Secure System-on-Chip | Über den Schutz von Betriebssystemen und Hardware
In einer digitalisierten Welt voller Computer, IoT-Geräte und vernetzter Industrieanlagen ist es entscheidend, dass Technik zuverlässig funktioniert und Angreifer weder Systeme noch Daten manipulieren können. Sicherheit beginnt dabei nicht erst auf der Anwendungsebene, sondern setzt bereits direkt im Bereich der Hardware und Software an. Aus diesem Grund forscht Dr. Michael Weiß, Principal Scientist am Fraunhofer AISEC, mit seinem Team an Lösungen, die Sicherheitsmechanismen in Chips implementieren. Im Interview erklärt er, wie Komponenten geschützt und vertrauenswürdig werden. Er gibt Einblicke in sichere Container und erläutert, welche Rolle offene Standards wie RISC-V spielen.
Herr Dr. Weiß, Sie arbeiten schon seit 2010 am Fraunhofer AISEC in der Abteilung für Betriebssystemsicherheit, Secure Operating Systems. Können Sie kurz skizzieren, womit Sie sich beschäftigen?
In unserer Abteilung beschäftigen wir uns mit der Schnittstelle zwischen Hardware und Software. Primär kümmern wir uns darum, dass eine Software sicher auf z. B. Mikrocontrollern oder auf größeren Betriebssystemen wie Linux oder Windows läuft. Wir sorgen also im Prinzip dafür, dass Speicherbereiche geschützt sind, dass unterschiedliche Anwendungen voneinander isoliert laufen und dass Virtualisierung eingesetzt werden kann, um vertrauenswürdige Umgebungen bereitzustellen. So ermöglichen wir die sichere Ausführung einer Software-Komponente auch dann, wenn Angreifer versuchen, das System zu manipulieren.
Ein Thema, das in Ihrer Arbeit eine große Rolle spielt, ist GyroidOS. Was genau ist das?
GyroidOS ist eine sogenannte Virtualisierungsplattform auf Betriebssystem-Ebene, die am Fraunhofer AISEC entwickelt wurde. Ihr Schwerpunkt liegt auf Sicherheit, insbesondere bei der Ausführung isolierter Anwendungen.
Die Idee dahinter lässt sich gut über die Begriffe Virtualisierung und Container erklären. Virtualisierung bedeutet, dass auf einem physischen System mehrere voneinander getrennte »virtuelle« Umgebungen laufen können, die sich wie eigenständige Systeme verhalten. In diesen Umgebungen, den sogenannten Containern, laufen Anwendungen isoliert. Sie greifen nur auf die Ressourcen zu, die ihnen zugewiesen sind, und können das übrige System nicht beeinflussen. Außerdem werden Daten oft verschlüsselt gespeichert, um sie zusätzlich zu schützen. GyroidOS nutzt dieses Konzept gezielt. Jeder Container ist isoliert und garantiert ein klar definiertes Sicherheitsniveau, sodass unterschiedliche Anwendungen auf demselben Rechner parallel laufen können, ohne sich gegenseitig zu gefährden.
Braucht GyroidOS dafür spezielle Hardware?
Grundsätzlich funktioniert GyroidOS ohne Hardwareunterstützung. Es verwendet Mechanismen des Linux-Kernels, wie Speicher-Isolation und Verschlüsselung, um Container sicher zu betreiben. Gleichzeitig kann GyroidOS für besonders hohe Sicherheitsanforderungen auf vertrauenswürdige Hardwareanker, zum Beispiel Chips des OpenTitan-Projekts oder sogenannte Trusted Platfrom Modules (TPM) Chips, zurückgreifen. Diese Hardware sorgt dafür, dass der Startprozess des Systems und die Integrität wichtiger Komponenten überprüft werden. Auf dieser Basis baut GyroidOS dann weiter auf. Die Container sind isoliert, und durch zusätzliche Sicherheitsmechanismen wie Festplattenverschlüsselung oder Signierung von Softwarekomponenten entsteht eine Vertrauenskette vom Hardwareanker bis zur Anwendungsebene. So verbindet GyroidOS Software-Isolation mit hardwaregestütztem Schutz, was besonders leistungsfähig in sicherheitskritischen Anwendungen ist.
Welche Anwendungen laufen in GyroidOS-Containern?
GyroidOS ist sehr flexibel und unabhängig vom konkreten Anwendungsfall. Ein anschauliches Beispiel ist ein mobiles Ad-hoc-Netzwerk für Einsatzkräfte. Die Basis-Kommunikation läuft in einem Container offen, während sensible Kommunikation, etwa über ein VPN, in einem isolierten, sicheren Container abläuft. Dadurch sind Daten geschützt und werden nicht ungewollt weitergegeben.
