嵌入式系統(tǒng)安全面臨的挑戰(zhàn)與解決方案

一個(gè)包含硬件和內(nèi)置軟件的設(shè)備就是我們常說的嵌入式系統(tǒng)，這些設(shè)備能獨(dú)立完成一項(xiàng)功能或一組任務(wù)，它們中許多存儲(chǔ)著重要的信息，有可能還會(huì)執(zhí)行影響人類和環(huán)境的關(guān)鍵功能?，F(xiàn)在，嵌入式設(shè)備已成黑客攻擊的主要目標(biāo)。由于許多由嵌入式設(shè)備驅(qū)動(dòng)的小組件和機(jī)器在運(yùn)行中必須連接到互聯(lián)網(wǎng)，因此網(wǎng)絡(luò)黑客就有機(jī)會(huì)竊取未經(jīng)授權(quán)的訪問權(quán)限，并運(yùn)行惡意代碼，這種攻擊通常會(huì)蔓延到其他連接的組件乃至破壞整個(gè)系統(tǒng)。比如，攻擊者入侵一輛處于自動(dòng)駕駛模式的汽車后，相當(dāng)于劫持了這輛汽車，黑客就可以操控汽車將其駛離正常行駛的道路，后果不堪設(shè)想。因此，嵌入式系統(tǒng)安全不僅是財(cái)務(wù)損失的問題，還可能是人命關(guān)天的大事。

嵌入式系統(tǒng)安全面臨的挑戰(zhàn)

嵌入式系統(tǒng)安全是網(wǎng)絡(luò)安全的一個(gè)分支，專注于保護(hù)嵌入式軟件系統(tǒng)免受可能未經(jīng)授權(quán)的訪問和網(wǎng)絡(luò)攻擊，或減輕此類活動(dòng)造成的損失。在實(shí)際應(yīng)用中，嵌入式軟件系統(tǒng)既可以是簡(jiǎn)單的，如智能家居中的運(yùn)動(dòng)傳感器，也可以是高度復(fù)雜的，如企業(yè)中的遠(yuǎn)程通信跟蹤器和機(jī)器人等。其中一些解決方案可能需要嵌入式操作系統(tǒng)和應(yīng)用軟件來運(yùn)行，而另一些解決方案也許僅有條形碼閱讀器即可。

雖然可供使用的嵌入式安全措施提供了保護(hù)嵌入式設(shè)備的軟件和硬件的工具、流程和最佳實(shí)踐，但由于嵌入式系統(tǒng)的硬件模塊普遍比較小，有各種各樣的內(nèi)存和存儲(chǔ)限制。因此，要將安全措施全部納入其中在設(shè)計(jì)上仍存很大的挑戰(zhàn)。這些挑戰(zhàn)主要來自于：

第三方組件的使用

由于技術(shù)和經(jīng)濟(jì)方面的原因，許多嵌入式設(shè)備需要增加第三方硬件和軟件組件才能正常工作，而這些組件通常沒有經(jīng)過嚴(yán)格的安全測(cè)試。事實(shí)上，這些組件很可能包含了惡意軟件或容易受到惡意軟件的攻擊，為整個(gè)系統(tǒng)帶來潛在的威脅。

標(biāo)準(zhǔn)化的缺乏

目前，網(wǎng)絡(luò)保護(hù)和物聯(lián)網(wǎng)行業(yè)的標(biāo)準(zhǔn)化程度比較低，安全設(shè)備的開發(fā)是嵌入式系統(tǒng)安全的主要挑戰(zhàn)之一。然而，由于嵌入式系統(tǒng)缺乏統(tǒng)一的網(wǎng)絡(luò)安全標(biāo)準(zhǔn)，制造商很難對(duì)他們使用的部件的安全性報(bào)有信心。

不安全的網(wǎng)絡(luò)連接

5G的普及勢(shì)不可擋，許多嵌入式系統(tǒng)和物聯(lián)網(wǎng)設(shè)備將直接連接到互聯(lián)網(wǎng)上。企業(yè)防火墻可以檢測(cè)和防止網(wǎng)絡(luò)攻擊，但這種直連方式意味著那些嵌入式設(shè)備沒有得到企業(yè)防火墻的保護(hù)。在這樣一個(gè)資源受限的環(huán)境中實(shí)施嚴(yán)格的安全保護(hù)將變得非常困難。

