SCI Semiconductor גייסה 5 מיליון ליש״ט כדי להביא שבבים בטוחי-זיכרון לייצור בהיקף רחב

סבב הגיוס החדש של SCI Semiconductor בהיקף 5 מיליון ליש״ט הוא מבחן מסחרי לרעיון ותיק באבטחת סייבר: למנוע שגיאות מסוימות בגישה לזיכרון כבר בארכיטקטורת המעבד, במקום לנסות לאתר ולתקן כל מקרה בתוכנה. החברה, שמרכזה בשפילד שבבריטניה, מתכוונת להשתמש בכסף להגדלת ייצור שבבי ICENI ולפיתוח מוצר מהדור הבא. 36

מי השקיע ולאן יופנה הכסף

הגיוס, שנרשם ביתר, הובל בידי PXN Ventures ו-Mercia Ventures — מנהלי קרנות ההון של Northern Powerhouse Investment Fund II, קרן שנועדה לתמוך בצמיחת עסקים בצפון אנגליה. בסבב השתתפו גם משקיעת הסייבר Osney Capital, קרן Black Opal Ventures האמריקאית ומשקיעים פרטיים. 36

לפי SCI, העדיפות המיידית היא להרחיב את הייצור בתגובה לביקוש ל-ICENI, לצד המשך פיתוח השבבים. החברה כבר ייצרה את הרכיבים הראשונים ומדווחת על הזמנות ביותר מ-2 מיליון ליש״ט. עוד היא מדווחת על חוזים ממשלתיים בהיקף 7.7 מיליון ליש״ט ועל שותפויות עם Google Research ו-Microsoft. 612

הנתונים מצביעים על פעילות מסחרית ראשונית, אך האתגר הגדול יותר הוא מעבר מעניין והזמנות לאימוץ מתמשך. לשם כך, החומרה, כלי הפיתוח והתוכנות של הלקוחות צריכים לעבוד יחד במערכות המותקנות בפועל.

מה שונה ב-ICENI

ICENI מבוסס על CHERI — ארכיטקטורת מחשוב מבוססת יכולות (capabilities), שפותחה במסגרת מחקר שנתמך בבריטניה. CHERI משתמשת במצביעים בטוחי-זיכרון ובחלוקה מאובטחת של הזיכרון לאזורים כדי לשלוט באופן שבו תוכנה ניגשת לזיכרון. ממשלת בריטניה מתארת אותה כגישת "אבטחה בתכנון", שנועדה לחזק את אבטחת המערכות ולהסיר רבות מחולשות הזיכרון הנפוצות.

במונחים מעשיים, הגישה נועדה להקשות על ניצול של כשלים כגון גישה לא חוקית לזיכרון או קריאה וכתיבה מעבר לגבולות המוקצים. זהו הבדל מהותי מגישה שמסתמכת רק על בדיקות תוכנה לאחר שהקוד כבר נכתב ונפרס.

הפוטנציאל משמעותי, משום שבאגים של בטיחות זיכרון הם עדיין מקור מתמשך לליקויי אבטחה. חומר ממשלתי בריטי מצטט מחקר של Google ו-Microsoft, שלפיו באגי בטיחות זיכרון מהווים 70% מחולשות הסייבר המתמשכות.

מדוע בטיחות זיכרון היא גם בעיה עסקית

שגיאות זיכרון אינן רק סוגיה תיאורטית באבטחה; הן עלולות להפוך גם לאירועי אמינות ותפעול. התקלה העולמית של CrowdStrike ביולי 2024 לא הייתה מתקפת סייבר, אך בניתוח שורש-הסיבה הטכני של החברה נמצא שקריאה חבויה מעבר לגבולות מערך הנתונים (out-of-bounds read) ב-Content Interpreter תרמה לקריסות מערכות לאחר עדכון בעייתי.

אין בכך כדי לקבוע שתכנון המבוסס על CHERI היה מונע כל גורם באותו אירוע. אבל זה ממחיש מדוע ארגונים מבקשים לצמצם קטגוריות שלמות של באגים, ולא להישען רק על זיהוי ותיקון אחרי ההשקה.

