מאת: אריק וינשטיין
תקנים חכמים גורמים לשינוי בעולם הקמעונאי ע”י הבאתם של הנוחות, המבחר וקלות השימוש של קניות ברשת לתוך החנות. נקודות מכירה (POS) מסורתיות וניידות עם חיבור לאינטרנט משתפות בכמות גדולה של מידע ומאפשרות לקמעונאים להשתמש ולנצל את המידע לצורך קבלת החלטות עסקיות מושכלות. לשילוט דיגיטאלי, עמדות (קיוסקים) אינטראקטיביים, מסופים של נקודות מכירה ומכונות מכר אינטראקטיביות המבוססות על ארכיטקטורת אינטל יש את החוכמה להריץ ניתוח וויזואלי של הצופה האנונימי בעזרת Intel® Audience Impression Metrics Suite () וליצור חווית לקוח עם הודעות או פרסומות רלוונטיות וגרפיקה עשירה ומשכנעת. יישומי ארנק אלקטרוני מאפשרים לקונה לבצע טרנסקציות תוך שימוש בהתקנים בתוך החנות ובעזרת הטלפון החכם שלו. מעולם לא הייתה ההגנה קריטית כנגד נוזקות והתקפות שונות של מערכות קמעונאיות חכמות לקמעונאיים כפי שהיא עכשיו וזאת בכדי לשמור על הלקוח ועל המידע של הטרנסקציות. יכולות האבטחה של אינטל זמינות כעת לעולם הקמעונאי בכדי לעזור בהתמודדות עם המגוון הרחב של האיומים.
הקדמה
התקנים קמעונאיים חכמים מתוכננים כדי לאגור, לנתח ולשתף מידע כדי שהקמעוניים ולקוחותיהם יוכלו לנהל טרנסקציות ולקבל החלטות מושלות. מעבר לנקודות מכירה המסורתיות (POS) וקופות רושמות מקוונות, המערכות הקמעונאיות החדשות כוללות מערכות POS חכמות וניידות, שילוט דיגיטאלי, מכונות מכר ועמדות אינטראקטיביות. בנוסף, חלק מההתקנים מצוידים בתוכנת Intel® AIM Suite לניתוח הצופה האנונימי. זו לא הגזמה לומר שכל המידע המשותף בין ההתקנים בתחום הקמעונאי הוא בעל ערך רב להם וללקוחותיהם ולכן רגיש מטבעו. בהתקנים הכוללים מסופים של נקודות מכירה, מכונות מכירה אינטראקטיביות וכספומטים עושים שימוש לטרנסקציות פיננסיות, קבלת מידע על הלקוח ואמינותו וכן לגבי בדיקות מלאי. שילוט דיגיטלי אינטראקטיבי מנהל את המידע המנותח על הצופה וכן את המסרים הממוקדים של הפרסום ואת ניהול התוכן. התקנים חכמים בתוך החנות הכוללים עמדות חכמות משתפות במידע עם בסיסי הנתונים של המלאי של הקמעונאי ומשמשות לתמיכה ביישומי נקודות מכירה ניידות. השיתוף במידע חשוב זה מביא למגוון של איומים החל מגניבת המידע, גניבת זהות ועד לתצוגות גרפיטי המיועדות לפגוע בפירמות הקמעונאיות. תוקפים משתמשים בקושחות (firmware) כדי להשיג גישה למערכת ההפעלה והיישומים השונים בהתקנים וזאת בנוסף ליצירת ווירוסים ונוזקות המסוגלים לשתק את המערכת הקמעונאית או לאפשר גישה למידע רגיש. ההגנה על רשתות, מערכות והמידע עצמו היא אתגר קריטי לתעשייה הקמעונאית. בעוד שהתעשייה מתכוננת להתמודדות עם האיומים בעזרת פתרונות מבוססי תוכנה, אינטל מספקת מגוון מקיף של אמצעי אבטחה המובנים בחומרה. יכולות אבטחה אלו מתחילות ברמת הפלטפורמה וכוללות הגנה על ה-BIOS, על הקושחה (firmware) והחומרה עצמה. אינטל נוקטת בגישה כוללנית לאבטחה של הפלטפורמה, התוכנה והמידע, והטכנולוגיות המתוארות במאמר זה משלימות למכלולי אבטחה אחרים של טכנולוגיית Intel® vPro הכוללים את טכנולוגיית Intel® Active Management (), טכנולוגיית Intel® Virtualization () וטכנולוגיית Intel® Trusted Execution
(). בנוסף, טכנולוגיות האבטחה של אינטל לרמת הפלטפורמה תוכננו כדי להשלים את פתרונות האבטחה מבוססי התוכנה של McAfee המיועדים להגן כנגד התקפות על המערכת, ווירוסים ונוזקות וכוללים אבטחה מתחת למערכת ההפעלה. טכנולוגיית האבטחה ברמת הפלטפורמה של אינטל מספקות את היסוד לשמירת שלימות המידע, הזמינות שלו והסודיות. קמעוניים יכולים לשדרג את פתרונות האבטחה הקיימים כדי ליהנות מיתרון האבטחה ברמת החומרה של מערכות המבוססות על מעבדי Intel® Core, או לחילופין להשתמש בפתרונות תוכנה
שעברו אופטימיזציה לשימוש ביכולות האבטחה של אינטל בחומרה. מאמר זה מתאר את טכנולוגיות האבטחה המבוססות חומרה שניתן לעשות בהם שימוש במשפחת הדור הרביעי של מעבדי Intel® Core להתמודדות עם איומי האבטחה בתחום הקמעונאי.
