SCI Semiconductor hakee kasvua muistiturvallisista ICENI-siruista

SCI Semiconductorin 5 miljoonan punnan kasvurahoitus on käytännön koe yhdelle tietoturvan pitkäaikaiselle ajatukselle: kaikkia muistivirheitä ei yritetä löytää ja paikata ohjelmistosta jälkikäteen, vaan osa niistä pyritään estämään jo suorittimen arkkitehtuurissa. Sheffieldissä toimiva yhtiö käyttää rahoituksen ICENI-sirujen tuotannon kasvattamiseen ja seuraavan sukupolven sirun kehitykseen. 36

Rahoittajat ja käyttökohteet

Ylikysytyn kierroksen vetivät PXN Ventures ja Mercia Ventures, jotka hallinnoivat Northern Powerhouse Investment Fund II:n osakerahastoja. Mukana olivat myös kyberturvallisuuteen erikoistunut Osney Capital, yhdysvaltalainen Black Opal Ventures sekä yksityisiä sijoittajia. 36

SCI:n mukaan välitön painopiste on ICENI-sirujen tuotannon kasvattamisessa kysynnän vuoksi sekä sirukehityksen jatkamisessa. Yhtiö kertoo valmistaneensa ensimmäiset laitteensa ja saaneensa yli 2 miljoonan punnan edestä tilauksia. Lisäksi se kertoo 7,7 miljoonan punnan julkisista sopimuksista sekä kumppanuuksista Google Researchin ja Microsoftin kanssa. 612

Luvut viittaavat varhaiseen markkinakysyntään, mutta ratkaiseva haaste on kiinnostuksen muuttaminen pysyväksi käyttöönotoksi. Asiakkaat tarvitsevat yhteen toimivat laitteet, ohjelmistotyökalut ja sovellukset ennen kuin teknologiaa voidaan ottaa laajasti käyttöön todellisissa tuotteissa.

Mitä ICENI tekee toisin?

ICENI perustuu CHERIin, joka on brittiläisen julkisen tutkimustuen piirissä kehitetty kyvykkyyspohjainen tietokonearkkitehtuuri. CHERI käyttää muistiturvallisia osoittimia ja turvallista muistilokeroimista hallitakseen ohjelmistojen pääsyä muistiin. Britannian hallitus kuvaa sitä tietoturvaa jo suunnitteluun rakentavaksi lähestymistavaksi, jonka tavoitteena on vahvistaa järjestelmien suojaa ja poistaa monia tavallisia muistiin liittyviä haavoittuvuuksia.

Käytännössä tavoitteena on tehdä esimerkiksi virheellisestä tai muistin rajat ylittävästä käytöstä vaikeampaa hyödyntää hyökkäyksissä. Tämä poikkeaa mallista, jossa turvaudutaan vain ohjelmistotarkistuksiin sen jälkeen, kun koodi on kirjoitettu ja otettu käyttöön.

Panokset ovat suuret, sillä muistiturvallisuusvirheet ovat edelleen sitkeä tietoturvaongelma. Britannian hallituksen aineiston mukaan Googlen ja Microsoftin tutkimuksissa muistiturvallisuusvirheiden arvioidaan muodostavan 70 % jatkuvista kyberhaavoittuvuuksista.

Muistiturvallisuus on myös toimintavarmuutta

Muistivirheet eivät ole vain teoreettinen kyberuhka, vaan ne voivat aiheuttaa vakavia käyttökatkoja. CrowdStriken heinäkuun 2024 häiriö ei ollut kyberhyökkäys, mutta yhtiön teknisen juurisyyanalyysin mukaan sen Content Interpreter -komponentissa ollut piilevä muistin rajat ylittävä luku oli yksi järjestelmien kaatumiseen johtaneista tekijöistä ongelmallisen päivityksen jälkeen.

Tästä ei seuraa, että CHERI-pohjainen rakenne olisi estänyt kaikki CrowdStrike-tapauksen taustalla vaikuttaneet tekijät. Tapaus kuitenkin havainnollistaa, miksi organisaatiot pyrkivät vähentämään kokonaisia virheluokkia sen sijaan, että ne luottaisivat yksinomaan virheiden havaitsemiseen ja korjaamiseen julkaisun jälkeen.

