Focalisé sur le développement de logiciels open source pour l’architecture et l’écosystème Arm, l’organisme Linaro annonce l’obtention par le projet collaboratif Zephyr de la certification de niveau 1 dans le cadre du programme PSA Certified mis en place par Arm pour assurer la sécurité des objets et équipements IoT ...(lire tous les détails dans notre article ici).
Pour rappel, PSA (Platform Security Architecture) est un framework générique visant à instiller des principes de protection contre les menaces de sécurité au sein des puces à architecture Arm, tant au niveau matériel qu’au niveau firmware. Ce framework va au-delà d’instructions et de principes généraux et se décline en quatre volets : une documentation sur les modèles de menaces et les analyses de sécurité, des spécifications applicables aux architectures matérielles et logicielles, un firmware de confiance open source (Trusted Firmware-M, TF-M) qui cible plus particulièrement les équipements bâtis autour de microcontrôleurs ou puces-systèmes à architecture ARMv8-M et des kits de test d’API.
Le programme PSA Certified, quant à lui, s’articule autour de deux éléments : un schéma d’évaluation multiniveau de la robustesse de sécurité et une suite de test d’API adaptée aux besoins des développeurs. Les équipements ne nécessitant pas tous le même niveau de robustesse vis-à-vis des menaces de sécurité, une approche multiniveau a en effet été mise en place dans le programme PSA Certified. Le niveau 1, relativement basique, nécessite pour le fabricant de circuits, l’éditeur de systèmes d’exploitation ou l’équipementier de remplir un questionnaire de sécurité élaboré à partir des objectifs de sécurité et des modèles de menaces PSA, questionnaire dont les réponses doivent être validées par un laboratoire de test dans le cadre d’un entretien (pour plus de détails lire notre article ici).
Zephyr, de son côté, est un OS temps réel, sécurisé et échelonnable optimisé pour les équipements dont les ressources sont limitées. A ce titre, Zephyr, combinée avec une plate-forme matérielle certfiée, peut fournir une attestation initiale utilisable pour vérifier l’authenticité de l’équipement à partir de clés publiques ou privées. L’OS prend aussi en charge le stockage sécurisé qui assure l’enregistrement et le chiffrement des données privées ou sensibles en totale isolation de l’environnement de traitement non sécurisé. Par ailleurs des mécanismes d’amorçage sécurisé ont été intégrés via le Trusted Firmware-M et plusieurs fonctions de sécurité ont été implémentées afin d’éviter que des images frauduleuses ou vulnérables du firmware ne soient flashées dans l’équipement, assure l’organisme Linaro.
On rappellera que plusieurs fabricants de semi-conducteurs comme Cypress (racheté par Infineon), Microchip, Nordic Semiconductor, Nuvoton, NXP, STMicroelectronics et Silicon Labs, ainsi que l’éditeur Express Logic, acquis par Microsoft et connu pour son RTOS ThreadX (rebaptisé Azure RTOS), ont obtenu le label PSA Certfied de niveau 1.
Vous pouvez aussi suivre nos actualités sur la vitrine LinkedIN de L'Embarqué consacrée à la sécurité dans les systèmes embarqués : Embedded-SEC https://www.linkedin.com/showcase/embedded-sec/
