Raspberry Pi ha annunciato un nuovo stepping del suo popolare chip microcontrollore dual-core RP2350, risolvendo i bug di sicurezza scoperti durante la sfida bug bounty dell’azienda lo scorso anno e correggendo anche la spinosa erratum E9 che causava un comportamento errato durante l’utilizzo dei resistori di pull integrati nel chip.

“Dopo un anno di successi per il microcontrollore RP2350 di seconda generazione di Raspberry Pi, stiamo rilasciando una nuova versione, lo stepping A4 del chip, che risolve bug e vulnerabilità di sicurezza”, afferma l’azienda a proposito del nuovo componente. “Oggi viene lanciata anche una nuova sfida di hacking per l’RP2350: pensiamo di aver creato qualcosa di resistente all’analisi side-channel e sfidiamo le persone a dimostrare che ci sbagliamo.”

Raspberry Pi ha lanciato l’RP2350 nell’agosto dello scorso anno come successore del suo chip RP2040. Progettato internamente, il componente ha sostituito i core Arm Cortex-M0+ dei suoi predecessori con una coppia di core Arm Cortex-M33 più potenti a 150 MHz, aggiungendo anche due core Hazard3 open source, basati sull’architettura RISC-V, che consentono all’utente di utilizzare qualsiasi combinazione di due core contemporaneamente.

Il lancio, tuttavia, non è stato privo di difficoltà: una volta che il chip è stato lanciato sul mercato a bordo del Raspberry Pi Pico 2, sono stati scoperti diversi bug, il più grave dei quali era l'”erratum E9″, che causava un comportamento di “latching” inaspettato nei resistori di pull integrati, un problema così grave che alcuni produttori hanno deciso di ritardare o annullare i progetti basati su questo chip. Poco dopo il lancio, Raspberry Pi annunciò un concorso bug bounty in cui i concorrenti in grado di estrarre un flag nascosto contenuto in un firmware protetto avrebbero ricevuto fino a 10.000 dollari, poi raddoppiati a 20.000 dollari. Il concorso ebbe l’effetto desiderato: ricercatori da tutto il mondo attaccarono il chip e scoprirono una serie di vulnerabilità di sicurezza, alcune derivanti dalla capacità di eseguire codice sui core RISC-V per aggirare le protezioni di sicurezza nell’hardware del core Arm e altre basate su glitching di tensione e altri attacchi side-channel che richiedevano l’accesso fisico al chip.

 

 

Lo stepping A4 dell’RP2350, come è noto il nuovo componente, risolve entrambi questi problemi: l’azienda afferma che gli attacchi di glitching hardware sono stati risolti, così come l’errata corrige E9, il che significa che le resistenze di pull ora funzionano come nel precedente RP2040. Un altro miglioramento degno di nota è la tolleranza di 5 V su tutti i pin di input/output (GPIO) generici quando alimentati, afferma l’azienda. Contemporaneamente, è stata rilasciata una nuova versione del Raspberry Pi Pico Software Development Kit (SDK), che include una versione rinforzata del codice di decrittazione AES progettata per proteggere dagli attacchi side-channel, il supporto per i binari auto-decifranti ed esempi per la crittografia, gli aggiornamenti Over The Air (OTA) e il bootload UART sull’RP2350.

Il rilascio di un nuovo stepping che risolve i difetti noti non significa tuttavia che Raspberry Pi dia per scontato che il suo lavoro sia terminato: l’azienda ha anche annunciato una nuova sfida bug bounty, organizzata in collaborazione con il ricercatore di sicurezza Thomas Roth e Hextree, che si concentra sull’implementazione migliorata di AES e sul suo supporto binario autodecifrante.

“Questo nuovo software è stato sviluppato per consentire ai clienti di crittografare il codice e i dati delle loro applicazioni quando sono archiviati nella memoria flash”, spiega l’azienda, “e di caricarli nella SRAM [RAM statica] interna, dove la nostra libreria software AES decrittografa l’applicazione sul posto, utilizzando materiale crittografico e un salt (valore casuale) per dispositivo, nascosto nella memoria on-chip programmabile una tantum.”

Lo stepping RP2350 A4 è ora disponibile presso i rivenditori autorizzati dell’azienda, come sostituto diretto del precedente stepping A2, comprese le varianti RP2354A e RP2354B con 2 MB di memoria flash integrata nel package; un portavoce di Raspberry Pi ci ha detto che lo stepping A2 rimarrà sulle schede Raspberry Pi Pico 2 “per un po'”, presumibilmente fino a quando non saranno esaurite le scorte attuali.

 

Iscriviti ai nostri gruppi Telegram

• Gruppo Maker Italia
• Canale Offerte per prodotti maker

Link utili

• Arduino UNO R3
• Elegoo UNO R3
• Arduino Starter Kit per principianti
• Elegoo Advanced Starter Kit
• Arduino Nano