Qualcomm Snapdragon 855 har mottatt EAL4+-sertifisering

Da Qualcomm kunngjorde Snapdragon 845 tilbake i desember 2017, utropte selskapet SoCs nye Sikker behandlingsenhet (SPU). SPU-en er et sikkert element for å beskytte biometriske profiler, betalingsinformasjon og SIM-data. Qualcomms siste flaggskip SoC, den Snapdragon 855, har også SPU, men over 6 måneder senere kunngjør Qualcomm at SPU har mottatt EAL4+ sertifisering. Det betyr at hver enhet utstyrt med Qualcomms nyeste brikkesett, til og med tilgjengelige smarttelefoner som ASUS ZenFone 6, den OnePlus 7 Pro, USA Samsung Galaxy S10, og Xiaomi Mi 9, vil være i stand til ny funksjonalitet selv om de mangler diskrete sikkerhetsmoduler.

Felles kriterier og evalueringssikkerhetsnivå

De Vanlige kriterier for Information Technology Security Evaluation, ofte forkortet som CC, gir standardene for evaluering av sikkerheten til produkter. CC-er Evaluering Assurance Level

(EAL) er en sertifisering som produkter kan motta for å gi en meningsfull forsikring om at disse produktene oppfyller et minimumsnivå av sikkerhet. En høyere EAL betyr at et produkt har fått en høyere grad av gransking og er egnet for sikrere transaksjoner. Selv om EAL går opp til 7, er nivå 4 "det høyeste nivået der det sannsynligvis vil være økonomisk mulig å ettermontere til en eksisterende produktlinje," og det er også nivået som de fleste smartkort og innebygde sikre elementer er sertifisert for. Qualcomm sier at ved å oppnå EAL4+ sikkerhetssertifisering, er Snapdragon 855 "den første mobilen SoC... for å oppnå smartkortnivåer for sikkerhetssikkerhet." SPU ble evaluert av en uavhengig myndighet: Tysklands Federal Office for Information Security (på tysk, Bundesamt für Sicherheit in der Informationstechnik, eller BSI).

EAL4+-sertifisering og Snapdragon 855

Det er to grunner til at Secure Processing Unit oppnår EAL4+-sertifisering er viktig: redusert stykkliste for OEM-er og muligheten for ny funksjonalitet i fremtiden. I det førstnevnte tilfellet kan OEM-er som kjøper Snapdragon 855 spare penger ved å slippe å integrere et separat sikkert element, for eksempel i tilfellet med Google med Pixel 3s Titan M. Siden SPU nå er EAL4+-sertifisert, kan OEM-er være trygge på at SoC er sikker nok til å brukes til sensitive transaksjoner som f.eks. lagring av digitale førerkort i Android R. Videre, siden SPU-en er on-die, betyr det at den er produsert med samme TSMCs 7nm-prosess teknologi, noe som gir SPU en liten krafteffektivitetsfordel fremfor annen diskret sikkerhet moduler.

Med EAL4+-sertifisering kan Snapdragon 855s SPU brukes for ytterligere sikre transaksjoner underveis. For øyeblikket er SPU involvert i maskinvarestøttet nøkkelattestering for Android StrongBox Keymaster og Gatekeeper undersystem. Introdusert i Android 9 Pie, den StrongBox Keymaster implementering muliggjør sikre transaksjoner som autentisering av administrering av insulin gjennom en insulinpumpe. På Mobile World Congress Shanghai vil Qualcomm demonstrere et integrert SIM (iSIM) i samarbeid med digitalt sikkerhetsselskap Gemalto. iSIM vil bli integrert i Qualcomm Snapdragon 855 SoC, og den kan håndtere bytte mellom flere virtuelle SIM-profiler.

I fremtiden kan vi se brukstilfeller som "frakoblet betaling[er], funksjoner for pålitelig plattformmodul (TPM), transitt, elektronisk ID og kryptolommebøker." Lagring av kryptovaluta-lommebøker er en funksjon vi har sett på Samsung Galaxy S10 og HTC sine blockchain-telefoner, men den muligheten vil være mulig for flere enheter takket være SPUs EAL4+-sertifisering. Elektronisk ID-støtte er noe Google er jobber aktivt med for den neste versjonen av Android, og Qualcomm Snapdragon 855s SPU bør oppfylle kravene til denne API-en for sikker lagring av elektroniske IDer.

Jeg spurte Qualcomm om støtte for IdentityCredential API, spesielt om SPU vil aktivere støtte for "direkte tilgang"-modus som vil tillate brukere å hente elektroniske IDer uten å starte opp Android helt, og mottok følgende uttalelse fra en Qualcomm talsperson:

"Vi støtter for øyeblikket ikke denne APIen på SPU i Snapdragon 855, men ser på å støtte den i fremtiden."

Dermed er dagens kunngjøring bare en forhåndsvisning av hva som kommer. EAL4+-sertifisering er bare en forsikring om at maskinvaren er sikker mot en rekke potensielle angrep og sårbarheter. Hva OEM-er, Google og utviklere gjør med denne forsikringen er opp til dem. Forhåpentligvis vil vi se denne sikre maskinvaren bli utnyttet for nye brukstilfeller som vi ennå ikke har sett på markedet. Det er mange medisinske og finansielle tjenester som kan være til nytte, men det vil ta tid før disse sektorene kommer ombord.