Perché un dispositivo NoWayOS non ha una shell

La maggior parte degli attacchi a un dispositivo dedicato non punta al compito che svolge. Punta al resto del computer su cui gira: la shell lasciata lì per la manutenzione, il servizio di accesso remoto che nessuno ha spento, il browser dietro l'applicazione, il desktop a un crash di distanza.

Quel “resto del computer” è ovunque. Il gateway che porta fuori le letture di un impianto idrico, il terminale nella sala di controllo di una rete elettrica, i dispositivi su cui conta un ospedale, il pannello sul fianco di una macchina, lo schermo nell'atrio di una stazione: molti eseguono un sistema operativo generico con un compito sopra, e tutto il resto ancora lì sotto, disattivato da impostazioni. La modalità kiosk è la versione più semplice. Ogni compromissione è qualcuno che trova l'unica impostazione sfuggita.

Lasciarlo fuori, invece

NoWayOS parte dall'altro capo. Un'immagine NoWayOS contiene l'applicazione del dispositivo, i driver che quell'applicazione usa e il microkernel seL4. L'elenco è tutto qui.

Non c'è una shell in cui finire, perché nessuna shell è mai stata inclusa. Nessun login remoto di cui indovinare la password. Nessun desktop verso cui evadere. Nessun motore di browser in attesa di una pagina malevola. Non si può sbagliare l'impostazione di un software che non c'è.

Tutto questo riguarda il sistema operativo. L'applicazione che ci gira sopra è un'altra cosa: può far accedere i propri utenti, e accedere ad altri sistemi, ogni volta che il suo compito lo richiede. Semplicemente, sotto non ha un sistema operativo a cui qualcuno possa accedere.

Lo chiamiamo Single Purpose OS: un computer che non ha altro da fare.

E ciò che c'è è sigillato

Lasciare fuori è metà del lavoro. Ogni parte che resta (la rete, lo schermo, l'input, l'applicazione) gira in un compartimento tutto suo, un dominio di protezione nei termini di seL4, e raggiunge solo ciò che le è stato concesso. Il driver di rete sposta pacchetti. Il driver del display disegna. L'applicazione parla con ciascuno tramite messaggi di dimensione fissa.

Ogni concessione è messa per iscritto in un file, un fatto per riga, e la build fallisce se il sistema e il file non concordano. È costruito perché un guasto in una parte resti in quella parte.

“Ma come lo si ripara senza una shell?”

È la prima domanda degli ingegneri, ed è giusta. Al sistema operativo di un dispositivo NoWayOS non si accede: non ha account, quindi non c'è nessuno con cui accedere. Si costruisce una nuova immagine e si sostituisce la vecchia. Oggi questo significa costruirla e caricarla sulla scheda; gli aggiornamenti firmati, verificati dal dispositivo e capaci di tornare indietro in sicurezza, sono progettati e in arrivo.

In cambio si ottiene un dispositivo che si avvia direttamente nel suo unico compito, con molto meno da correggere e molto meno da attaccare. Per i sistemi su cui si regge un paese, quello scambio è esattamente il punto.

Lo veda di persona

Le prove di un'immagine NoWayOS reale, il suo file delle concessioni, la sua distinta dei materiali e il suo registro di configurazione seL4, sono nella nostra pagina Sicurezza. Nessuna registrazione, nessuno script. Solo i file.