OpenTitan: 더 안전한 시스템을 위한 투명하고 오픈소스 실리콘 신뢰 루트 개척

기기 연결성이 확장됨에 따라 사이버 공격 위험도 커진다. 안전한 하드웨어의 핵심에는 신뢰 루트(RoT, Root of Trust)가 있다. 많은 제조업체가 실리콘에 RoT를 내장하지만, 독점 설계는 종종 투명성이 부족하여 설계자들이 보이지 않는 구성요소에 맹목적인 신뢰를 두도록 강요한다.

OpenTitan이 등장했다. 전례 없는 개방성과 접근성을 통해 신뢰할 수 있는 보안을 실리콘 수준에서 바로 사용할 수 있도록 하기 위해 헌신한 연합이다.

이 이니셔티브는 ETH 취리히, G+D 모바일 시큐리티, 구글(Google), 누보톤 테크놀로지(Nuvoton Technology), 웨스턴 디지털(Western Digital) 같은 리더들을 하나로 모으며, 독립적인 비영리 단체 lowRISC CIC(영국 케임브리지)가 주도한다. 구글의 타이탄(Titan) 칩과 ETH의 RISC-V 코어의 진화를 활용하여, 이 프로젝트는 중요한 시스템의 신뢰를 뒷받침할 더 개방적이고 투명하며 고품질의 RoT를 제공하는 것을 목표로 한다.

OpenTitan은 파운드리 경계까지 사실상 모든 것을 공개하는 급진적인 투명성을 약속한다. 파트너 기업의 엔지니어들이 실리콘 RoT의 논리 설계를 공개적으로 제작하고 있으며, 여기에는 lowRISC Ibex RISC-V 프로세서, 암호화 코프로세서, 하드웨어 난수 생성기, 정교한 키 계층, 휘발성 및 비휘발성 메모리 인터페이스, 방어 메커니즘, I/O 주변기기, 시큐어 부트 로직이 포함된다. 그 결과는 데이터센터 서버, 스토리지 어레이, 주변기기 등에 적합한 고품질 RoT 설계와 통합 가이드라인이 될 것이다.

실리콘 설계를 오픈소스화하면 투명성, 신뢰, 궁극적으로 보안이 향상된다. 실리콘 RoT는 부팅 펌웨어를 인증하고, 저수준 멀웨어를 방지하며, 암호학적으로 고유한 기계 신원을 제공함으로써 하드웨어 스택과 그 소프트웨어가 검증된 신뢰할 수 있는 상태에 있도록 보장한다. 또한 출하 중에도 암호화 키를 변조로부터 보호하고, 변조 감지 감사 추적과 런타임 보안 서비스를 제공한다.

"시스템 무결성은 실리콘에 고정되어야 합니다."라고 도미닉 리조(Dominic Rizzo) 구글 클라우드 OpenTitan 리더가 프로젝트 출범 시 선언했다. "우리는 구글 데이터센터용 독점 타이탄 RoT를 구축했으며, 투명한 통합과 명령어 무결성이 필수적임을 배웠습니다. OpenTitan은 동일한 수준의 신뢰를 공개적으로 사용 가능하고 유연하게 만들며, 맹목적인 신뢰의 필요성을 제거합니다."

왜 오픈소스인가?

OpenTitan 창립 파트너 (이미지: OpenTitan)

대부분의 설계에서 RoT는 부트 프로세서와 초기 펌웨어를 보유한 비휘발성 ROM 또는 플래시 사이에 물리적으로 위치한다. RoT는 프로세서가 부팅을 시작하기 전에 펌웨어 무결성을 검증하며, 잠재적 펌웨어 버그가 발생할 경우 복구 경로를 제공할 수 있다. RoT 모듈은 일반적으로 별도 칩 또는 SoC에 내장된 IP 블록이다.

실리콘 RoT는 서버 마더보드, 네트워크 카드, 노트북과 폰 같은 클라이언트 기기, 소비자 라우터, IoT 기기에 적용된다. 구글은 커스텀 타이탄 RoT에 의존하여 데이터센터 기계가 검증된 코드에서만 부팅되도록 보장해 왔다.