過時(shí)的軟件

許多帶有內(nèi)置軟件的設(shè)備大多是移動(dòng)設(shè)備，可以在現(xiàn)場(chǎng)使用。若更新或升級(jí)此類設(shè)備的內(nèi)置軟件，需要進(jìn)行遠(yuǎn)程操作。事實(shí)是，在數(shù)量眾多的小型嵌入式設(shè)備上定期更新固件并不是一件容易的事，但過時(shí)的固件通常充滿很多極易被利用的漏洞。

長(zhǎng)生命周期設(shè)備的安全維護(hù)

嵌入式設(shè)備的生命周期通常比個(gè)人電腦或消費(fèi)電子產(chǎn)品的生命周期要長(zhǎng)得多，這些設(shè)備往往要連續(xù)使用多年，人們很難預(yù)見未來十年可能出現(xiàn)的潛在安全威脅。

創(chuàng)建嵌入式系統(tǒng)安全的四個(gè)步驟

保證嵌入式系統(tǒng)足夠安全絕非易事，目前行業(yè)里尚無針對(duì)所有嵌入式設(shè)備的通用安全策略。不過，設(shè)計(jì)人員可以嘗試從以下四個(gè)方面入手去開發(fā)一個(gè)安全可靠的嵌入式系統(tǒng)。

一是評(píng)估潛在的威脅和漏洞。具體操作包括：分析產(chǎn)品的生命周期，評(píng)估開發(fā)商、硬件制造商、軟件供應(yīng)商、電信運(yùn)營(yíng)商、用戶和任何相關(guān)方對(duì)最終產(chǎn)品安全的影響，確定所有可能的軟件和物理攻擊點(diǎn)及其發(fā)生的可能性，制定有安全要求的技術(shù)規(guī)范。

二是根據(jù)需求設(shè)計(jì)可靠的軟件體系架構(gòu)。充分利用中間件和虛擬化技術(shù)，進(jìn)行組件劃分，還應(yīng)允許在共享平臺(tái)上運(yùn)行多個(gè)操作系統(tǒng)。

三是選擇工具和組件。為嵌入式系統(tǒng)選擇的軟件開發(fā)平臺(tái)其安全性至關(guān)重要，它必須符合國(guó)際或地區(qū)安全標(biāo)準(zhǔn)。系統(tǒng)硬件的選擇亦是如此，從制造商和分銷商處購(gòu)買的所有電路板、傳感器和外圍設(shè)備都應(yīng)符合解決方案所需的安全標(biāo)準(zhǔn)。

四是進(jìn)行安全測(cè)試。嵌入式系統(tǒng)中硬件和軟件組件的安全測(cè)試不應(yīng)被忽視，要作為必選項(xiàng)獨(dú)立于系統(tǒng)其他測(cè)試功能。

嵌入式系統(tǒng)安全設(shè)計(jì)要點(diǎn)

與普通數(shù)字解決方案相比，為嵌入式系統(tǒng)提供適當(dāng)?shù)陌踩?jí)別更為棘手，因?yàn)樗枰獙?shí)施物理層和數(shù)字層兩層保護(hù)：一方面，設(shè)備應(yīng)能抵抗非法外部入侵以及物理?yè)p壞。比如使用防震外殼、安裝監(jiān)控?cái)z像頭等；另一方面，軟件需能抵御黑客攻擊和數(shù)據(jù)泄漏。

因此，嵌入式軟件公司需要在包括初始化、運(yùn)行和更新等所有階段使用組合的數(shù)字安全機(jī)制來保護(hù)系統(tǒng)的安全。在設(shè)計(jì)中應(yīng)著重考慮以下幾點(diǎn)：

