增強SoC總線訪問安全的防火墻架構(gòu)方案【基于AXI總線】

為了增強SoC的總線訪問安全，阻止非法地址的訪問行為，提出了基于AXI總線的分布式安全總線防火墻架構(gòu)。針對不同的任務(wù)制定了多級可動態(tài)更新的安全策略，設(shè)計了具有較低延時的高速總線防火墻接口，增加了安全更新模塊來保證策略配置與更新安全，結(jié)合系統(tǒng)的任務(wù)管理機制實現(xiàn)了面向多任務(wù)處理的任務(wù)隔離機制。實驗結(jié)果表明，該防火墻的傳輸延時小、資源消耗少，可實現(xiàn)任務(wù)隔離。

0 引言

隨著SoC(System-on-Chip)的發(fā)展與廣泛應(yīng)用，SoC面臨的安全威脅與攻擊手段[1-2]也更為復(fù)雜，嵌入式系統(tǒng)安全已成為不容忽視的重要問題。由于傳統(tǒng)的嵌入式軟件防護能力較弱，具有較大的延遲，易對系統(tǒng)造成性能損失，因此單純依靠軟件層面的安全機制已很難有效應(yīng)對層出不窮的攻擊手段。

目前，已有眾多學(xué)者在不修改處理器結(jié)構(gòu)的基礎(chǔ)上，提出了基于總線的硬件安全增強機制。Fiorin提出一種基于NoC(Network-on-Chip)總線的安全探針和安全管理單元的保護機制，通過安全探針監(jiān)控總線數(shù)據(jù)進出信息，安全管理單元收集探針信息來檢測沖突與錯誤。Coburn J基于AHB總線提出了SECA的安全總線結(jié)構(gòu)，在各個IP模塊總線接口配置了安全增強接口(Security-Enhanced Interface，SEI)，同時設(shè)計了安全增強模塊(Security-Enhanced Module，SEM)作為中央管控模塊協(xié)調(diào)各SEI模塊工作。Cotret P、Crenne J等人在Coburn研究的基礎(chǔ)上，引入基于總線的分布式防護結(jié)構(gòu)，在各IP總線接口設(shè)置局部防火墻，實現(xiàn)地址的訪問控制，并在片外存儲器接口設(shè)計了局部密碼防火墻，保護重要數(shù)據(jù)的機密性和完整性。但是該方案只是對地址進行監(jiān)控，在多任務(wù)處理下，單獨的地址訪問操作可能屬于不同的任務(wù)行為，因此不能實現(xiàn)任務(wù)的隔離。

本文借鑒了網(wǎng)絡(luò)防火墻的安全隔離思想與Cotret P的分布式架構(gòu)，提出了基于AXI總線的分布式安全總線防火墻架構(gòu)，制定了多級可動態(tài)更新的安全策略，設(shè)計了具有較低延時的高速總線防火墻接口，實現(xiàn)了面向多任務(wù)處理的任務(wù)隔離機制。?

1 總線防火墻架構(gòu)設(shè)計

1.1 防火墻總體架構(gòu)

總線防火墻部署于SoC通信鏈路上，介于總線與IP之間，是嵌入式系統(tǒng)的硬件底層安全防線。為減輕總線防火墻負載，并利用AXI總線的點對點突發(fā)傳輸特性，本文采用分布式的總線防火墻架構(gòu)，即在每個IP接口與總線之間增加防火墻模塊，如圖1所示。

安全總線防火墻的架構(gòu)由軟件層和SoC硬件架構(gòu)組成。軟件層運行多任務(wù)處理的嵌入式操作系統(tǒng)，包括安全任務(wù)與非安全任務(wù)，各個任務(wù)之間有不同的資源訪問權(quán)限。

硬件層由CPU、DMA、Memory、各個IP模塊組成，模塊之間通過AXI總線互連。安全防火墻位于總線與IP模塊之間，由防火墻接口與片上 BRAM(Block RAM)組成。防火墻接口根據(jù)BRAM的安全策略實施訪問控制，其基本特征就是阻止非法地址訪問，目的是實現(xiàn)安全任務(wù)與非安全任務(wù)的隔離。防火墻的安全性由安全策略保證，安全策略只可由安全更新模塊配置與更新。

1.2 防火墻安全策略設(shè)計

安全策略存儲在片上BRAM，一條策略占用一個字空間，由一個地址標識。每條策略為每個給定的物理地址空間（帶下邊界與上邊界）設(shè)定訪問權(quán)限。

安全策略根據(jù)任務(wù)分組，同一任務(wù)的策略稱之為一個策略組，由任務(wù)ID尋址標識。安全策略組在上電時由安全更新模塊配置，運行過程中只可由安全更新模塊更新，是一個可信區(qū)域。

面對復(fù)雜的SoC系統(tǒng)，安全策略數(shù)量眾多，策略存儲會占用大量的存儲空間。為減少策略存儲空間，本文提出策略組間白名單、組內(nèi)黑名單的混合存儲策略。策略組存儲采取白名單策略，只有在白名單之列的任務(wù)可以訪問該模塊，否則直接拒絕訪問，具有更高的安全性。安全策略組內(nèi)采用黑名單存儲策略，不在黑名單中的訪問行為默認可讀可寫，直接允許。

為了增加安全策略的安全性與靈活性，本文設(shè)計了多級可動態(tài)更新的安全策略。安全策略設(shè)定3個安全等級：正常級別、警告級別、錯誤級別。正常級別為系統(tǒng)初始化后的各模塊的安全級別，表示系統(tǒng)任務(wù)處于正常狀態(tài)。警告級別表示系統(tǒng)出現(xiàn)了非法訪問行為，并禁止該危險任務(wù)對該模塊的所有訪問權(quán)限。錯誤級別表示出現(xiàn)了較為嚴重的安全威脅，系統(tǒng)所有任務(wù)的訪問都將禁止，只有關(guān)機重啟有效。安全級別的更新是發(fā)生訪問違規(guī)后作出的反應(yīng)行為。當非關(guān)鍵任務(wù)出現(xiàn)訪問違規(guī)時，則將其安全級別由正常級別提升為警告級別；當關(guān)鍵任務(wù)出現(xiàn)訪問違規(guī)時，則將正常級別直接跳躍提升為錯誤級別，強制終止系統(tǒng)運行。