גם המרכז הלאומי הבריטי לאבטחת סייבר, NCSC, מציג טיעון אסטרטגי דומה: חולשות בטיחות זיכרון נפוצות, ופיתוח מאובטח-בתכנון עשוי להפחית את הנטל המתמשך של ניהול טלאים ותגובה לאירועים. במקביל, ה-NCSC מדגיש שטלאי אבטחה עדיין חיוניים, במיוחד במערכות חשופות ובמערכות קריטיות.

מה CHERI עשויה לפתור — ומה לא

גבולות זיכרון שנאכפים בחומרה יכולים להפחית את ההסתברות או את ההשפעה של חלק מליקויי השחתת הזיכרון. הדבר עשוי להיות בעל ערך מיוחד במוצרים עם מחזורי תמיכה ארוכים, או בסביבות שבהן לכשל יש השלכות תפעוליות כבדות.

אולם בטיחות זיכרון היא רק שכבת הגנה אחת. חומרה מבוססת CHERI אינה מבטלת כשלי זהות והרשאות, תהליכי עדכון לא מאובטחים, תצורה שגויה, הנדסה חברתית, סיכוני שרשרת אספקה או שגיאות בלוגיקת היישום. עדיין נדרשים נהלי פיתוח מאובטח, בדיקות, ניטור, ניהול חולשות ועדכונים בזמן.

לכן, השאלה המסחרית עבור SCI רחבה מביצועי השבב בלבד: הלקוחות יצטרכו מסלול אמין לשילוב חומרה ותוכנה מודעות-CHERI במוצרים אמיתיים, בלי עלויות, בעיות תאימות או פשרות פיתוח בלתי קבילות.

מה משתנה עם חוק עמידות הסייבר האירופי

חובות הדיווח של Cyber Resilience Act של האיחוד האירופי חלות על יצרנים של מוצרים הכוללים רכיבים דיגיטליים. מאז 11 בספטמבר 2026, על יצרנים לדווח על חולשות שמנוצלות בפועל ועל אירועי אבטחה חמורים המשפיעים על אבטחת המוצר. יש למסור התראה ראשונית בתוך 24 שעות מהרגע שבו נודע על האירוע, ולאחריה דיווח מלא יותר בתוך 72 שעות. 1718

ארכיטקטורה בטוחת-זיכרון עשויה לעזור ליצרנים לצמצם חשיפה לחלק מחולשות השחתת הזיכרון שעשויות להיות בנות-דיווח, ולהציג גישה חזקה יותר של אבטחה בתכנון. עם זאת, היא אינה מעניקה תאימות אוטומטית לרגולציה: חובות ה-CRA עדיין דורשות ממשל אבטחת מוצר, זיהוי אירועים, טיפול בחולשות, תהליכי דיווח ועמידה ביתר הדרישות הרלוונטיות.

נקודת ההוכחה הבאה: אימוץ בהיקף רחב

SCI, שנוסדה ב-2022, מדווחת גם שהיא ספקית ליבה בתוכנית הממשלתית הבריטית Accelerated CHERI Adoption Programme, ומתכננת להוסיף 15 משרות לצוות בן 35 העובדים שלה בשפילד ובקיימברידג׳. 1114

סבב ה-5 מיליון ליש״ט נותן לחברה מרחב להתקדם משבבים ראשונים והזמנות ראשוניות אל היקף ייצור רחב יותר. ההצעה שלה פשוטה: אם כללי הגישה לזיכרון נאכפים בחומרה, ניתן למנוע חלק מהחולשות עוד לפני שהן הופכות לבעיית טלאים, השבתה או חובת גילוי. השאלה אם זה יהפוך לקטגוריית מוצרים נפוצה תלויה בשילוב אצל הלקוחות, בבשלות כלי הפיתוח ובהוכחת ביצועים במערכות ייצור.