Por qué un dispositivo NoWayOS no tiene shell

La mayoría de los ataques a un dispositivo dedicado no van contra la tarea que realiza. Van contra el resto del ordenador sobre el que se ejecuta: el shell que se dejó para mantenimiento, el servicio de acceso remoto que nadie apagó, el navegador que hay detrás de la aplicación, el escritorio que queda a un fallo de distancia.

Ese «resto del ordenador» está en todas partes. La pasarela que saca las lecturas de una planta de agua, el terminal de la sala de control de una red eléctrica, los dispositivos de los que depende un hospital, el panel en el costado de una máquina, la pantalla en el vestíbulo de una estación: muchos ejecutan un sistema operativo de uso general con una tarea encima, y todo lo demás sigue ahí debajo, desactivado mediante ajustes. El modo quiosco es la versión más sencilla. Cada intrusión es alguien que encuentra el ajuste que se pasó por alto.

Mejor dejarlo fuera

NoWayOS empieza por el otro extremo. Una imagen de NoWayOS contiene la aplicación del dispositivo, los controladores que usa esa aplicación y el micronúcleo seL4. Esa es toda la lista.

No hay shell en el que caer, porque nunca se incluyó ninguno. No hay inicio de sesión remoto cuya contraseña adivinar. No hay escritorio al que escapar. No hay motor de navegador esperando una página maliciosa. No se puede configurar mal un ajuste de un software que no está.

Todo eso se refiere al sistema operativo. La aplicación que va encima es otra cosa: puede hacer que sus usuarios inicien sesión, e iniciar sesión en otros sistemas, siempre que su tarea lo requiera. Lo que no tiene debajo es un sistema operativo en el que alguien pueda iniciar sesión.

A eso lo llamamos un Single Purpose OS: una máquina sin nada más que hacer.

Y lo que hay, está sellado

Dejar cosas fuera es la mitad. Cada parte que queda (la red, la pantalla, la entrada, la aplicación) se ejecuta en un compartimento propio, un dominio de protección en términos de seL4, y solo alcanza lo que se le concedió. El controlador de red mueve paquetes. El controlador de pantalla dibuja. La aplicación habla con cada uno mediante mensajes de tamaño fijo.

Cada concesión está escrita en un archivo, un hecho por línea, y la compilación falla si el sistema y el archivo no coinciden. Está construido para que un fallo en una parte se quede en esa parte.

«Pero ¿cómo se arregla sin un shell?»

Es lo primero que preguntan los ingenieros, y con razón. En el sistema operativo de un dispositivo NoWayOS no se inicia sesión: no tiene cuentas, así que no hay nadie como quien iniciarla. Se construye una imagen nueva y se sustituye la anterior. Hoy eso significa construirla y cargarla en la placa; las actualizaciones firmadas, comprobadas por el dispositivo y capaces de volver atrás de forma segura, están diseñadas y en camino.

A cambio se obtiene un dispositivo que arranca directamente en su única tarea, con mucho menos que parchear y mucho menos que atacar. Para los sistemas de los que depende un país, ese intercambio es justo lo que se busca.

Véalo usted mismo

Las evidencias de una imagen real de NoWayOS, su archivo de concesiones, su lista de materiales y su registro de configuración de seL4, están en nuestra página de seguridad. Sin registro, sin scripts. Solo los archivos.