Qualcomm a annoncé que l'unité de traitement sécurisée du Snapdragon 855 avait reçu la certification EAL4+, ouvrant ainsi la possibilité de nouvelles fonctionnalités.
Lorsque Qualcomm a annoncé le Snapdragon 845 en décembre 2017, la société a vanté le nouveau SoC. Unité de traitement sécurisé (SPU). Le SPU est un élément sécurisé intégré permettant de protéger les profils biométriques, les informations de paiement et les données SIM. Le dernier SoC phare de Qualcomm, le Muflier 855, possède également le SPU, mais plus de 6 mois plus tard, Qualcomm annonce que le SPU a reçu la certification EAL4+. Cela signifie que chaque appareil équipé du dernier chipset de Qualcomm, même les smartphones actuellement disponibles comme le ASUS ZenFone 6, le OnePlus 7Pro, les Etats Unis. SamsungGalaxy S10, et le Xiaomi Mi 9, seront capables de nouvelles fonctionnalités même s'ils manquent de modules de sécurité discrets.
Le niveau d’assurance des critères communs et des évaluations
Le Critères communs pour Information Technology Security Evaluation, communément abrégé en CC, fournit les normes d'évaluation de la sécurité des produits. CC
Niveau d’assurance de l’évaluation (EAL) est une certification que les produits peuvent recevoir pour fournir une assurance significative que ces produits répondent à un niveau minimum de sécurité. Un EAL plus élevé signifie qu'un produit a fait l'objet d'un niveau de contrôle plus élevé et qu'il convient à des transactions plus sécurisées. Bien que l'EAL s'élève jusqu'à 7, le niveau 4 est « le niveau le plus élevé auquel il est probablement économiquement réalisable de moderniser à une gamme de produits existante », et c'est également le niveau pour lequel la plupart des cartes à puce et des éléments sécurisés intégrés sont certifiés. Qualcomm affirme qu'en obtenant la certification de sécurité EAL4+, le Snapdragon 855 est « le premier mobile » SoC... pour atteindre les niveaux d'assurance de sécurité des cartes à puce. » Le SPU a été évalué par une autorité indépendante: l'Allemagne Office fédéral de la sécurité de l'information (en allemand, le Bundesamt für Sicherheit in der Informationstechnik, ou BSI).Certification EAL4+ et Snapdragon 855
Il y a deux raisons pour lesquelles l'obtention de la certification EAL4+ par l'unité de traitement sécurisé est importante: une nomenclature réduite pour les OEM et l'opportunité de nouvelles fonctionnalités à l'avenir. Dans le premier cas, les constructeurs OEM qui achètent le Snapdragon 855 peuvent économiser de l'argent en n'ayant pas à intégrer d'élément sécurisé distinct, comme dans le cas de Google avec le Titan M du Pixel 3. Le SPU étant désormais certifié EAL4+, les OEM peuvent être assurés que le SoC est suffisamment sécurisé pour être utilisé pour des transactions sensibles telles que stocker les permis de conduire numériques dans Android R. De plus, puisque le SPU est sur matrice, cela signifie qu'il est fabriqué avec le même processus 7 nm de TSMC. technologie, offrant au SPU un petit avantage en termes d'efficacité énergétique par rapport aux autres systèmes de sécurité discrets modules.
Avec la certification EAL4+, le SPU du Snapdragon 855 peut être utilisé ultérieurement pour des transactions sécurisées supplémentaires. Actuellement, le SPU est impliqué dans l'attestation de clé matérielle pour le Maître des clés Android StrongBox et Sous-système Gatekeeper. Introduit dans Android 9 Pie, le Maître des clés StrongBox la mise en œuvre permet des transactions sécurisées telles que l'authentification de l'administration d'insuline via une pompe à insuline. Au Mobile World Congress Shanghai, Qualcomm présentera une carte SIM intégrée (iSIM) en collaboration avec une société de sécurité numérique Gémalto. L'iSIM sera intégré au SoC Qualcomm Snapdragon 855 et pourra gérer la commutation entre plusieurs profils SIM virtuels.
À l'avenir, nous pourrions voir des cas d'utilisation tels que "le[s] paiement(s) hors ligne, les fonctions du module de plateforme sécurisée (TPM), de transit, d'identification électronique et de portefeuilles cryptographiques. " Le stockage des portefeuilles de crypto-monnaie est une fonctionnalité que nous avons vue sur le SamsungGalaxy S10 et Les téléphones blockchain de HTC, mais cette capacité sera possible pour davantage d'appareils grâce à la certification EAL4+ du SPU. La prise en charge de l'identification électronique est quelque chose que Google est travaille activement sur pour la prochaine version d'Android, et le SPU du Qualcomm Snapdragon 855 devrait répondre aux exigences de cette API pour stocker en toute sécurité les identifiants électroniques.
J'ai interrogé Qualcomm sur la prise en charge de l'API IdentityCredential, en particulier si le SPU permettra la prise en charge du mode « accès direct ». qui permettra aux utilisateurs d'extraire des identifiants électroniques sans démarrer complètement Android, et a reçu la déclaration suivante d'un Qualcomm porte-parole:
"Nous ne prenons actuellement pas en charge cette API sur SPU dans Snapdragon 855, mais envisageons de la prendre en charge à l'avenir."
Ainsi, l’annonce d’aujourd’hui n’est qu’un aperçu de ce qui va arriver. La certification EAL4+ est simplement l'assurance que le matériel est sécurisé contre un certain nombre d'attaques et de vulnérabilités potentielles. Ce que les OEM, Google et les développeurs font avec cette assurance dépend d'eux. Espérons que ce matériel sécurisé soit exploité pour de nouveaux cas d'utilisation que nous n'avons pas encore vus sur le marché. De nombreux services médicaux et financiers pourraient en bénéficier, mais il faudra du temps pour que ces secteurs s’y joignent.