טכנולוגיית Intel® Data Protection ביחד עם Intel® AES New Instructions
(): הצפנה ופענוח של מידע המואצים בחומרה, ביחד עם ביצועי עיבוד גבוהים לחוויית משתמש עם אבטחה ותגובתיות מהירה.
טכנולוגיית Intel® Platform Protection בשלוב Bios Guard: מנגנוני אימות והגנה נתמכי חומרה כנגד התקפות Bios Recovery.
טכנולוגיית Intel® Platform Protection עם Platform Trust : פתרון משולב למטרות אחסון וניהול מפתחות ל-Microsoft Windows 8.
טכנולוגיית Intel® Platform Protection עם Boot Guard: תהליך boot מאובטח המבוסס על מודול עם קוד מאומת (ACM) שמוודא כי bios ממקור אמין מבצע אתחול למערכת.
טכנולוגיית Intel® Identity Protection עם תקשורת (Near Field Comm): הגנת זהות ללקוחות המשתמשים בתקשורת NFC בטלפונים חכמים וכרטיסים חכמים במקרי שימוש של “Tap and Pay” ,”Tap to Authenticate” ו-“Tap to Connect” במערכות האישיות של הלקוחות וזאת כדי לאפשר גישה מאובטחת לשירותים מקוונים ומסחר אלקטרוני.
טכנולוגיית Intel® Platform Protection עם Intel® AES-NI:
טכנולוגיית Intel® AES-NI מתייחסת לסט פקודות הנמצא במשפחת הדור הרביעי של מעבדי Intel® Core. הפקודות מאפשרות הצפנה ופענוח מהירים ובטוחים בהתבסס על תקן AES כפי שמוגדר בפרסום 197 של FIPS .AES מהווה כיום את התקן הדומיננטי להצפנת בלוקים ונימצא בשימוש במספר פרוטוקולים. הפקודות החדשות הם בעלות ערך למגוון רחב של יישומים. למרות שהפקודות הוצגו כבר ב-2010 כחלק מהמיקרו-ארכיטקטורה הידועה בשם הקוד ‘Westmere’, משפחת הדור הרביעי של מעבדי Intel® Core מציגים שיפור בביצועים של כ-15% וזאת במעטפת הספק (TDP) הנמוכה ב-25% ביחס לדור הקודם של מעבדי אינטל (מקור-אינטל). הפקודות החדשות של Intel® AES-NI נתמכות במעבדי Intel® Core i5&i7. הארכיטקטורה כוללת פקודות המציעות תמיכת חומרה מלאה
ל-AES. ארבע פקודות תומכות בהצפנה ופענוח AES ושתיים אחרות תומכות בהרחבת מפתחות AES. הפקודות מאיצות את ביצוע אלגוריתמי ה-AES ע”י שימוש בחומרה לביצוע חישובים אינטנסיביים. פקודה שביעית מאפשרת מכפלה מסוג carry-less. השיפור בביצועים שניתן לקבל בעזרת Intel® AES-NI תלוי ביישום המסוים ובחלק היחסי של הזמן ביישום הנדרש להצפנה ופענוח. ברמת האלגוריתם, השימוש ב-®Intel
AES-NI יכול לספק האצה משמעותית
ב-AES. לאופני פעולה לא מקביליים של ARS כמו הצפנת CBC ,Intel® AES-NI יכולה
