Fatos Principais
- O artigo discute a criação de um diodo de dados sob medida para redes air-gapped.
- Um Field-Programmable Gate Array (FPGA) é usado como componente principal para garantir o fluxo de dados unidirecional.
- O design baseia-se na lógica de hardware em vez de software para garantir a segurança.
- Testes rigorosos são necessários para verificar o isolamento físico e elétrico entre as redes.
Resumo Rápido
O artigo oferece um passeio técnico detalhado sobre a criação de um diodo de dados sob medida projetado para redes air-gapped. Começa definindo o requisito crítico de segurança: garantir um caminho de dados físico e unidirecional que impeça qualquer possibilidade de dados fluindo de volta de uma rede segura para uma não confiável. O autor descreve a seleção dos componentes principais de hardware, focando especificamente no uso de um Field-Programmable Gate Array (FPGA) para implementar a lógica central.
Seções adicionais detalham o processo de desenvolvimento de firmware para o FPGA, projetado para estritamente fazer cumprir a transferência unidirecional de pacotes de dados. O artigo também aborda a construção física, incluindo as escolhas de gabinete e conectores, e a metodologia de testes rigorosa usada para validar a integridade do dispositivo. O projeto serve como um estudo de caso sobre os desafios e considerações de construir hardware de segurança personalizado em vez de depender de produtos comerciais.
Definindo os Requisitos
O projeto começou com um conjunto claro de requisitos de segurança para o diodo de dados. O objetivo principal era criar uma barreira imposta por hardware entre duas redes, garantindo que os dados pudessem se mover apenas de uma zona de segurança mais baixa para uma de segurança mais alta. Essa filosofia de air-gap exige que não exista nenhum caminho elétrico para o retorno de dados, eliminando efetivamente o risco de explorações remotas transpondo a fronteira.
Especificações-chave para o dispositivo incluíam:
- Suporte a taxas de transferência de dados de alta velocidade para acomodar o tráfego da rede.
- Um design físico robusto para evitar adulteração.
- Operação confiável sem intervenção de software que pudesse introduzir vulnerabilidades.
A decisão de construir uma solução personalizada foi impulsionada pela necessidade de métricas de desempenho específicas que não eram atendidas pelas ofertas comerciais existentes.
Arquitetura de Hardware 🛠️
O coração do diodo personalizado depende de um Field-Programmable Gate Array (FPGA). Diferente de um microprocessador padrão que executa instruções de software, o FPGA é configurado para atuar como um circuito digital fixo. Essa abordagem baseada em hardware é crítica para a segurança, pois remove a camada de software que poderia potencialmente ser comprometida ou conter bugs.
O design físico separa os lados de entrada e saída do dispositivo. O autor nota a importância de isolar as fontes de alimentação e os relógios (clocks) dos dois lados para prevenir ataques de canal lateral. A seleção de interfaces ópticas também foi uma decisão chave, pois as fibras ópticas naturalmente fornecem isolamento elétrico entre as redes.
Firmware e Design de Lógica
O desenvolvimento do firmware para o FPGA envolveu a criação de um design de lógica que estritamente impõe o fluxo unidirecional. O firmware atua como um porteiro, permitindo que pacotes de dados passem da interface de entrada para a interface de saída, mas bloqueando qualquer sinal tentando viajar na direção oposta. O autor descreve a implementação de uma máquina de estados simples para gerenciar esse processo.
Para garantir a confiabilidade, o design evita o buffering ou processamento complexo que poderia introduzir latência ou erros. A lógica é mínima e focada exclusivamente na tarefa de passar dados em uma direção. A validação do firmware foi realizada usando ferramentas de simulação antes de ser carregada no hardware físico.
Montagem e Testes
A montagem física do dispositivo exigiu atenção cuidadosa aos detalhes para manter a integridade do air gap. O gabinete foi projetado para separar completamente a eletrônica de entrada e saída. Os conectores foram montados em lados opostos da chassis para prevenir pontes acidentais ou erros de cabeamento.
Testar o diodo completo envolveu várias etapas:
- Inspeção Visual: Verificar se não existem conexões físicas não intencionais entre os lados seguro e inseguro.
- Teste de Isolamento Elétrico: Usar testes de alta tensão para confirmar a resistência entre as massas (grounds) isoladas.
- Verificação de Tráfego: Passar padrões de dados conhecidos através do dispositivo para garantir a integridade dos dados e confirmar que nenhum dado flui de volta.
O artigo conclui que, embora construir um diodo personalizado seja uma tarefa complexa, ele proporciona um alto grau de confiança na segurança da fronteira da rede.