Außerdem findet GyroidOS z. B. Anwendung im Bereich Telekommunikation und 6G, wie im Projekt »6G ANNA «. Dort werden Container genutzt, um kritische Kommunikationsprozesse isoliert zu betreiben, während andere Anwendungen auf derselben Hardware parallel laufen, ohne Sicherheitsrisiken zu verursachen.
Wie lange wird GyroidOS schon entwickelt?
Die Idee entstand ursprünglich 2012 im Rahmen einer wissenschaftlichen Publikation als Konzept für sichere Umgebungen auf mobilen Geräten. 2018 wurde die Plattform für IoT-Anwendungen adaptiert, insbesondere für Trusted-Connector-Szenarien. Heute ist GyroidOS ausgereift und wird bereits in Projekten für die Industrie eingesetzt, sowohl im Bereich IoT als auch in Cloud-Kontexten.
Was macht die Arbeit Ihres Instituts in diesem Bereich besonders?
Am Fraunhofer AISEC kombinieren wir Hardware- und Softwareexpertise, um Sicherheitsmechanismen ganzheitlich zu implementieren. Wir arbeiten an offenen Standards wie RISC-V und OpenTitan, um Vertrauen in Chips zu schaffen, und übertragen diese Sicherheitskonzepte auf komplexe Anwendungen. Das ist besonders, weil viele andere Ansätze entweder nur Hardware oder nur Software betrachten. Unser Ansatz fokussiert hingegen die gesamte Vertrauenskette vom Chip bis zur Anwendung, was moderne, vernetzte Systeme deutlich sicherer macht.
Über OpenTitan haben wir schon kurz gesprochen, doch wie hängt RISC-V mit GyroidOS zusammen?
RISC-V ist eine offene Hardware-Architektur, auf der sichere Plattformen wie GyroidOS laufen können. Sie ist frei zugänglich, ähnlich wie Open-Source-Software. Das bedeutet, dass jeder auf Basis der Spezifikation eigene Chips entwerfen oder bestehende Designs erweitern kann.
Am Fraunhofer AISEC wird GyroidOS in einem Secure System-on-Chip (SSoC) Kontext eingesetzt. Dabei wird eine Hardwareplattform entwickelt, die teilweise auf OpenTitan-Chips basiert und auf einem RISC-V-Prozessor läuft. Bei uns kümmern sich die Kolleg:innen der Hardware-Security-Abteilung zusammen mit Kolleg:innen des Fraunhofer IIS um das Design der Chips, während wir in der Abteilung für Betriebssystemsicherheit die Schnittstellen und die sichere Ausführung der Software betrachten. Auf diese Weise entsteht ein Software-Hardware-Co-Design, das Sicherheitsmechanismen sowohl auf der Hardware als auch auf der Betriebssystemebene umsetzt.
Damit die Konzepte aus dem Software-Hardware-Co-Design auf realer Hardware funktionieren, wird die Entwicklung der Chips in mehreren Schritten getestet und umgesetzt. Zunächst wird ein Emulator-Prototyp verwendet. Damit kann die Hardwarearchitektur virtuell getestet werden, noch bevor ein physischer Chip existiert. Im Emulator laufen die gleichen Software-Stacks, wie sie später auf der echten Hardware ausgeführt würden. Anschließend wird das Design auf einem Field-Programmable Gate Array (FPGA) getestet, also einem programmierbaren Hardwarebaustein, bevor die endgültige Chipfertigung beginnt.«
Emulator-Prototyp
Ein Emulator-Prototyp ist eine virtuelle Nachbildung einer Hardwareplattform, die es ermöglicht, Software schon zu testen, bevor die echte Hardware existiert. Dabei simuliert ein Emulator das Verhalten des späteren Chips oder Systems auf einem normalen Rechner. Entwickler:innen können auf dieser virtuellen Plattform Betriebssysteme, Treiber oder Sicherheitsmechanismen ausführen, prüfen und optimieren. So lassen sich Fehler und Sicherheitslücken früh erkennen, ohne auf die physische Hardware warten zu müssen. Nach erfolgreichen Tests wird die Software dann auf ein FPGA oder auf die fertige Hardware übertragen.
Wie stellt man sicher, dass beim Start eines Systems wirklich nur vertrauenswürdige Software ausgeführt wird?
Dafür nutzen wir einen Secure Boot. Der sorgt dafür, dass beim Start eines Systems nur Software ausgeführt wird, die als vertrauenswürdig erkannt wird. Der Prozess beginnt bereits im Read-Only Memory (ROM) der Hardware, das unveränderlich auf dem Chip gespeichert ist. Dieser ROM-Code prüft zunächst den Bootloader, ob er korrekt signiert ist. Danach startet der Bootloader das Betriebssystem, das ebenfalls überprüft wird, und anschließend die Container und Anwendungen. Auf diese Weise entsteht eine Vertrauenskette von der Hardware bis zur Software, die Manipulationen verhindert und die Integrität des Systems garantiert.