Britannian kansallinen kyberturvallisuuskeskus NCSC esittää samanlaisen strategisen näkemyksen: muistiturvallisuushaavoittuvuudet ovat yleisiä, ja turvallisuus suunnittelussa -ajattelu voisi vähentää jatkuvaa paikkausten hallinnan ja poikkeamiin reagoinnin taakkaa. NCSC korostaa silti, että paikkaaminen on edelleen välttämätöntä etenkin internetiin näkyvissä ja kriittisissä järjestelmissä.

Missä CHERI auttaa – ja missä ei

Laitteistotasolla pakotetut muistirajat voivat pienentää joidenkin muistinkorruptiovirheiden todennäköisyyttä tai vaikutuksia. Tästä voi olla erityistä hyötyä tuotteissa, joilla on pitkä tukiaika, tai ympäristöissä, joissa häiriön seuraukset ovat vakavia.

Muistiturvallisuus on kuitenkin vain yksi tietoturvan kerros. CHERI-pohjainen laitteisto ei poista identiteetin- ja käyttöoikeuksien hallinnan puutteita, turvattomia päivitysprosesseja, virheasetuksia, sosiaalista manipulointia, toimitusketjuriskejä tai sovelluslogiikan virheitä. Turvalliset kehityskäytännöt, testaus, valvonta, haavoittuvuuksien hallinta ja oikea-aikaiset päivitykset ovat edelleen tarpeen.

SCI:n kaupallinen kysymys onkin sirun suorituskykyä laajempi: asiakkailla on oltava uskottava tapa ottaa CHERI-tietoinen laitteisto ja ohjelmisto osaksi omia tuotteitaan ilman kohtuuttomia kustannuksia, yhteensopivuusongelmia tai kehitystyön kompromisseja.

Mitä EU:n kyberresilienssiasetus merkitsee?

EU:n kyberresilienssiasetuksen (Cyber Resilience Act, CRA) raportointivelvoitteet koskevat digitaalisen elementin sisältävien tuotteiden valmistajia. Valmistajien on pitänyt 11.9.2026 alkaen ilmoittaa aktiivisesti hyväksikäytetyistä haavoittuvuuksista ja vakavista tuoteturvallisuuteen vaikuttavista poikkeamista. Ennakkovaroitus on tehtävä 24 tunnin kuluessa tiedon saamisesta, ja kattavampi ilmoitus 72 tunnin kuluessa. 1718

Muistiturvallinen arkkitehtuuri voi auttaa vähentämään altistusta osalle ilmoitusvelvollisuuden piiriin kuuluvista muistinkorruptiohaavoittuvuuksista ja tukea turvallisuutta jo suunnitteluvaiheessa. Se ei kuitenkaan tarkoita automaattista CRA-vaatimustenmukaisuutta. Valmistajalla on silti oltava muun muassa tuoteturvallisuuden hallinta, kyky havaita poikkeamat, haavoittuvuuksien käsittelyprosessit ja raportointivalmius.

Seuraava näyttö tulee käyttöönotosta

Vuonna 2022 perustettu SCI on tietojen mukaan myös keskeinen toimittaja Britannian Accelerated CHERI Adoption Programme -ohjelmassa. Yhtiö suunnittelee lisäksi 15 uuden tehtävän avaamista Sheffieldin ja Cambridgen 35 hengen tiimiinsä. 1114

Viiden miljoonan punnan rahoitus antaa yhtiölle mahdollisuuden siirtyä ensisiruista ja ensimmäisistä tilauksista kohti suurempaa tuotantomittakaavaa. Sen ydinväite on selkeä: jos muistin käytön säännöt voidaan pakottaa laitteistossa, osa haavoittuvuuksista voidaan estää ennen kuin niistä tulee päivitys-, käyttökatko- tai ilmoitusongelmia. Se, kehittyykö tästä laajasti käyttöön otettava tuoteluokka, ratkeaa asiakkaiden integraatioissa, kehittäjätyökaluissa ja tuotantoympäristöissä osoitetussa suorituskyvyssä.