Chiave non estraibile
Una PUF ricava l'identità dalle micro-variazioni del silicio. La chiave non è scritta in nessuna memoria: viene ricostruita a ogni avvio e distrutta allo spegnimento.
ARX — Root of trust in silicio
La fiduciacominciasotto il software
Ogni riga di codice che gira sopra vale quanto il silicio che sta sotto.
ARX-7 · Secure element
Chiave generata sul chip.
Chiave generata sul chip.
Mai esportabile.
La chiave privata nasce dalle micro-variazioni fisiche del silicio e non lascia mai il perimetro del die: non viene scritta in memoria, non transita sul bus, non esiste in RAM.
01 — Tecnologia
Quattro garanzie che stanno nel silicio,
Quattro garanzie che stanno nel silicio,
non nel codice
Il software si aggiorna, si sostituisce, si compromette. Le proprietà che seguono sono fissate al momento della fabbricazione del die e non dipendono da cosa gira sopra.
Boot misurato
Ogni stadio della catena di avvio viene misurato e verificato prima di cedere il controllo al successivo. Una firma che non torna ferma il dispositivo, non lo degrada.
Attestazione remota
Il dispositivo dimostra a un verificatore esterno di stare eseguendo esattamente il firmware atteso. La prova è firmata dal chip, non dall'agente software.
Aggiornamento firmato
Firmware ruotabile in campo con rollback bloccato da contatore monotono in hardware: una versione revocata non può essere reinstallata nemmeno con accesso fisico.
02 — Prodotti
Dalla fabbrica
Dalla fabbrica
al campo
L'identità nasce in fabbrica, non in fase di installazione
Il die viene personalizzato in ambiente controllato: la PUF viene caratterizzata, il certificato di nascita firmato dalla CA di ARX e associato al numero di lotto.
OutputCertificato di nascita X.509 + fingerprint di lotto
CustodiaNessuna chiave privata lascia lo stabilimento
TracciabilitàWafer, lotto, posizione sul wafer
Ogni accensione produce una misura, non una speranza
Il boot ROM immutabile misura il primo stadio, che misura il secondo, e così via fino all'applicazione. Le misure finiscono in registri a sola estensione.
RadiceBoot ROM in maschera, non riscrivibile
Registri8 slot append-only, azzerati solo dal reset fisico
FallimentoHalt, non degrado silenzioso
Il dispositivo si presenta e porta la prova con sé
A ogni sessione il chip firma le misure di boot con la chiave derivata dalla PUF. Il verificatore confronta con il valore atteso del firmware certificato.
Latenza40 ms tipici sul canale industriale
TrasportoAgnostico: TLS, MQTT, seriale
OfflineProva firmata bufferizzabile fino a 72 h
Un dispositivo compromesso esce dalla rete in un solo passo
La revoca colpisce il certificato di nascita: il nodo perde la capacità di attestare e viene isolato dai peer senza intervento sul campo.
PropagazioneLista di revoca firmata, distribuita ai verificatori
ReversibileRe-provisioning in officina autorizzata
AuditOgni revoca lascia una traccia firmata
03 — Documentazione
In esercizio
Dati di flotta aggiornati al secondo trimestre. La documentazione tecnica completa, gli schemi di integrazione e i report di certificazione sono disponibili su richiesta.
01
0.0M
chip ARX in campo su impianti attivi
02
0ms
latenza tipica di attestazione
03
0anni
ciclo di vita garantito per lotto
04
0chiavi
estratte da un dispositivo in esercizio
04 — Settori
Installato su
Installato su
reti elettriche
ARX lavora dove il ciclo di vita si misura in decenni e la sostituzione dell'hardware costa più della violazione che previene.
Sottostazioni e protezioni
Identità verificabile per relè di protezione e IED, senza toccare il protocollo di campo.
Celle robotizzate
Attestazione di controllori e teste utensile prima di ammetterli sul bus di cella.
Segnalamento a bordo
Catena di avvio misurata su apparati con vita utile di quindici anni e più.
Telecontrollo idrico
Nodi remoti che provano la propria integrità anche dopo giorni senza connettività.
Elena Carrera
Responsabile OT Security
Consorzio Energetico Nord
Responsabile OT Security
Consorzio Energetico Nord
«Abbiamo smesso di chiederci se l'aggiornamento fosse quello giusto. Adesso è il dispositivo a dircelo, e la risposta è firmata da qualcosa che non si può riscrivere da remoto.»