● 軟件保護(hù)。確保整個(gè)軟件體系結(jié)構(gòu)受到保護(hù)，防止未經(jīng)授權(quán)的更改。

● 數(shù)據(jù)保護(hù)。確保未經(jīng)授權(quán)的用戶無法訪問存儲(chǔ)在設(shè)備中的信息。比如采取通過身份驗(yàn)證、強(qiáng)密碼和與設(shè)備的加密連接等措施。

● 設(shè)備保護(hù)。確保設(shè)備本身不遭受外部的物理破壞?？墒褂贸瑥?qiáng)材料、電子鎖、監(jiān)控?cái)z像頭和其他外圍設(shè)備等。現(xiàn)在，一些處理器或主板已具備檢測(cè)設(shè)備外殼中物理入侵的能力。

談到嵌入式系統(tǒng)安全，很多嵌入式設(shè)備的安全性大多集中在軟件上。實(shí)際上，無論你的軟件安全性有多強(qiáng)，如果硬件不“硬”，設(shè)備也是很容易受到攻擊的。嵌入式系統(tǒng)中的硬件安全可通過包括密鑰管理、加密和硬件功能隔離等措施來實(shí)現(xiàn)。

根據(jù)Persistence Market Research的分析，全球嵌入式安全市場(chǎng)在2021年度達(dá)到了5.23億美元。移動(dòng)設(shè)備、自主機(jī)器人以及醫(yī)療可穿戴產(chǎn)品等對(duì)嵌入式安全需求的不斷增長(zhǎng)，是推動(dòng)嵌入式安全市場(chǎng)增長(zhǎng)的主要推手。良好的應(yīng)用前景以及巨大的市場(chǎng)潛力，必然會(huì)引起企業(yè)的極大關(guān)注，參與嵌入式安全的企業(yè)很多是頗具實(shí)力的跨國(guó)公司，如：Infineon、NXP、TI、STMicroelectronics、Maxim、Renesas等。

Maxim嵌入式安全解決方案

Maxim提供的DeepCover安全微控制器集成了先進(jìn)的加密和物理保護(hù)機(jī)制，以最高安全等級(jí)應(yīng)對(duì)側(cè)道攻擊、物理篡改和逆向工程。內(nèi)部集成的安全NV SRAM，一旦檢測(cè)到篡改事件，即刻擦除存儲(chǔ)內(nèi)容；專有的代碼、數(shù)據(jù)實(shí)時(shí)加密技術(shù)，為外部存儲(chǔ)器提供完備保護(hù)。

復(fù)雜的入侵式攻擊常常是為了從安全I(xiàn)C獲取密鑰，如果獲得密鑰，IC提供的安全性將徹底崩塌。Maxim獨(dú)有的ChipDNA嵌入式安全PUF技術(shù)被其稱作是物理不可克?。≒UF）的安全加密技術(shù)，能有效防御入侵式攻擊，原理是這些密鑰自始至終不會(huì)靜態(tài)存儲(chǔ)在存儲(chǔ)器或其它靜態(tài)空間，也不會(huì)離開IC的電路邊界，因此黑客也就無法盜竊一個(gè)并不存在的密鑰。

在Maxim基于PUF的ChipDNA安全認(rèn)證器中，每個(gè)密鑰都來自IC的精確模擬特性，使其能夠防御入侵式攻擊。任何探針或其他偵測(cè)ChipDNA的操作都將改變底層電路特征，無法獲取芯片加密函數(shù)使用的唯一值。

同樣，由于ChipDNA電路操作是由生產(chǎn)條件決定的，逆向工程也無法獲取其密鑰。只有需要進(jìn)行加密操作時(shí)，ChipDNA電路才會(huì)生成器件唯一的密鑰，并且在使用后立即消失。此外，每片IC的獨(dú)特ChipDNA密鑰在整個(gè)溫度、電壓及IC工作壽命范圍保持穩(wěn)定的可重復(fù)性。