Bei modernen Plattformen wird der Secure Boot oft noch durch einen Trusted Platform Module (TPM)-Chip ergänzt. Dieser enthält kryptografische Schlüssel und speichert den Zustand der Plattform in geschützten Registern. So kann man im Nachgang verifizieren, dass das System wirklich so gestartet ist, wie vorgesehen, und dass keine unautorisierte Software ausgeführt wird. Das ist dann sogar aus der Ferne möglich.
Genau hier kommt dann auch GyroidOS ins Spiel. Wir starten die sicheren Container, die wie kleine, isolierte Betriebssysteme funktionieren. Jeder Container nutzt die Mechanismen des Betriebssystemkerns, einschließlich Verschlüsselung und Speicherisolation, und profitiert gleichzeitig von der Hardwareunterstützung durch Secure Boot und vertrauenswürdige Hardwareanker. Auf diese Weise lassen sich verschiedene Sicherheitsstufen parallel auf demselben Chip betreiben.
Und wie sieht das in der Cloud aus, wenn man nicht mehr einzelne Chips, sondern ganze virtuelle Maschinen nutzt?
In solchen Fällen sprechen wir von Confidential Computing. In modernen Cloud-Infrastrukturen laufen viele Anwendungen in virtuellen Maschinen, die für Nutzende gar nicht sichtbar sind. Confidential Computing sorgt dafür, dass Daten nicht nur auf der Festplatte, sondern auch im Speicher verschlüsselt sind, sodass selbst der Cloud-Betreiber keinen Zugriff darauf hat. Innerhalb dieser virtuellen Maschinen können wieder Container betrieben werden. GyroidOS stellt sicher, dass die Container selbst in einer Cloud-Umgebung isoliert bleiben. Damit lassen sich verschlüsselte, sichere Workloads ausführen, die für Unternehmen und kritische Anwendungen besonders relevant sind. Entsprechend lässt sich dieselbe Vertrauenskette aus Hardware und Software, die wir im Embedded-Bereich einsetzen, auch in der Cloud umsetzen.
Was sind die größten Herausforderungen bei Ihrer Arbeit?
Eine der größten Herausforderungen ist, alle Sicherheitsmechanismen sinnvoll miteinander zu kombinieren. Jeder Mechanismus erhöht die Sicherheit, kann aber auch Leistung kosten oder die Usability beeinflussen. Zum Beispiel müssen Schlüssel für die Authentisierung verwaltet werden, PINs oder Tokens verwendet werden – das kann in einem IoT-Gerät schwierig sein, das autonom läuft. Wir müssen also Lösungen finden, die sicher und gleichzeitig praktikabel sind.
Lassen Sie uns einen Blick in die Zukunft werfen. Wie wird GyroidOS weiterentwickelt?
GyroidOS ist keine fertige Software, sondern eine Plattform, die kontinuierlich weiterentwickelt wird. Neue Features entstehen aus Weiterentwicklungen im Linux-Kernel, aus Hardware-Mechanismen oder aus Forschungsthemen wie Quantenkryptografie. Ziel ist es, dass alle Mechanismen – von Secure Boot über Hardwareunterstützung bis hin zu Confidential Computing – in unterschiedlichen Anwendungsfällen nutzbar sind.
Besonders wichtig ist dabei Verifizierbarkeit: Nutzende sollen nachprüfen können, dass die Software in einer sicheren Umgebung läuft. Das geht über einfache Zertifikate hinaus. Es müssen alle ausgeführten Code-Schnipsel messbar sein, sodass nachvollziehbar ist, welche Software tatsächlich auf einer vertrauenswürdigen Plattform läuft.
Welche Bedeutung hat die Arbeit Ihrer Abteilung Secure Operating Systems langfristig für den Schutz kritischer Infrastrukturen und unsere digitale Souveränität?
Unsere Arbeit sorgt dafür, dass digitale Systeme zuverlässig, vertrauenswürdig und sicher funktionieren – vom Smartphone über vernetzte Industrieanlagen bis hin zu kritischen Infrastrukturen wie Energieversorgung oder Telekommunikation. Wenn Hardware und Software nicht korrekt zusammenarbeiten oder Angreifer unkontrollierten Zugriff bekommen, können Daten gestohlen, Prozesse manipuliert oder ganze Systeme lahmgelegt werden.
Mit GyroidOS und den zugrunde liegenden Sicherheitsmechanismen schaffen wir Vertrauensketten, die sicherstellen, dass jede Software-Komponente überprüfbar und geschützt ist. Das schützt nicht nur Unternehmen vor Cyberangriffen, sondern uns alle, weil unsere Daten, Kommunikation und Geräte sicherer werden. Gleichzeitig trägt die Arbeit an offenen Standards wie RISC-V dazu bei, dass die Technologie für die Industrie sowie Forschung weltweit nutzbar ist.
FMD.institute mit Bezug zu diesem Text
