Chipfabrikanten willen hardware eerste verdedigingslaag maken
Nu mobiele apparaten steeds meer vertrouwelijke gegevens bevatten willen chipfabrikanten dat de chips die in tablets en smartphones zitten de eerste verdedigingslaag gaan vormen om het lekken van data en andere aanvallen tegen te gaan. Dat werd duidelijk tijdens het Hot Chips symposium in Cupertino.
"Mobiele hardwarebeveiliging verschilt van andere computerbeveiliging in zowel de verspreiding van mobiele apparaten als de verscheidenheid van gebruikers. Mobiele oplossingen moeten allerlei fysieke aanvallen kunnen weerstaan en via eenvoudige en veilige interfaces met een grote softwaregemeenschap kunnen werken", stelt Vikas Chandra van chipfabrikant ARM.
Ontwerp
Een goed ontworpen systeem kan over meerdere lagen beschikken om aanvallen te voorkomen. Daarbij is het noodzakelijk dat de hardware, beveiliging en software op mobiele hardware samenwerken. Naast ARM zijn ook chipgiganten Intel en AMD bezig om beveiligingsfeatures aan mobiele apparaten toe te voegen. Door hardware en software beter samen te laten werken, en features te introduceren zoals gesegmenteerde delen, hypervisors en maatregelen om het opstarten te beveiligen, kan er code worden uitgevoerd zonder dat het systeem kan worden overgenomen.
De meeste smartphonegebruikers hebben weinig technische kennis en hun apparaten vaak ook niet met wachtwoorden of pincodes beveiligd. Daarnaast is er op weinig toestellen beveiligingssoftware geïnstalleerd, waardoor bijvoorbeeld kwaadaardige apps kunnen toeslaan, aldus Chndra. ARM gaat de eigen beveiligingslaag genaamd TrustZone verbeteren om dit soort aanvallen te voorkomen. De feature stelt een omgeving vast waarin code veilig kan worden uitgevoerd zonder dat dit invloed op de rest van het systeem heeft.
Ook wil het bedrijf een oplossing introduceren zodat gebruikers geen mulltifactor authenticatie moeten gebruiken en meerdere wachtwoorden hoeven op te geven. Volgens Chandra zijn er namelijk veiligere manieren om op een website in te loggen. Als voorbeeld gaf hij de FIDO authenicator, die gebruikers via hun vingerafdruk of gezichtsherkenning kan laten inloggen, zo meldt PC World.
Verbeteringen
Tijdens de conferentie werd ook over de beveiligingsverbeteringen in de hardwarelaag van pc's en servers gesproken. Het gaat dan om lagen voor het uitvoeren van code, vertrouwde domeinen en het beveiligen van DRAM zodat privésleutels en cryptografische data niet gestolen kunnen worden. Vanwege de beperkte rekenkracht zullen de hardwarematige beveiligingsmaatregelen voor pc's en servers niet allemaal in smartphone verschijnen. De beveiligingsmaatregelen moeten dan ook verstandig worden gekozen. "Het is niet eenvoudig om een hardware-patch uit te brengen, dus je moet vooruit denken", aldus professor Ruby Lee van de Princeton Universiteit.
Ik geloof dat de privacy op internet een illusie is.
Ik heb computers en de software nooit vertrouwd,je weet toch nooit wat het precies doet.
Persoonlijk dingen voor je zelf houden,en niet op internet zetten.
Dit is toch even iets anders dan hoe het verkocht wordt, namelijk dat malware niet binnen zou kunnen komen. Een belofte die niet waar blijkt maar wel jou de volledige controle over jouw apparaat kost, want jij hebt de cryptografische sleutels niet meer in handen. Net zo min als dat je echt controle hebt over wat die biometrie allemaal uitvreet. Voor je het weet besluit het apparaat dat jij jezelf niet meer bent of dat iemand anders genoeg op jou lijkt om de toegang open te zetten.
En dat terwijl het toch onderhand wel bekend hoort te zijn dat biometrie totaal [x] ongeschikt is als wachtwoord, maar hooguit als een onhandig soort gebruikersnaam in te zetten is, als gimmick. Met andere woorden, iedere keer dat je weer biometrie als superextraheelergveilig aangeprezen ziet is het wellicht verhelderend je af te vragen wat ze je niet vertellen; wat hun eigenlijke agenda is.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
