Raspberry Pi -säätiö on osoittanut, miten avoimuus ja vastuullisuus voivat muuttaa tapaa, jolla teknologiateollisuus käsittelee tietoturvaongelmia. RP2350-ohjainpiirin ympärille luotu vuoden mittainen hacking challenge toi esiin neljä merkittävää haavoittuvuutta, jotka on nyt dokumentoitu ja joiden korjaaminen on jo työn alla.
Elokuussa 2023 julkistettu RP2350-ohjainpiiri perustuu Arm TrustZone -turvamalliin ja on suunniteltu turvallisiin sovelluksiin. Julkaisun yhteydessä säätiö käynnisti DEF CON -tapahtumahengessä kilpailun, jonka tarkoituksena oli löytää mahdollisia haavoittuvuuksia ennen laajempaa käyttöönottoa. Palkinto houkutteli alan huippuosaajia: ensimmäisen kuukauden ajan luvattiin 10 000 dollaria ensimmäisestä hyväksytystä löydöksestä. Kun yhtäkään haavoittuvuutta ei löytynyt alkuperäisen määräajan puitteissa, kilpailua jatkettiin vuoden 2024 loppuun ja palkkio kaksinkertaistettiin.
Lopputulos oli vaikuttava. Neljä erityisen oivaltavaa ja teknisesti haastavaa hyökkäystä löydettiin ja dokumentoitiin. Lisäksi säätiö palkitsi jokaisen osallistujan täysimääräisellä 20 000 dollarin palkkiolla, sillä kaikkien löydösten katsottiin olevan yhtä tärkeitä.
Haavoittuvuudet vaihtelivat mikropiirin syvien teknisten toimintojen manipuloinnista fyysisiin hyökkäyksiin, kuten laser- ja sähkömagneettisiin häiriöihin. Esimerkiksi yksi löydöksistä hyödynsi USB-bootloaderin eli käynnistyslataimen puutteita, kun taas toinen paljasti haavoittuvuuden antisulakemuistin suojauksessa.
Näistä löydöksistä saadut opit ovat jo muuttamassa RP2350:n tulevia versioita. Lisäksi ne ovat antaneet tärkeää tietoa laajemmalle teknologiateollisuudelle siitä, miten hyökkäyksiä voidaan ennakoida ja estää.
Raspberry Pi on osoittanut, että avoimuus ja yhteistyö voivat parantaa turvallisuutta ja lisätä luottamusta teknologisiin innovaatioihin. Sen sijaan, että ongelmat piilotettaisiin, säätiö toi ne esiin ja tarjosi palkintoja niiden korjaamiseksi. Tämä "turvallisuus läpinäkyvyyden kautta" -lähestymistapa eroaa merkittävästi monien muiden valmistajien "turvallisuus salailun kautta" -strategiasta.
Kilpailu ei myöskään pääty tähän. Säätiö on ilmoittanut uudesta haasteesta, joka keskittyy AES-salausmenetelmien sivukanavahyökkäysten torjumiseen. Tämä osoittaa heidän sitoutumisensa jatkuvaan parantamiseen ja avoimuuteen.
