SCI Semiconductor získal 5 milionů liber na rozšíření výroby čipů ICENI s bezpečnější pamětí

SCI Semiconductor získal 5 milionů liber v růstovém investičním kole. Pro firmu ze Sheffieldu nejde jen o peníze na výrobu čipů ICENI, ale o test obchodní životaschopnosti dlouhodobé bezpečnostní myšlenky: určité chyby paměti neodhalovat až v hotovém softwaru, ale bránit jim už návrhem procesoru. 36

Kdo do firmy investoval a na co kapitál půjde

Přeupsané investiční kolo vedly PXN Ventures a Mercia Ventures, správci příslušných akciových fondů Northern Powerhouse Investment Fund II. Zapojily se také specializovaný kyberbezpečnostní investor Osney Capital, americká Black Opal Ventures a soukromí investoři. 36

SCI uvádí, že nyní chce především zvýšit výrobu ICENI v reakci na poptávku a současně vyvinout čip nové generace. Firma už vyrobila první zařízení a podle svých údajů má objednávky za více než 2 miliony liber. Dále uvádí vládní zakázky v hodnotě 7,7 milionu liber a partnerství s Google Research a Microsoftem. 612

Tato čísla ukazují na počáteční zájem trhu. Další, náročnější krok však bude proměnit jej v trvalé nasazování: zákazníci potřebují, aby v reálných produktech fungovaly společně čipy, vývojářské nástroje i aplikace.

V čem se ICENI liší

ICENI staví na CHERI, architektuře založené na tzv. schopnostech (capabilities), která vznikla v rámci výzkumu podporovaného Spojeným královstvím. CHERI používá ukazatele s bezpečnějším přístupem k paměti a bezpečné oddělování částí paměti, aby řídila, jak k ní software přistupuje. Britská vláda ji popisuje jako přístup „security by design“, jehož cílem je posílit bezpečnost systémů a odstranit mnoho běžných zranitelností souvisejících s pamětí.

V praxi má tato koncepce ztížit zneužití problémů, jako je neplatný přístup do paměti nebo přístup za vyhrazený rozsah. To se zásadně liší od spoléhání pouze na kontroly v softwaru až poté, co byl kód napsán a nasazen.

Potenciál je výrazný, protože chyby paměťové bezpečnosti zůstávají častým zdrojem bezpečnostních problémů. Materiály britské vlády odkazují na výzkum Googlu a Microsoftu, podle něhož tyto chyby tvoří 70 % přetrvávajících kybernetických zranitelností.

Proč je bezpečnost paměti i byznysový problém

Chyby paměti nejsou jen teoretickým kyberbezpečnostním rizikem; mohou způsobovat i výpadky služeb. Výpadek CrowdStrike z července 2024 nebyl kyberútokem. Technická analýza příčiny od samotné společnosti však zjistila, že k pádům systémů po chybné aktualizaci přispělo skryté čtení mimo vymezený rozsah paměti v komponentě Content Interpreter.

Neznamená to, že by návrh založený na CHERI nutně zabránil všem okolnostem tohoto incidentu. Ukazuje to ale, proč organizace stále více řeší, jak omezit celé kategorie chyb, místo aby spoléhaly výhradně na jejich odhalení a nápravu po vydání produktu.

Podobný strategický argument uvádí britské Národní centrum pro kybernetickou bezpečnost (NCSC): zranitelnosti související s bezpečností paměti jsou rozšířené a vývoj bezpečný už od návrhu může snížit dlouhodobou zátěž spojenou se správou oprav a reakcí na incidenty. NCSC zároveň zdůrazňuje, že aktualizace jsou stále nezbytné, zejména u vystavených a kritických systémů.

Kde CHERI pomáhá — a kde nestačí

Hardwarově vynucené hranice přístupu k paměti mohou snížit pravděpodobnost či dopad části chyb poškozujících paměť. Zvlášť užitečné to může být u produktů s dlouhou dobou podpory nebo v prostředích, kde má selhání vysoké provozní následky.

Bezpečnost paměti je ale jen jednou vrstvou ochrany. Hardware založený na CHERI neodstraní nedostatky v řízení identit a přístupových práv, nezabezpečené aktualizace, chybné konfigurace, sociální inženýrství, rizika dodavatelského řetězce ani chyby v aplikační logice. Organizace proto stále potřebují bezpečné vývojové postupy, testování, monitoring, řízení zranitelností a včasné aktualizace.

Pro SCI tedy není klíčová pouze výkonnost čipu. Zákazníci budou potřebovat přesvědčivý způsob, jak do svých produktů integrovat hardware a software podporující CHERI bez nepřijatelných nákladů, problémů s kompatibilitou nebo kompromisů při vývoji.

Co mění evropský Cyber Resilience Act

Na výrobce produktů s digitálními prvky se vztahují oznamovací povinnosti podle evropského aktu o kybernetické odolnosti, známého jako Cyber Resilience Act (CRA). Od 11. září 2026 musí výrobci hlásit aktivně zneužívané zranitelnosti a závažné incidenty ovlivňující bezpečnost produktu. Předběžné varování musí odeslat do 24 hodin od zjištění a následně do 72 hodin podat úplné oznámení. 1718

Architektura s bezpečnější pamětí může výrobcům pomoci omezit vystavení části zranitelností způsobených poškozením paměti a doložit silnější přístup k bezpečnosti už od návrhu. Automatické splnění požadavků CRA ale nezajišťuje. Povinnosti dále vyžadují řízení bezpečnosti produktu, detekci incidentů, postupy pro práci se zranitelnostmi, ohlašovací procesy i splnění dalších použitelných požadavků.

Další zkouška: nasazení ve velkém

SCI, založená v roce 2022, je také uváděna jako klíčový dodavatel britského programu Accelerated CHERI Adoption Programme. Firma plánuje rozšířit tým čítající 35 lidí v Sheffieldu a Cambridge o dalších 15 pozic. 1114

Investice 5 milionů liber jí dává prostor přejít od prvních vyrobených čipů a objednávek k výrobě ve větším měřítku. Základní nabídka firmy je snadno pochopitelná: pokud lze pravidla přístupu do paměti vynucovat hardwarem, některým zranitelnostem lze předejít dříve, než se z nich stane problém vyžadující opravu, způsobující výpadek či podléhající oznamovací povinnosti. O tom, zda se z této myšlenky stane široce používaná kategorie produktů, rozhodne integrace u zákazníků, vyspělost vývojářských nástrojů a ověřený výkon v produkčním nasazení.