Os sistemas embarcados estão presentes em praticamente todos os aspectos da vida moderna: desde dispositivos IoT domésticos até infraestruturas críticas como usinas e hospitais. Com essa ubiquidade, a segurança desses sistemas tornou-se uma prioridade. Diferentemente de computadores tradicionais, sistemas embarcados possuem restrições de recursos, tempo de vida prolongado e muitas vezes operam em ambientes fisicamente acessíveis a atacantes. Nesta aula, exploraremos quatro pilares essenciais para proteger esses dispositivos: secure boot, TEE, atualizações de firmware e segurança na cadeia de suprimentos.

Vamos começar entendendo que a segurança de um sistema embarcado não é um recurso único, mas uma combinação de várias camadas. O secure boot garante a integridade do software desde a inicialização; a TEE isola processos sensíveis; as atualizações de firmware permitem corrigir vulnerabilidades; e a cadeia de suprimentos assegura que o hardware e o software não sejam comprometidos antes mesmo de chegar ao usuário. Cada um desses componentes desempenha um papel vital na construção de um ecossistema confiável.

Secure Boot

O secure boot é um mecanismo que garante que um dispositivo execute apenas software autenticado e íntegro. Ele estabelece uma cadeia de confiança desde o primeiro código executado (geralmente uma ROM ou bootloader) até o sistema operacional e aplicativos. Se qualquer componente for adulterado ou não assinado, o processo de inicialização é interrompido, impedindo que o dispositivo execute código malicioso.

O processo típico de secure boot envolve o uso de criptografia assimétrica. O fabricante assina digitalmente cada estágio do firmware com uma chave privada. O dispositivo possui a chave pública correspondente em um armazenamento seguro (como e-fuses ou um chip TPM). Durante a inicialização, cada estágio verifica a assinatura do próximo antes de executá-lo. Essa cadeia evita ataques como bootkits e rootkits que tentam substituir o bootloader ou o kernel.

Exemplo simplificado de verificação de assinatura em um bootloader (pseudocódigo):

void verify_stage(stage_t *stage, uint8_t *signature) {
    if (!rsa_verify(public_key, stage->hash, signature)) {
        halt("Falha na verificação de assinatura");
    }
    execute(stage);
}

Além da verificação de assinatura, o secure boot pode incluir a medição de integridade (como o TPM) para atestar o estado do sistema a terceiros. Isso é fundamental para cenários de atestação remota, onde um servidor verifica se o dispositivo está em um estado confiável antes de conceder acesso.

TEE

Um Trusted Execution Environment (TEE) é um ambiente isolado dentro do processador que garante que código e dados executados nele sejam confidenciais e íntegros em relação ao sistema operacional principal. Ele oferece uma área segura para processar informações sensíveis, como chaves criptográficas, autenticação biométrica e DRM.

O TEE opera em paralelo ao sistema operacional rico (REE - Rich Execution Environment). Ele possui seu próprio kernel, memória isolada e periféricos seguros. A comunicação entre o REE e o TEE é feita por meio de uma interface bem definida, geralmente usando chamadas SMC (Secure Monitor Call) em processadores ARM, ou instruções específicas em outras arquiteturas.

Os principais benefícios do TEE incluem:

  • Isolamento de processos sensíveis mesmo se o SO principal for comprometido.
  • Proteção de chaves criptográficas contra extração por software malicioso.
  • Execução confiável de código crítico, como pagamentos móveis.

Um exemplo de uso de TEE é o ARM TrustZone, que divide o hardware em dois mundos: seguro e não seguro. O mundo seguro executa o TEE, enquanto o mundo não seguro executa o SO normal. A transição entre mundos é controlada pelo monitor, que garante que apenas código autorizado acesse os recursos seguros.

// Exemplo conceitual de chamada a uma função no TEE
secure_call("generate_key", &key);
// A chave é gerada dentro do TEE e nunca exposta ao REE

Para os desenvolvedores, é essencial entender como invocar serviços do TEE e como gerenciar a vida útil das chaves. Muitas plataformas oferecem APIs como OP-TEE ou Trusty para facilitar o desenvolvimento.

Firmware Updates

As atualizações de firmware são cruciais para corrigir vulnerabilidades, adicionar funcionalidades e melhorar o desempenho. No entanto, elas também introduzem riscos: se não forem seguras, podem ser usadas para instalar malware ou fazer downgrade para versões vulneráveis. Portanto, é fundamental implementar um mecanismo de atualização robusto.

Os requisitos essenciais para atualizações seguras incluem:

  • Autenticação: o firmware deve ser assinado digitalmente e a assinatura verificada antes da instalação.
  • Integridade: o conteúdo deve ser verificado (por exemplo, com hash) para garantir que não foi corrompido.
  • Proteção contra downgrade: o dispositivo deve impedir a instalação de versões anteriores que possam ter vulnerabilidades conhecidas.
  • Atomicidade: a atualização deve ser aplicada de forma atômica, evitando que o dispositivo fique em um estado intermediário corrompido.

Um modelo comum é usar uma partição A/B, onde o sistema possui duas cópias do firmware. A atualização é gravada na partição inativa e, após verificação, o dispositivo alterna para ela. Se a nova versão falhar, o sistema pode reverter para a partição anterior.

Exemplo de fluxo de atualização:

1. Baixar pacote de atualização via HTTPS.
2. Verificar assinatura do pacote com chave pública.
3. Verificar hash do firmware.
4. Gravar na partição inativa.
5. Marcar nova partição como ativa.
6. Reiniciar e executar nova versão.
7. Se falhar, reverter para partição anterior.

