR Systems a aussi signé un partenariat avec la société Data I/O qui fournit la plate-forme de programmation SentriX Security, vouée, sur les sites de production, au provisionnement des clés de sécurité et à la programmation protégée des données sur des composants d'authentification, des éléments sécurisés (SE) ou des microcontrôleurs sécurisés. Ajoutons enfin qu’Embedded Trust, dont la disponibilité est prévue avant la fin juin 2018, incorpore également, au sein du flot de développement, des outils de gestion de versions et de mises à jour.
