Google ha publicado como Open Source un proyecto con la intención de ayudar a los vendedores de hardware a crear sus propias “llaves de seguridad” y contribuir al impulso de la mencionada tecnología.
El proyecto, que es una iniciativa llamada OpenSK, se compone de un firmware construido con Rust que permite convertir chips de Nordic en dispositivos que cumplen con los estándares de claves de seguridad FIDO U2F y FIDO2 (Fast Identity Online). Pero no solo el chip y el firmware cubre OpenSK, sino que también se ha publicado una carcasa protectora que se puede imprimir en 3D, por lo que los dispositivos resultantes se ven y pueden ser usados como llaves estándares.
Google ha explicado en su blog corporativo que espera en el futuro expandir la iniciativa a más fabricantes de chips, aunque ha empezado por los de Nordic debido a que son asequibles desde el punto de vista económico y soportan los criterios estipulados para los estándares de FIDO2, NFC y Bluetooth Low Energy. Poniendo esos recursos a disposición de todos, Google espera ayudar a impulsar y expandir este tipo de tecnologías haciéndolas más accesibles para los fabricantes, ya que hasta el momento solo Google y Yubikey han creado llaves compatibles con FIDO a través de hardware y software privativo.
Profundizando en los detalles técnicos, OpenSK está escrito en Rust y se ejecuta en TockOS para ofrecer un mejor aislamiento y abstracciones del sistema operativo más limpias con el fin de reforzar la seguridad. La fuerte seguridad ofrecida por Rust a nivel de memoria y las abstracciones de coste cero hacen que el código sea menos vulnerable a los ataques lógicos. Por su parte, TockOS, con su arquitectura aislada (sandbox), ofrece un aislamiento entre el applet de la llave de seguridad, los drivers y el kernel para construir una defensa en profundidad.
Sin embargo, y a pesar de las buenas intenciones de la iniciativa, de momento sería prudente cogerla con con pinzas, ya que Google ha anunciado el lanzamiento inicial de OpenSK como “un proyecto experimental de investigación para ser usado para propósitos de pruebas e investigación”, así que igualmente puede terminar naufragando antes de cumplir con su propósito.
