Những con chip này về cơ bản là những chiếc máy tính nhỏ hoạt động độc lập với các linh kiện khác trong điện thoại của bạn. Chúng có các vi xử lý và bộ nhớ riêng, và chạy các hệ điều hành tí hon của riêng chúng.
Hệ điều hành thông thường trên điện thoại của bạn, cùng với các ứng dụng hoạt động trên hệ điều hành đó, không thể thấy được khu vực bảo mật này. Nhờ vậy, nó được bảo vệ khỏi các hành vi xâm phạm và cho phép nó thực hiện rất nhiều thứ hữu dụng.
Một vi xử lý độc lập
Secure Enclave là một phần trong SoC dòng A của Apple
Những con chip bảo mật hoạt động theo nhiều cách khác nhau. Trên chiếc điện thoại Pixel mới của Google, Titan M là một con chip vật lý thực thụ nằm tách biệt với CPU thông thường của máy.
Trong khi đó, Secure Enclave của Apple và TrustZone của ARM về mặt kỹ thuật lại không phải là một con chip riêng. Thay vào đó, chúng là một vi xử lý độc lập, tách biệt, được tích hợp thẳng vào SoC chính của thiết bị. Dù vậy, chúng vẫn có một vi xử lý và một vùng nhớ riêng. Nói một cách dễ hiểu, chúng như một con chip nằm bên trong con chip chính vậy.
Dù dưới hình thức nào, thì chip bảo mật cũng là một "đồng vi xử lý" (coprocessor) tách biệt, có vùng nhớ riêng và chạy hệ điều hành riêng. Chúng hoàn toàn bị cô lập khỏi mọi thứ khác.
Cứ tưởng tượng, nếu toàn bộ hệ điều hành Android hay iOS của bạn bị can thiệp bởi malware, và malware đó truy cập được mọi thứ, nó vẫn sẽ không thể truy cập được nội dung bên trong vùng bảo mật nói trên.
Chip bảo mật bảo vệ điện thoại của bạn ra sao?
Secure Enclave nắm giữ chìa khóa mở ra dữ liệu sinh trắc học của Face ID
Dữ liệu trên điện thoại của bạn được lưu trữ dưới hình thức mã hóa trên bộ nhớ. Chìa khóa để mở dữ liệu đó được lưu trữ trong khu vực bảo mật. Khi bạn mở khóa điện thoại bằng mã PIN, mật mã, Face ID, hay Touch ID, vi xử lý bên trong khu vực bảo mật sẽ xác thực danh tính bạn và sử dụng khóa để giải mã dữ liệu đang ở trong bộ nhớ.
Khóa giải mã này không bao giờ lọt ra khỏi khu vực bảo mật của chip bảo mật. Nếu một kẻ tấn công tìm cách đăng nhập bằng cách đoán đi đoán lại mã PIN hay mật mã, chip bảo mật có thể giữ chân chúng và buộc chúng phải chờ đợi giữa các lần đăng nhập.
Ngay cả khi kẻ đó đã xâm nhập được vào hệ điều hành chính của thiết bị, chip bảo mật cũng sẽ hạn chế được khả năng truy xuất vào các khóa bảo mật của bạn.
Trên iPhone hay iPad, Secure Enclave lưu trữ các khóa mã hóa để bảo vệ thông tin khuôn mặt (Face ID) hay vân tay (Touch ID) của bạn. Kể cả khi ai đó đánh cắp được điện thoại và bằng cách nào đó can thiệp được vào iOS, chúng cũng sẽ không thể xem thông tin vân tay hay khuôn mặt được.
Chip Titan M của Google còn có thể bảo vệ các giao dịch nhạy cảm trong các ứng dụng Android. Các ứng dụng có thể sử dụng hàm API StrongBox KeyStore mới của Android 9 để tạo và lưu trữ các khóa riêng tư của chính chúng vào Titan M.
Google Pay sẽ sớm ứng dụng tính năng này. Nó cũng có thể được sử dụng cho các loại giao dịch nhạy cảm khác, từ bỏ phiếu cho đến chuyển tiền.
iPhone hoạt động tương tự. Apple Pay sử dụng Secure Enclave, do đó mọi chi tiết về thẻ thanh toán của bạn đều được lưu trữ và giao dịch an toàn. Apple còn cho phép các ứng dụng trên điện thoại lưu trữ khóa của chúng trong Secure Enclave để tăng cường bảo mật.
