SCI Semiconductor, bellek güvenli ICENI çiplerini büyütmek için 5 milyon sterlin yatırım aldı

SCI Semiconductor’ın 5 milyon sterlinlik yeni yatırım turu, siber güvenlikte uzun süredir savunulan bir yaklaşımın ticari sınavı niteliğinde: Belirli bellek hatalarını yazılımda tek tek bulup yamamak yerine, işlemci mimarisi düzeyinde önlemeye çalışmak. Sheffield merkezli şirket, kaynağı ICENI çiplerinin üretimini artırmak ve yeni nesil bir ürün geliştirmek için kullanacak. 36

Yatırım turuna kimler katıldı, kaynak nerede kullanılacak?

Aşırı talep gören yatırım turuna, Northern Powerhouse Investment Fund II (NPIF II) kapsamındaki ilgili özsermaye fonlarını yöneten PXN Ventures ile Mercia Ventures liderlik etti. Siber güvenlik odaklı Osney Capital, ABD merkezli Black Opal Ventures ve özel yatırımcılar da tura katıldı. 36

SCI’nin önceliği, ICENI’ye yönelik talep doğrultusunda üretimi ölçeklemek ve çip geliştirmeyi sürdürmek. Şirket ilk cihazlarını ürettiğini, 2 milyon sterlinin üzerinde sipariş aldığını bildirdi. Ayrıca 7,7 milyon sterlin değerinde kamu sözleşmesi ve Google Research ile Microsoft ortaklıkları olduğunu belirtiyor. 612

Bu veriler erken dönem ticari hareketliliğe işaret ediyor. Ancak asıl eşik, müşteri ilgisini kalıcı ürün kullanımına dönüştürmek olacak: Sahada kurulu sistemlerde donanımın, yazılım araç zincirinin ve uygulamaların birlikte çalışması gerekiyor.

ICENI’nin farkı ne?

ICENI, Birleşik Krallık destekli araştırmalardan doğan yetenek tabanlı bir bilgisayar mimarisi olan CHERI’ye dayanıyor. CHERI, yazılımların belleğe nasıl erişebileceğini denetlemek için bellek güvenli işaretçiler ve güvenli bölümlendirme kullanıyor. Birleşik Krallık hükümeti bu yaklaşımı, sistem güvenliğini güçlendirmeyi ve yaygın bellek güvenliği açıklarının çoğunu ortadan kaldırmayı amaçlayan, tasarım aşamasından itibaren güvenlik modeli olarak tanımlıyor.

Pratikte hedef, geçersiz ya da sınır dışı bellek erişimi gibi hata sınıflarının istismar edilmesini zorlaştırmak. Bu, kod yazılıp dağıtıma alındıktan sonra uygulanan yazılım kontrollerine tek başına güvenmekten farklı bir yaklaşım.

Potansiyel önemli; çünkü bellek güvenliği hataları kalıcı bir güvenlik kusuru kaynağı olmaya devam ediyor. Birleşik Krallık hükümeti materyalleri, Google ve Microsoft araştırmalarına dayanarak devam eden siber güvenlik açıklarının %70’inin bellek güvenliği hatalarından kaynaklandığını aktarıyor.

Bellek güvenliği neden artık ticari bir mesele?

Bellek hataları yalnızca teorik bir siber güvenlik riski değil; aynı zamanda operasyonel kesintilere de dönüşebiliyor. CrowdStrike’ın Temmuz 2024’teki büyük kesintisi bir siber saldırı değildi. Ancak şirketin teknik kök neden analizine göre, sorunlu güncellemeden sonra yaşanan sistem çökmelerine Content Interpreter’daki gizli bir sınır dışı okuma hatası katkıda bulundu.

Bu, CHERI tabanlı bir tasarımın o kesintideki her faktörü mutlaka önleyeceği anlamına gelmiyor. Yine de kurumların, sorun ortaya çıktıktan sonra tespit ve müdahaleye bel bağlamak yerine tüm hata sınıflarını azaltmaya neden önem verdiğini gösteriyor.

