Por que um dispositivo NoWayOS não tem shell

A maioria dos ataques a um dispositivo dedicado não mira a tarefa que ele executa. Mira o resto do computador em que ele roda: o shell deixado ali para manutenção, o serviço de acesso remoto que ninguém desligou, o navegador por trás da aplicação, a área de trabalho a uma falha de distância.

Esse “resto do computador” está em toda parte. O gateway que leva as leituras para fora de uma estação de tratamento de água, o terminal na sala de controle de uma rede elétrica, os dispositivos de que um hospital depende, o painel na lateral de uma máquina, a tela no saguão de uma estação: muitos rodam um sistema operacional de uso geral com uma tarefa por cima, e todo o resto continua lá embaixo, desligado por configurações. O modo quiosque é a versão mais simples. Cada invasão é alguém encontrando a configuração que passou despercebida.

Deixar de fora, em vez disso

O NoWayOS começa pela outra ponta. Uma imagem do NoWayOS contém a aplicação do dispositivo, os drivers que essa aplicação usa e o microkernel seL4. Essa é a lista inteira.

Não há shell em que cair, porque nenhum shell jamais foi incluído. Não há login remoto com senha para adivinhar. Não há área de trabalho para onde escapar. Não há motor de navegador à espera de uma página maliciosa. Não dá para configurar errado um software que não está lá.

Tudo isso diz respeito ao sistema operacional. A aplicação que roda por cima é outra história: ela pode fazer os seus usuários entrarem com login, e pode fazer login em outros sistemas, sempre que a sua tarefa pedir. O que ela não tem por baixo é um sistema operacional em que alguém possa fazer login.

Chamamos isso de Single Purpose OS: um computador sem mais nada para fazer.

E o que está lá fica isolado

Deixar coisas de fora é metade da história. Cada parte que permanece (a rede, a tela, a entrada, a aplicação) roda em um compartimento próprio, um domínio de proteção nos termos do seL4, e alcança apenas o que lhe foi concedido. O driver de rede move pacotes. O driver de vídeo desenha. A aplicação fala com cada um por mensagens de tamanho fixo.

Cada concessão está registrada em um arquivo, um fato por linha, e o build falha se o sistema e o arquivo divergirem. Tudo é construído para que uma falha em uma parte fique nessa parte.

“Mas como se conserta isso sem um shell?”

É a primeira pergunta dos engenheiros, e é justa. Ninguém faz login no sistema operacional de um dispositivo NoWayOS: ele não tem contas, então não há usuário com quem entrar. Você constrói uma nova imagem e substitui a antiga. Hoje isso significa construí-la e carregá-la na placa; atualizações assinadas, verificadas pelo dispositivo e capazes de voltar atrás com segurança, estão projetadas e a caminho.

Em troca, você tem um dispositivo que inicia direto na sua única tarefa, com muito menos para corrigir e muito menos para atacar. Para os sistemas de que um país depende, essa troca é exatamente o objetivo.

Veja você mesmo

As evidências de uma imagem real do NoWayOS, o seu arquivo de concessões, a sua lista de materiais e o seu registro de configuração do seL4, estão na nossa página de segurança. Sem cadastro, sem script. Só os arquivos.