Além disso, é importante garantir que o canal de distribuição seja seguro (por exemplo, usando TLS) e que o dispositivo tenha um mecanismo de rollback seguro. A cadeia de confiança do secure boot também deve ser estendida para a atualização, verificando que o novo firmware seja assinado pela mesma chave raiz.

Supply Chain

A segurança da cadeia de suprimentos refere-se à proteção do hardware e software desde a fabricação até a entrega ao usuário final. Ataques na cadeia de suprimentos podem ocorrer em várias etapas: projeto, fabricação, montagem, distribuição ou até mesmo durante o desenvolvimento de software.

Ameaças comuns incluem:

  • Hardware trojan: circuitos maliciosos inseridos no chip durante a fabricação.
  • Firmware adulterado: modificação do software antes da gravação no dispositivo.
  • Componentes falsificados: uso de chips não confiáveis ou de qualidade inferior.
  • Backdoors em ferramentas de desenvolvimento: compiladores ou IDEs comprometidos que inserem código malicioso.

Para mitigar esses riscos, as organizações devem adotar práticas como:

  • Auditar fornecedores e exigir certificações de segurança.
  • Realizar inspeções e testes de integridade nos componentes recebidos.
  • Usar mecanismos de atestação e selos de segurança para garantir que o produto não foi violado durante o transporte.
  • Implementar um processo de desenvolvimento seguro, incluindo revisão de código e análise de dependências.

Um exemplo de atestação é o uso de certificados digitais no hardware: o chip pode ser autenticado por uma assinatura do fabricante, e o firmware pode ser verificado pelo secure boot. A combinação de várias camadas de verificação torna mais difícil para um atacante inserir componentes maliciosos.

Além disso, é importante manter um inventário de todos os componentes e suas origens, bem como monitorar alertas de segurança da indústria para identificar possíveis comprometimentos.

Boas Práticas e Observações Finais

A segurança de sistemas embarcados é um campo complexo que exige uma abordagem holística. Algumas boas práticas adicionais incluem:

  • Utilizar criptografia forte e gerenciamento de chaves adequado, armazenando chaves em hardware seguro.
  • Aplicar o princípio do menor privilégio, limitando o acesso a recursos críticos.
  • Realizar testes de segurança contínuos, incluindo fuzzing e análise estática.
  • Manter o firmware atualizado e monitorar vulnerabilidades conhecidas.
  • Considerar a segurança física do dispositivo, especialmente em ambientes acessíveis.

Lembre-se: a segurança não é um produto, mas um processo contínuo. À medida que novas ameaças surgem, as defesas devem evoluir. A combinação de secure boot, TEE, atualizações seguras e cadeia de suprimentos confiável forma uma base sólida para proteger sistemas embarcados.

Referências

Exercícios

  1. Explique o conceito de cadeia de confiança no secure boot e como ela impede a execução de software não autorizado.

    2. ✓ Resposta: A cadeia de confiança no secure boot começa com uma raiz de confiança imutável (como uma ROM ou e-fuse) que contém a chave pública do fabricante. Cada estágio do firmware é assinado com a chave privada correspondente. Durante a inicialização, o estágio atual verifica a assinatura do próximo estágio antes de executá-lo. Se a assinatura não for válida, a execução é interrompida. Isso impede que um atacante substitua qualquer componente do software por código malicioso, pois ele não possui a chave privada do fabricante.
  2. Descreva as principais diferenças entre um TEE e um sistema operacional tradicional em termos de isolamento e confiança.

    3. ✓ Resposta: Um TEE é um ambiente isolado que fornece garantias de confidencialidade e integridade independentemente do sistema operacional principal (REE). Ele possui seu próprio kernel, memória e periféricos, e se comunica com o REE por uma interface controlada. O TEE é projetado para executar código sensível com alta segurança, mesmo que o REE seja comprometido. Em contraste, um sistema operacional tradicional executa todos os processos em um único espaço de confiança, onde um processo comprometido pode afetar outros. O TEE também oferece atestação remota, permitindo que terceiros verifiquem o estado do dispositivo.
  3. Quais são os principais requisitos para um sistema de atualização de firmware seguro? Dê um exemplo de como a proteção contra downgrade pode ser implementada.

    4. ✓ Resposta: Os requisitos essenciais incluem autenticação (assinatura digital), integridade (hash), proteção contra downgrade, atomicidade e canal de distribuição seguro. A proteção contra downgrade pode ser implementada mantendo um contador de versão no hardware (como um e-fuse) que só pode ser incrementado. O firmware deve incluir um número de versão; se a versão for menor que a atual, a atualização é rejeitada. Alternativamente, o bootloader pode verificar se a versão do novo firmware é maior ou igual à versão mínima permitida.
  4. Liste três ameaças na cadeia de suprimentos e uma medida de mitigação para cada uma.

    5. ✓ Resposta: 1) Hardware trojan: mitigação através de inspeção física e testes elétricos durante a fabricação, além de auditoria dos fornecedores. 2) Firmware adulterado: mitigação usando assinaturas digitais verificadas no secure boot e durante a atualização. 3) Componentes falsificados: mitigação usando canais de compra autorizados, verificação de procedência e testes de autenticidade.
  5. Explique como o secure boot e o TEE podem trabalhar juntos para proteger um sistema embarcado.

    6. ✓ Resposta: O secure boot garante que o sistema seja inicializado com software íntegro e autenticado, estabelecendo uma base de confiança. O TEE, por sua vez, fornece um ambiente isolado para executar código sensível mesmo se o sistema operacional principal for comprometido. Juntos, eles formam uma defesa em camadas: o secure boot impede que um atacante substitua o bootloader ou kernel, e o TEE protege dados e operações críticas mesmo que o kernel seja explorado. Por exemplo, o secure boot pode verificar a assinatura do TEE, e o TEE pode fornecer atestação do estado do dispositivo para serviços remotos.