Birleşik Krallık Ulusal Siber Güvenlik Merkezi (NCSC) de benzer bir stratejik değerlendirme yapıyor: Bellek güvenliği açıkları yaygın ve tasarımdan itibaren güvenli geliştirme, sürekli yama yönetimi ile olay müdahalesi yükünü azaltabilir. Bununla birlikte NCSC, özellikle internete açık ve kritik sistemlerde yamalamanın hâlâ zorunlu olduğunu vurguluyor.

CHERI nerede fayda sağlar, nerede yetersiz kalır?

Donanım tarafından zorlanan bellek sınırları, bazı bellek bozulması açıklarının ortaya çıkma ihtimalini veya etkisini azaltabilir. Bu özellik, uzun destek döngüsüne sahip ürünlerde ya da arızanın operasyonel sonuçlarının ağır olduğu ortamlarda özellikle değerli olabilir.

Ancak bellek güvenliği, güvenliğin yalnızca bir katmanı. CHERI tabanlı donanım; kimlik ve erişim kontrolü hatalarını, güvensiz güncelleme süreçlerini, yanlış yapılandırmaları, sosyal mühendisliği, tedarik zinciri risklerini veya uygulama mantığı hatalarını ortadan kaldırmaz. Güvenli yazılım geliştirme, test, izleme, açık yönetimi ve zamanında güncelleme yine gerekli.

Dolayısıyla SCI açısından ticari mesele yalnızca çip performansı değil. Müşterilerin, kabul edilemez maliyet, uyumluluk ya da geliştirme ödünleri vermeden CHERI farkındalığı olan donanım ve yazılımı gerçek ürünlerine entegre edebileceklerine ikna olmaları gerekecek.

AB Siber Dayanıklılık Yasası neyi değiştiriyor?

AB Siber Dayanıklılık Yasası’nın (Cyber Resilience Act/CRA) bildirim yükümlülükleri, dijital unsurlar içeren ürünlerin üreticileri için geçerli. 11 Eylül 2026’dan bu yana üreticiler, ürün güvenliğini etkileyen aktif olarak istismar edilen açıkları ve ciddi olayları bildirmek zorunda. Farkındalığın oluşmasından itibaren 24 saat içinde erken uyarı, bunu izleyen 72 saat içinde ise daha ayrıntılı bildirim yapılması gerekiyor. 1718

Bellek güvenli bir mimari, üreticilerin bildirime konu olabilecek bazı bellek bozulması açıklarına maruziyetini azaltmalarına ve daha güçlü bir güvenli-tasarım yaklaşımı ortaya koymalarına yardımcı olabilir. Ancak bu, otomatik CRA uyumluluğu sağlamaz. Ürün güvenliği yönetişimi, olay tespiti, açık yönetimi, raporlama süreçleri ve geçerli diğer yükümlülükler devam eder.

Sıradaki kanıt: Ölçekli kullanım

2022’de kurulan SCI’nin, Birleşik Krallık Accelerated CHERI Adoption Programme’ın çekirdek tedarikçilerinden biri olduğu bildiriliyor. Şirket ayrıca Sheffield ve Cambridge’deki 35 kişilik ekibine 15 kişi eklemeyi planlıyor. 1114

5 milyon sterlinlik tur, şirketin ilk silikon ve sipariş aşamasından seri üretim ölçeğine geçmesi için finansal alan sağlıyor. Şirketin temel tezi net: Bellek erişim kuralları donanımda uygulanabilirse, bazı açıklar yama, kesinti ya da bildirim sorununa dönüşmeden engellenebilir. Bunun yaygın kullanılan bir ürün kategorisine dönüşüp dönüşmeyeceğini ise müşteri entegrasyonu, geliştirici araçları ve üretim ortamındaki performans belirleyecek.