讓物聯(lián)網(wǎng)設備更安全

在任何嵌入式設計中實(shí)現安全功能都是一項艱巨任務(wù)。每天都有關(guān)于黑客竊取敏感信息或由于客戶(hù)信息受到破壞而導致網(wǎng)站無(wú)法運作的新聞，這些足以使開(kāi)發(fā)人員夜不能寐。安全威脅狀況在不斷變化，攻擊向量（attack vector）和黑客也在不斷發(fā)展。這些新聞不僅僅限于消費性技術(shù)中之脆弱度。

2020年末，一家半導體供貨商全部生產(chǎn)能力被黑客綁架勒索，這是一個(gè)發(fā)生在非常接近促進(jìn)安全最佳實(shí)踐行業(yè)的事件。攻擊者或許認為，以個(gè)人消費者為目標只會(huì )產(chǎn)生少量贖金，而以大型企業(yè)和組織為目標則可以帶來(lái)數量更大回報，因為目標對象通常希望避免任何負面新聞。當下，在諸如工業(yè)物聯(lián)網(wǎng)（IIoT）之類(lèi)操作技術(shù)（OT）領(lǐng)域，開(kāi)發(fā)人員面臨著(zhù)巨大壓力，要求他們?yōu)槠湓O計所有內容實(shí)施最高安全等級防護。

如圖1所示，網(wǎng)絡(luò )攻擊已從針對遠程企業(yè)IT云端服務(wù)器和數據中心轉向傳感器、邊緣節點(diǎn)和網(wǎng)關(guān)等本地設施，這種趨勢顯示攻擊向量發(fā)生了變化。例如，對網(wǎng)絡(luò )邊緣溫度傳感器節點(diǎn)瀏覽攻擊不僅會(huì )危害該單個(gè)設備，還能夠提供從傳感器攻擊更廣泛基礎架構之機會(huì )。


 
圖1 : 攻擊向量從遠程到本地變化格局。（來(lái)源：Silicon Labs）

管制環(huán)境也在發(fā)生變化，美國和歐洲最近立法為消費和工業(yè)設備制定了基本架構。

在美國，諸如NIST.IR 8259之類(lèi)聯(lián)邦立法正在準備規定安全性問(wèn)題和建議，以克服針對IoT設備安全性脆弱度。一旦這些立法得到批準，NIST標準將成 為國際公認ISO IoT設備安全規格。美國幾個(gè)州在滿(mǎn)足NIST.IR 8259要求層面已經(jīng)非常超前。圖2僅突出顯示該立法將要解決的一些基本安全原則問(wèn)題。


 
圖2 : 用于物聯(lián)網(wǎng)設備安全的NIST.IR 8259標準架構。（來(lái)源：Silicon Labs）

歐洲標準組織ETSI也正在起草類(lèi)似管制法規TS 103645。已經(jīng)批準的歐洲標準EN 303 645，以及名為「消費性物聯(lián)網(wǎng)網(wǎng)絡(luò )安全（Cybersecurity for Consumer Internet of Things）」將得到歐洲各國和澳大利亞等其他國家廣泛采用。

本文將討論實(shí)現更強大IoT設備安全性步驟，并解釋嵌入式安全性背后的不同概念，以及如何針對嵌入式設備安全性實(shí)施一致且包容性途徑。

發(fā)現設備脆弱度
對于嵌入式開(kāi)發(fā)人員，其安全要求眾所周知。但是，要實(shí)現這些安全性之必要步驟則比較困難且復雜。在嵌入式設備相對獨立時(shí)，這可能要容易很多。如今，網(wǎng)絡(luò )無(wú)處不在，每個(gè)物聯(lián)網(wǎng)設備都容易受到攻擊。而且，往往攻擊者更有經(jīng)驗，攻擊向量也不僅限于TCP/IP網(wǎng)絡(luò )和端口。嵌入式設備每個(gè)層面都可能具有潛在攻擊面。了解潛在攻擊面有助于確定應該使用何種防護方法。

