Verbundprojekt: Advanced Privacy of IoT Devices through Robust Hardware Implementations - APRIORI -; Teilvorhaben: Absicherung PUF-basierter Schlüsselspeicherlösungen gegen Fehlerangriffe

In der zunehmend vernetzten Welt des Internet der Dinge (IoT) sammeln und verarbeiten kleine, stark ressourcenbeschränkte Geräte hochsensible Daten. Sensible Daten werden über eine drahtlose Verbindung empfangen und zu Servern gesendet oder mit anderen berechtigten Geräten geteilt. Parallel dazu sind IoT-Geräte häufig für potenzielle Angreifer zugänglich, was Angriffe auf Protokollebene, aber auch Manipulationen der Hardware (HW) ermöglicht. Da viele IoT-Geräte ressourcenbeschränkt sind und kein Trusted Platform Module (TPM) besitzen, wird von den französischen und deutschen Partnern in APRIORI ein leichtgewichtiges, sicheres System entwickelt. Die Technische Universität München trägt zu diesem System insbesondere in Bezug auf das Physical Unclonable Function (PUF) basierte Subsystem bei, mit dem Schlüsselmaterial im System gespeichert werden soll. Mit diesem können einfach und kostengünstig geräteindividuelle Schlüssel eingeprägt werden, die intrinsisch mit der HW verbunden sind. Da IoT-Geräte potenziell für Angreifer zugänglich sind, wurden Fehlerangriffe (FIA) als kritischer Angriffsvektor identifiziert, der sowohl Security als auch Privacy eines Geräts, und in der Folge die Sicherheit ganzer Netzwerke, aushebeln kann. Die TUM erforscht in APRIORI wie sich Fehlerangriffe (FIA) auf die Schlüsselableitung aus PUFs auswirken und entwickelt auf entsprechende Gegenmaßnahmen um die PUF-basierte Schlüsselableitung gegen FIA zu schützen. Darüber hinaus werden von der TUM auch Sensoren zur Erkennung von FIA untersucht. Die Konzepte werden von der TUM in Zusammenarbeit mit deutschen und französischen Partnern des Projekts implementiert und bilden einen entscheidenden Baustein für einen Demonstrator, welcher auf einem Mikrocontroller mit der RISC-V Befehlssatzarchitektur basiert und ein ganzheitliches Beispiel für einen durchgängigen Privacy-by-Design- und Security-by-Design-Ansatz realisiert.