– Inte förrän det händer något stort kommer kunderna att kräva certifiering av underleverantörerna. De i sin tur kan så klart inte garantera något men de kan följa reglerna och därmed minimera riskerna.

Problemet med intrång ökar ju fler apparater som kopplas upp och dessutom lagras allt mer data i det sårbara molnet. Även om du själv har ett bra skydd går det inte att slå sig till ro. Det visade inte minst den amerikanska detaljhandelskedjan Target som i fjol blev av med känsliga uppgifter till 70 miljoner kunder. Dataläckan fick kunderna att tveka kring säkerheten vilket resulterade i ett omsättningstapp på 30 procent och att vinsten sjönk 46 procent under fjärde kvartalet i fjol.

Till det kan adderas kostnader på i runda slängar 200 miljoner dollar för nya kreditkort och 100 miljoner dollar för nya kreditkortsläsare. Trots att läckan drabbade Target så var det inte företaget som slarvat, utan en underleverantör som utgjorde den svaga länken.

Ett känt problem som ännu inte är åtgärdat är uppkopplade tv-apparater som kör HbbTV (Hybrid Broadcast Broadband TV). Apparaterna har en säkerhetslucka som kan användas till lite av varje inklusive spionera på övriga enheter i dit nät som du tror är skyddat mot inkräktare.

En annan metod för att ta sig in bakom skalskyddet är att sprida ut infekterade USB-minnen på till exempel en parkeringsplats. Olika experiment visar att en stor andel av de upphittade USB-minnena ansluts till företagsdatorer, som har bra skydd mot externa attacker, men som är sårbara för den här typen av knep.

Ett kanske mindre känt exempel är israeliska flygattacker mot syriska mål som skett utan att landets radarsystem gett någon varning.

– Den syriska radarn slogs av strax innan attacken och sen slogs den på igen. Det finns misstankar om att det är vanliga processorer som infiltrerats.

Problemet blir större när hackarna tar sig djupare ner i systemet. För det översta lagret finns säkerhetssystem som fungerar ganska bra, för mellanvara är skyddet hyggligt men sen blir det svårt.

På kretsnivå finns det tre typer av problem. Sedan länge är det känt att det går att plocka fram kryptonycklar via så kallade sidoattacker, ungefär som när man lyssnar med ett stetoskop på ett gammalt kassaskåp med siffervred. Men när det gäller sidoattacker på halvledarkretsar använder man en värmekamera eller EMI-skanner för att se vad som händer i kryptodelen av kretsen när man skickar in felaktiga nycklar.

– Motmedlen mot sidoattacker behöver inte vara perfekta, de kommer aldrig att bli det, men om man gör sitt bästa har man ett visst försvar, säger Wally Rhines och så drar han historien om de två camparna som blir attackerade av en grizzlybjörn. Den ena springer in i tältet, letar fram sina löparskor och snör på sig dem. Den andra påpekar att han aldrig kommer att kunna springa ifrån björnen, men det är inte heller avsikten. Det handlar bara om att ligga först i spåret när björnen kommer ifatt.

– Det har dykt upp ett antal företag som erbjuder IP-block mot den här typen av attacker.

Ett annat och betydligt vanligare problem är falska komponenter, det vill säga allt från tomma kapslar till komponenter som lötts loss, putsats upp och sedan säljs som nya. Eller så tar någon hand om komponenter som av någon anledning kasserats vid produktionen. Eller som tillverkats utöver den beställda kvantiteten.

Problemet är störst inom militärsektorn eftersom elektroniken lever så länge att komponenterna ofta slutat tillverkas när det behövs reservdelar.

– Det gäller inte alls bara för dyra komponenter och trenden pekar uppåt, så det gäller att kräva spårbarhet.

Det räcker inte att testa. Komponenten kan mycket väl fungera även om den lötts loss och säljs som nya.

Men det som verkligen oroar är risken att det ska smyga sig in skadlig kod i kretsarna under designfasen.

– Vi är vana vid att göra verifiering av kretsarna men det vi inte gör är att undersöka om de gör något annat än vi tänkt oss. Det är ett mycket svårare problem eftersom vi inte vet vad vi letar efter.

Det pågår en hel del universitetsforskning på området och den amerikanska försvarsorganisationen Darpa vill se en typ av ID-märkning.

– Det skulle öka priset med 10 till 20 cent och många tycker det är för mycket. Då finns det andra som hellre vill lägga in en ”kilometerräknare” så man kan ser hur länge kretsarna använts.

Problemet förvärras av ett den integrerade tillverkningsmodellen har skrotats. Nästa alla halvledarföretag anlitar idag fristående foundrys liksom kapslings- och testhus för produktionen. Det här leder till att konstruktionen hanteras av många olika instanser runt om i världen innan de slutligen hamnar i konsumenternas händer.

Tittar man på en större systemkrets består den till 44 procent av block som utvecklats intern och som återanvänds. 32 procent är nyutvecklad IP och 24 procent kommer utifrån. Störst risken att få in trojaner är via externa IP-block.

Att bryta sig in i halvledarfabriken för att byta ut en eller ett par masker är betydligt krångligare och därmed mindre sannolikt.

– Så hur kan vi svara på frågan att just det här IP-blocket inte gör något annat än vad det ska?

Om man kände till alla trojaner skulle man kunna göra en formell verfiering av konstruktionen. Men det är inte en framkomlig väg. Ett alternativ är att lägga in intelligens som övervakar vad som sker i kretsen och som larmar vid onaturliga händelser. Fast då ökar kostnaden.

– Det vi tror kommer att hända är att allt fler kunder kommer att kräva autentisering och att du måste kunna visa att du följt olika standarder under designarbetet. Trojaner blir en ny parameter att oroa sig för bredvid prestanda och effektförbrukning, säger Wally Rhines.