구글은 "실리콘에 신뢰를 고정해야 한다"는 필요성을 강조하며 "파트너들과 함께 신뢰할 수 있는 RoT 칩의 혜택을 업계 전반에 공유하기 위해 오픈소스로 만들 것"이라고 밝혔다.

웨스턴 디지털의 연구개발 VP 리처드 뉴(Richard New)는 현재 유통되는 모든 RoT 칩이 독점적이라고 지적했다. "구현이 불투명하기 때문에 최종 사용자는 RoT의 아키텍처, 펌웨어, 하드웨어 설계의 품질을 독립적으로 검증할 수 없습니다."라고 그는 말했다. "사용자는 설계자가 오류 없이 올바르게 구현했음을 신뢰해야 합니다."

OpenTitan은 오픈소스 실리콘 RoT가 오픈소스 소프트웨어와 같은 신뢰 구축 이점을 제공한다고 주장한다: 투명한 설계, 조기 이슈 탐지, 맹목적 신뢰 감소. 커뮤니티 기여가 혁신을 주도하며, 공통 레퍼런스 설계는 구현 선택권을 제공하고 인터페이스 일관성을 보존한다.

OpenTitan은 "파운드리 경계" 바로 앞까지 거의 모든 것을 여는 급진적인 투명성 수준을 제공할 것으로 기대된다. (이미지: OpenTitan)

OpenTitan의 전략은 투명성, 품질, 유연성이라는 세 가지 기둥에 기반한다. 누구나 설계와 문서를 검사, 평가, 기여할 수 있어 투명하고 신뢰할 수 있는 실리콘 RoT를 보장한다. 그룹은 레퍼런스 펌웨어, 검증 자료, 포괄적인 문서를 완비한 고품질의 논리적으로 안전한 설계를 제공한다. 유연성은 채택자가 벤더 독립적인 RoT를 서버, 스토리지, 주변기기 및 기타 기기에 통합하여 비용을 낮추고 더 넓은 시장에 도달할 수 있게 한다.

기자 회견에서 개빈 페리스(Gavin Ferris) lowRISC 공동 설립자이자 이사회 멤버는 "레퍼런스 설계에서 약 40-50% 완료했습니다."라고 말했다.

뉴는 "OpenTitan은 우리 전략에서 주요 역할을 할 것입니다. 웨스턴 디지털은 리눅스와 RISC-V를 생각하면 오랫동안 오픈소스를 옹호해 왔으며, 가장 안전한 솔루션은 열리고 검증 가능한 구현과 투명한 정책에서 나온다고 믿습니다. OpenTitan은 독점 모델을 파괴하고 업계에 고품질의 오픈 레퍼런스 RoT를 제공할 잠재력을 가지고 있습니다."라고 덧붙였다.

업계 반응

IoT 보안 재단의 전무 이사 존 무어(John Moor)는 EE Times Europe에 RoT가 IoT 보안에 필수적이라고 말했다. "비용이 주요 장벽이므로 오픈소스 RoT가 도움이 될 것입니다."라고 그는 말하며, 검증과 구글의 지원이 신뢰성을 더한다고 덧붙였다.

lowRISC 의장이자 Arm이 된 회사의 전 설립자인 앤디 호퍼(Andy Hopper)는 "실리콘 신뢰 루트는 독점적이기엔 너무 중요합니다. OpenTitan은 오픈소스 개발이 어떻게 혁신을 촉진하고 진정으로 신뢰할 수 있는 실리콘을 제공하는지 보여줍니다. 포스트 무어의 법칙 세계에서 협업과 투명성이 앞으로의 길입니다."라고 논평했다.

시큐어 싱즈(Secure Thingz) CEO이자 전 Arm 보안 리더인 헤이든 포비(Haydn Povey)는 오픈이든 독점이든 RoT에 대한 인식을 높일 필요성을 강조했다. "보안은 결코 완벽할 수 없지만, 개방적인 논의를 촉진하면 격차를 방지할 수 있습니다. 올바르게 수행되면 오픈소스는 훨씬 더 안전할 수 있습니다."라고 그는 말했다.

포비는 보안이 에지에서 엔터프라이즈까지 다음 컴퓨팅 개척지이며, OpenTitan이 오픈소스 시스템 보안을 향한 중요한 진전을 나타낸다고 강조했다.