לספק ביצועים הטובים פי 2-3 מהגישה המבוססת רק על תוכנה. לאופני פעולה מקביליים, כמו פענוח CBC ו-®CTR ,Intel AES-NI יכולה לספק שיפור פי 10 ביחס ליישום המבוסס במלואו על תוכנה (מקור- אינטל). השיפור בביצועים ישים ליישומי AES אופייניים, כולל אורכי מפתחות סטנדרטיים, אופני פעולה סטנדרטיים וגם למשתנים לא סטנדרטיים או כאלה עתידיים. פקודות AES מספקות בנוסף יתרונות אבטחה חשובים. על ריצה בזמן-שלא תלוי במידע ואי שימוש בטבלאות, הפקודות עוזרות לחסל התקפות מבוססות תזמון וזיכרון מטמון היכולות לסכן יישומי תוכנה של AES המבוססים על טבלאות. בנוסף מפשטות הפקודות את המימוש של אלגוריתם ה-AES ע”י הקטנת גודל הקוד והקטנת הסיכון לפרצות באבטחה. בגלל ש-Intel® AES-NI מבצע את כל ההצפנה והפענוח בחומרה ללא הצורך בטבלאות חיפוש (lookup) בתוכנה, Intel® AES-NI יכול גם להקטין את הסיכון להתקפות מסוג side-channel.
טכנולוגיית Intel® Platform Protection עם Bios Guardה-BIOS של התקנים נמצא באזור החסוי והבלתי נראה לתוכנת האנטי וירוס. בנוסף, נוזקות המדביקות את ה-BIOS ממשיכות את פעולתם גם לאחר אתחול מלא (cold boot) של המערכת. כדי למנוע גילוי, התוקפים חופרים עמוק יותר לתוך הפלטפורמה. נקודות תורפה שזוהו נמצאות במנהלי ה-System Management Mode () וה-System Management Interrupt (). הסיבוכיות של חומרת ותוכנת ה- SMM מגדילות את הסבירות כי נקודת התורפה בעידכון ה-BIOS תמשיך להיות מנוצלת בעתיד. מסיבה זו אבטחת הפלטפורמה מתחילה ב-BIOS .Intel® Platform Protection עם Bios Guard היא יכולת חדשה בדור-4 של מעבדי Intel® Core () המבטיחה כי עדכון לזיכרון ההבזק של ה-BIOS ול-Embedded Controller () נעשה בצורה מאובטחת. עדכוני ה-BIOS מאומתים בהצפנה ע”י
ה-BIOS Guard העושה שימוש בסוכן (agent) מאובטח והמבוצע
ב- (AC-RAM) לביצוע אימות ולעדכון חומרת בקרת ה-Flash. לעדכוני ה-EC, ה-BIOS Guard עושה שימוש בהקצאת BIOS POST מוקדמת של “מפתח אקראי” המשותף למעבד וה-EC. מודול ה-BIOS Guard עושה שימוש בערך זה כדי לזהות את עצמו בפני ה-EC, אשר ידחה את כל הפעולות המאובטחות ללא זיהוי זה. כל חלק מאובטח בעדכון ל-BIOS הנעשה על ידי BIOS Guard חתום בחתימה מוצפנת ע”י יצרן ההתקן, נבדק על ידו או נבדק ונחתם על ידו לפני שהוא מאושר להתקנה במערכת. BIOS Guard עוזר להבטיח כי נוזקות נשארות מחוץ ל-BIOS על ידי חסימת התקפות מבוססות תוכנה המנסות לשנות את ה-BIOS המאובטח ללא הרשאה מיצרן הפלטפורמה. כפי שמודגם באיור-1, BIOS Guard עונה על נקודות התורפה של ה-SMM ע”י חיזוק האבטחה בעדכון של ה-BIOS.