Secure Enclave đảm bảo phần mềm của chính nó được ký bởi Apple trước khi khởi động, do đó nó không thể bị thay thế bằng phần mềm đã qua chỉnh sửa.
TrustZone của ARM hoạt động rất giống với Secure Enclave. Nó sử dụng một vùng bảo mật của vi xử lý chính để chạy các phần mềm chính yếu. Các khóa bảo mật có thể được lưu trữ tại đây.
Phần mềm bảo mật KNOX của Samsung chạy trong khu vực TrustZone này, do đó nó biệt lập với phần còn lại của hệ thống. Samsung Pay cũng sử dụng TrustZone để xử lý thông tin thẻ thanh toán một cách an toàn.
Trên điện thoại Pixel mới, chip Titan M còn bảo mật cả bootloader. Khi bạn khởi động máy, Titan M đảm bảo bạn đang chạy "phiên bản Android gần đây nhất được cho là an toàn".
Bất kỳ ai được truy cập vào máy cũng không thể hạ cấp xuống một phiên bản Android cũ hơn với các lỗ hổng bảo mật được. Và firmware trên Titan M cũng không thể được cập nhật trừ khi bạn nhập passcode, do đó kẻ tấn công không thể tạo ra một firmware chứa mã độc để thay thế cho firmware của Titan M được.
Tại sao điện thoại lại cần một vi xử lý bảo mật?
Samsung Pay sử dụng ARM TrustZone và Samsung KNOX
Nếu không có vi xử lý bảo mật và vùng nhớ biệt lập, điện thoại của bạn sẽ rất dễ bị tấn công. Chip bảo mật sẽ cách ly dữ liệu trọng yếu như các khóa mã hóa và thông tin thanh toán. Ngay cả khi thiết bị của bạn đã bị can thiệp, malware cũng không thể truy xuất thông tin này.
Khu vực bảo mật còn hạn chế quyền truy xuất đến thiết bị của bạn. Ngay cả nếu ai đó có được thiết bị và thay thế hệ điều hành của nó bằng một hệ điều hành đã chỉnh sửa khác, chip bảo mật cũng sẽ không cho phép chúng đoán một triệu mã PIN hoặc passcode mỗi giây. Nó sẽ làm chúng chậm lại và cấm cửa chúng truy cập vào thiết bị của bạn.
Khi bạn sử dụng một ví di động như Apple Pay, Samsung Pay, hay Google Pay, các thông tin thanh toán của bạn có thể được lưu trữ bảo mật để đảm bảo không phần mềm độc hại nào đang chạy trên thiết bị của bạn có thể truy xuất được chúng.
Google còn đang thực hiện một vài thứ thú vị mới mẻ với chip Titan M, như xác thực bootloader của bạn và đảm bảo không kẻ tấn công nào có thể hạ cấp hệ điều hành hay thay thế firmware của Titan M.
Thậm chí một cuộc tấn công theo kiểu Spectre cho phép ứng dụng đọc bộ nhớ không thuộc về nó cũng không thể bẻ gãy những con chip này, bởi chip sử dụng bộ nhớ hoàn toàn tách biệt khỏi bộ nhớ chính của hệ thống.
Nó bảo vệ điện thoại bạn trong khi chạy nền
Không người dùng smartphone nào thực sự cần biết về phần cứng này, dù điều đó có thể giúp bạn cảm thấy an toàn hơn khi lưu giữ các dữ liệu nhạy cảm như thông tin thẻ tín dụng và ngân hàng trực tuyến trên điện thoại.
Chip bảo mật đơn giản là một công nghệ thú vị, hoạt động âm thầm để bảo vệ điện thoại và dữ liệu của bạn, giúp bạn an toàn hơn.
Rất nhiều người có kiến thức chuyên môn cao đang tập trung nghiên cứu để tăng cường bảo mật cho các smartphone hiện đại và bảo vệ chúng khỏi mọi loại tấn công có thể xảy ra. Và họ cũng đang cố hết sức để điều đó trở nên đơn giản đến mức bạn sẽ chẳng bao giờ phải nghĩ về nó!