圖1：MAX32520典型應(yīng)用電路（圖源：Maxim）

MAX32520是一款ChipDNA安全ARM Cortex-M4微控制器，它采用DeepCover嵌入式安全解決方案來保護(hù)敏感數(shù)據(jù)。DeepCover提供了可互操作、安全且經(jīng)濟(jì)高效的解決方案，用于構(gòu)建新一代可信嵌入式系統(tǒng)和通信設(shè)備，如IoT、IoT網(wǎng)關(guān)以及無線接入點(diǎn)等。在MAX32520內(nèi)部集成了專有的ChipDNA PUF技術(shù)，該技術(shù)包括PUF功能，可以防止侵入性物理攻擊。MAX32520還采用ChipDNA輸出作為密鑰內(nèi)容，以加密方式保護(hù)在設(shè)備上存儲(chǔ)的所有數(shù)據(jù)包括用戶固件。

Infineon嵌入式安全解決方案

OPTIGA TPM SLI 9670是一款經(jīng)過質(zhì)量強(qiáng)化的可信平臺(tái)模塊（Trusted Platform Module：TPM），專門用于汽車應(yīng)用，基于采用先進(jìn)硬件安全技術(shù)的防篡改安全微控制器。OPTIGA TPM SLI 9670符合汽車AEC-Q100標(biāo)準(zhǔn)，是汽車遠(yuǎn)程信息處理、網(wǎng)關(guān)、多媒體主機(jī)以及對(duì)安全要求高的ECU等應(yīng)用的配套芯片，在防篡改和認(rèn)證環(huán)境中提供硬件信任、加密和解密，以保護(hù)OTA軟件更新或存儲(chǔ)密鑰。另外，這個(gè)TPM還根據(jù)通用標(biāo)準(zhǔn)EAL4+進(jìn)行了安全認(rèn)證。

圖2：OPTIGA TPM SLI 9670內(nèi)部硬件結(jié)構(gòu)框圖

（圖源：Infineon）

OPTIGA TPM SLI 9670是基于硬件的嵌入式安全解決方案，其硬件由防篡改安全MCU、復(fù)雜的加密硬件模塊和其他外圍設(shè)備（如隨機(jī)數(shù)發(fā)生器）組成。先進(jìn)的硬件安全技術(shù)，包括內(nèi)部存儲(chǔ)器和總線加密，以及屏蔽和傳感器，可防止物理和邏輯攻擊。

Sectigo是全球最大的商業(yè)證書頒發(fā)機(jī)構(gòu)（CA）和領(lǐng)先的網(wǎng)絡(luò)安全解決方案公司，早在2020年4月，Sectigo就宣布與Infineon合作，使用Sectigo IoT Identity Manager為Infineon的OPTIGA TPM2.0提供自動(dòng)證書設(shè)置。

結(jié)語

物聯(lián)網(wǎng)將由數(shù)十億數(shù)字設(shè)備、服務(wù)和其他具有無縫連接、交互和交換信息潛力的物理對(duì)象組成，只有解決了安全性問題，我們才能進(jìn)一步討論如何實(shí)現(xiàn)當(dāng)前和未來的若干應(yīng)用。日益增長(zhǎng)的物聯(lián)網(wǎng)應(yīng)用增加了對(duì)嵌入式安全的需求，根據(jù)ResearchAndMarkets的預(yù)測(cè)，在2021—2026年期間，預(yù)計(jì)全球嵌入式安全市場(chǎng)的復(fù)合年增長(zhǎng)率將達(dá)到5.5%。

嵌入式系統(tǒng)安全的重要組成部分是密碼算法和硬件體系結(jié)構(gòu)，并以此滿足極低的內(nèi)存和處理需求、可信平臺(tái)模塊和標(biāo)準(zhǔn)化安全協(xié)議。由于大多數(shù)嵌入式設(shè)備位于企業(yè)IT系統(tǒng)之外，因此必須將安全功能集成到此類設(shè)備中，它們才有能力獨(dú)立自衛(wèi)。因此，我們應(yīng)該從嵌入式系統(tǒng)最早的設(shè)計(jì)階段就將安全要求考慮在內(nèi)，并根據(jù)這些要求選擇軟件工具和硬件部件，而這些硬件和軟件特性將在很大程度上決定了嵌入式系統(tǒng)未來的安全功能。

審核編輯：湯梓紅