טכנולוגיית Intel® Platform Protection Intel® Platform Trusted Technology
() היא פונקציונאלית בפלטפורמה לאחסון credentials וניהול מפתחות ל-Microsoft Windows 8. היא תומכת בתהליך measured and secured boot ובכל פקודות מיקרוסופט ל-Trusted Platform Module (TPM) 2.00 v.0.88. זהו פתרון משולב ב-Intel® Management Module לדור-4 של מעבדי Intel® Core לפלטפורמות בעלות TDP נמוך במיוחד (ULT). הפתרון המשולב מספק אלמנט אמין ומאובטח (secured and trusted) העומד בדרישות Windows 8 Connect Standby () עם צריכת הספק נמוכה בסביבות SOIx למצב Ultra Low Power. השילוב הפונקציונאלי מקטין את עלות ה-BOM והדרישות לשטח פיזי של הכרטיס. טכנולוגיית Intel® Platform Protection בשילוב Boot Guard העובדת עם Intel® PTT, מקטינה את הסיבוכיות של תהליך ה-boot של Windows-8 ועונה על כל הדרישות של מערכת ההפעלה. Boot Guard מגן כנגד נוזקות לבלוקים של ה-boot ומוסיפה שכבת אבטחה נוספת בחומרה לפלטפורמה למניעת שינויים בה ועל ידי כך לחסום תוכנות לא מורשות. הטכנולוגיה מותקנת בתשתית חומרה מאובטחת והמתוכננת לחסימת בלוקים לא מורשים ב-boot. מודול Authentication Code () מסופק ע”י אינטל ונחתם לחומרה. כאשר מורץ ה-ACM ע”י המעבד בזמן תהליך ה-reset של הפלטפורמה הוא מבוצע במרחב ה-AC-RAM המוגן. Boot Guard מכסה שלושה סוגי boot הניתנים לשינוי תצורה:
Measured Boot: דוגם את
ה-Initial Boot Block () לתוך התקן אחסון מוגן בפלטפורמה כגון Trusted Platform Module () או Intel PTT.
Verified Boot: מאמתת את ה-IBB של הפלטפורמה על פי מדיניות ה-Boot, תוך שימוש במפתח הצפנה.
Measured and Verified Boot בודק ומאמת את ה-IBB.
טכנולוגיית Intel® Identity Protection עם NFC
הטכנולוגיה שפותחה במקור למחשבים שולחניים, מחשבי Notebook ו-Ultrabook זמינה כיום להתקנים קמעונאיים חכמים המבוססים על דור-4 של מעבדי Intel® Core .Intel® IPT היא חליפה של 4 טכנולוגיות: One Time Password ,Protected Transaction Display ,Embedded PKI ו-Near Filed Communication
(). טכנולוגיות להגנת הזהות מתמודדות עם גניבת זהות בעזרת פרמטר שני של אימות הנסמך על שטח בתוך
החומרה החכמה בעל התנגדות Tamper. מאמר זה מציג את Intel® IPT עם NFC
כפתרון להגנת הזהות של לקוחות המשתמשים ב-“Tap-to-interact”, בחתימה דיגיטלית, מכונות מכר והתקנים אחרים.NFC היא תקשורת אלחוטית לטווח קצר עם פרוטוקול להחלפת מידע מקצה לקצה בין שתי נקודות (endpoints). מודל השימוש הנוכחי ל-NFC מאפשר ללקוחות להתחבר להתקן, להחליף מידע, לבצע כניסה למערכת (checkin), לערוך טרנסקציות, לסרוק התקנים ולשלם עבור מוצר ע”י נגיעה בכרטיס חכם תומך NFC או בעזרת טלפון חכם מול חיישן NFC הנמצא בהתקן הקמעונאי, ואז לסיים את הטרנסקציה בעזרת אישור זהות מוגן דרך קישוריות מוצפנת. כל תהליך זה נעשה בעזרת יישום תחת מערכת ההפעלה. Intel® IPT כולל מקרי שימוש דומים ל-NFC כגון יכולות “Tap-to-pay”
ו-“Tap-to-authenticate” המאפשרות למשתמשים לגשת בצורה מאובטחת למקורות מקוונים ולבצע תשלומים מקוונים פשוט ע”י נגיעה בכרטיס חכם המוצמד למחשב האישי שלהם. מקרי השימוש של Intel® IPT
ל-“Tap-and-interact” מאפשרים אינטראקציה מאובטחת עם התקנים. Intel® IPT מהווה פונקציית אבטחה המשולבת לתוך סט שבבים ומציגה הגנה ע”י הפרדה של המידע הנקלט ע”י ה-NFC ממערכת ההפעלה. לפתרון של אינטל ערך מוסף ע”י שילובו על רכיב מאובטח בתוך חומרת ההתקן הקמעונאי.
