SCI Semiconductor rejser 5 mio. pund til hukommelsessikre chips

SCI Semiconductors nye kapitalindsprøjtning på 5 mio. pund er også en kommerciel prøve for en velkendt idé i cybersikkerhed: I stedet for alene at finde og lappe hukommelsesfejl i software skal visse fejltyper forebygges i selve processorarkitekturen. Virksomheden fra Sheffield vil bruge pengene på at øge produktionen af ICENI-chips og udvikle et produkt i næste generation. 36

Investorerne og planen for pengene

Den overtegnede runde blev ledet af PXN Ventures og Mercia Ventures, som forvalter de relevante aktiefonde under Northern Powerhouse Investment Fund II. Den specialiserede cybersikkerhedsinvestor Osney Capital, amerikanske Black Opal Ventures og private investorer deltog også. 36

SCI oplyser, at den umiddelbare prioritet er at skalere produktionen som svar på efterspørgslen efter ICENI og samtidig fortsætte chipudviklingen. Selskabet har allerede produceret sine første enheder og oplyser at have ordrer for mere end 2 mio. pund. Det oplyser desuden at have offentlige kontrakter for 7,7 mio. pund samt partnerskaber med Google Research og Microsoft. 612

Tallene peger på tidlig markedsinteresse. Den sværeste opgave bliver dog at omsætte interessen til varig udbredelse: Hardware, udviklingsværktøjer og applikationer skal fungere sammen i kundernes faktiske produkter.

Hvad adskiller ICENI?

ICENI bygger på CHERI, en kapabilitetsbaseret computerarkitektur udviklet gennem britisk-støttet forskning. CHERI anvender hukommelsessikre pointers og sikker opdeling af hukommelsen i afgrænsede områder for at styre, hvordan software får adgang til hukommelse. Den britiske regering beskriver teknologien som security by design, der skal styrke systemsikkerheden og fjerne mange almindelige sårbarheder knyttet til hukommelse.

I praksis skal det gøre fejl som ugyldig hukommelsesadgang eller adgang uden for et datas områdes grænser sværere at udnytte. Det er en anden tilgang end udelukkende at stole på softwarekontroller, efter koden er skrevet og taget i brug.

Potentialet er betydeligt, fordi hukommelsessikkerhedsfejl fortsat er en hyppig kilde til sikkerhedsproblemer. Britisk regeringsmateriale henviser til forskning fra Google og Microsoft, som anslår, at hukommelsessikkerhedsfejl står for 70 % af de løbende cybersårbarheder.

Hvorfor hukommelsessikkerhed også er et driftsproblem

Hukommelsesfejl er ikke kun et teoretisk sikkerhedsproblem; de kan også udløse alvorlige driftsforstyrrelser. CrowdStrikes nedbrud i juli 2024 var ikke et cyberangreb, men virksomhedens tekniske årsagsanalyse fastslog, at en latent læsning uden for dataområdets grænser i dens Content Interpreter bidrog til systemnedbrud efter en fejlbehæftet opdatering.

Det betyder ikke, at et CHERI-baseret design nødvendigvis ville have fjernet alle forhold bag den hændelse. Men sagen viser, hvorfor flere organisationer vil reducere hele kategorier af fejl frem for kun at opdage og afhjælpe dem efter en lancering.

Det britiske National Cyber Security Centre, NCSC, fremfører et lignende strategisk argument: Hukommelsessårbarheder er udbredte, og udvikling med sikkerhed indbygget fra starten kan mindske den løbende byrde med patchhåndtering og hændelsesrespons. NCSC understreger samtidig, at opdateringer fortsat er nødvendige – særligt for eksponerede og kritiske systemer.

Hvor CHERI kan hjælpe – og hvor det ikke er nok

Hukommelsesgrænser, der håndhæves i hardware, kan mindske sandsynligheden for eller konsekvenserne af visse hukommelseskorruptionsfejl. Det kan være særligt værdifuldt i produkter med lange supportperioder eller i miljøer, hvor fejl får store driftsmæssige konsekvenser.

Hukommelsessikkerhed er dog kun ét lag i sikkerheden. CHERI-baseret hardware fjerner ikke fejl i identitets- og adgangsstyring, usikre opdateringsprocesser, fejlkonfiguration, social engineering, risici i forsyningskæden eller fejl i applikationslogik. Organisationer har fortsat brug for sikker softwareudvikling, test, overvågning, sårbarhedshåndtering og rettidige opdateringer.

Det kommercielle spørgsmål for SCI handler derfor om mere end chipydelse: Kunderne skal have en troværdig vej til at integrere CHERI-bevidst hardware og software uden uacceptable kompromiser i pris, kompatibilitet eller udviklingstid.

Hvad EU's Cyber Resilience Act ændrer

EU's Cyber Resilience Act (CRA) omfatter producenter af produkter med digitale elementer. Fra 11. september 2026 skal producenter indberette aktivt udnyttede sårbarheder og alvorlige hændelser, der påvirker produktsikkerheden. En tidlig advarsel skal indsendes senest 24 timer efter, at producenten er blevet bekendt med forholdet, efterfulgt af en mere fuldstændig anmeldelse inden for 72 timer. 1718

En hukommelsessikker arkitektur kan hjælpe producenter med at mindske eksponeringen mod nogle indberetningspligtige hukommelseskorruptionssårbarheder og dokumentere en stærkere tilgang til sikkerhed indbygget i designet. Men det giver ikke automatisk CRA-overholdelse. Reglerne kræver stadig styring af produktsikkerhed, registrering af hændelser, håndtering af sårbarheder, indberetningsprocesser og andre relevante krav.

Næste bevis: Udbredelse i stor skala

SCI, der blev grundlagt i 2022, omtales også som en kerneleverandør til det britiske Accelerated CHERI Adoption Programme. Virksomheden planlægger at ansætte yderligere 15 medarbejdere til sit team på 35 personer i Sheffield og Cambridge. 1114

Runden på 5 mio. pund giver SCI mulighed for at bevæge sig fra de første chips og ordrer mod produktion i større skala. Grundideen er enkel: Hvis reglerne for adgang til hukommelse håndhæves i hardware, kan nogle sårbarheder forebygges, før de bliver til et problem med patching, nedbrud eller indberetning. Om det bliver en bredt anvendt produktkategori, afhænger af kundernes integration, udviklerværktøjer og dokumenteret ydeevne i produktionsmiljøer.