圖1將本地攻擊分為針對IoT設備軟件或硬件，攻擊類(lèi)型或許更復雜，例如差動(dòng)功率分析（DPA），也可以透過(guò)獲得對設備JTAG埠物理瀏覽，并用惡意代碼對其進(jìn)行重新程序而使攻擊變得更加直接。差動(dòng)功率分析需要實(shí)時(shí)偵測設備功耗，以確定設備可能正在做什么。隨著(zhù)時(shí)間積累，能夠建立一種數字影像，確定嵌入式處理器可能正在做什么。

加密功能特別耗費計算資源和大量功率，黑客能夠識別出頻繁數字加密和解密任務(wù)操作。一旦知曉處理器操作，黑客就可以使用故障處理使其強制進(jìn)入故障狀態(tài)，同時(shí)會(huì )使緩存器和端口可瀏覽。黑客使用的其他攻擊技術(shù)包括篡改系統時(shí)鐘，在周邊引腳上引入錯誤訊號以及將電源電壓降低，使處理器運作變得更不穩定，從而可能暴露隱蔽密鑰并鎖定埠。

使設備更安全
在審查IoT設備中實(shí)施安全體系時(shí)，工程團隊可能會(huì )發(fā)現安全物聯(lián)網(wǎng)（Internet of Secure Things；IoXT）等行業(yè)架構是一個(gè)很好的起始點(diǎn)。安全物聯(lián)網(wǎng)是一個(gè)行業(yè)主導計劃，旨在使嵌入式開(kāi)發(fā)人員更輕松實(shí)施保護物聯(lián)網(wǎng)設備安全程序任務(wù)。 IoXT已建立了涵蓋物聯(lián)網(wǎng)安全性、可升級性和透明度的八項原則架構，工程師在設計物聯(lián)網(wǎng)設備時(shí)可以遵循這些原則。

安全物聯(lián)網(wǎng)八項原則
1.禁止通用密碼：設備使用唯一默認密碼，而不是通用密碼，以使黑客無(wú)法廣泛控制數百個(gè)設備。

2.保護每個(gè)接口：在使用過(guò)程中，無(wú)論目的如何，都應對所有接口進(jìn)行加密和認證。

3.使用經(jīng)過(guò)驗證的加密方法：建議使用行業(yè)認可開(kāi)放式加密標準和算法。

4.預設情況下安全性：產(chǎn)品出廠(chǎng)發(fā)運時(shí)應啟用最高級別安全性。

5.已簽名軟件更新：應該對無(wú)線(xiàn)軟件更新進(jìn)行簽名，以便接收設備可以在應用更新之前對其進(jìn)行身份驗證。

6.自動(dòng)軟件更新：設備應自動(dòng)進(jìn)行經(jīng)過(guò)身份驗證之軟件更新，以維護最新安全補丁程序，而不是將更新任務(wù)留給消費者。

7.脆弱度報告方案：產(chǎn)品制造商應為用戶(hù)提供一種報告潛在安全問(wèn)題方法，以加快更新速度。

8.安全到期日：與保修計劃一樣，安全條款也應在某個(gè)時(shí)候到期。制造商可以提供擴展支持方案，以幫助順延連續安全支持和更新成本。

實(shí)施全面安全措施
伴隨物聯(lián)網(wǎng)安全格局快速變化，物聯(lián)網(wǎng)產(chǎn)品工程團隊也在努力與不斷增長(cháng)的安全功能保持同步，能夠滿(mǎn)足此需求的一個(gè)平臺是Silicon Labs開(kāi)發(fā)的Secure Vault，它使用硬件和軟件功能組合在SoC中提供全面安全子系統。Silicon Labs第一個(gè)整合有Secure Vault的組件是多協(xié)議無(wú)線(xiàn)SoC EFM32MG21B。

Secure Vault已獲行業(yè)安全組織PSA Certified和IoXt聯(lián)盟（ioXt Alliance）認證。PSA Certified Level 2認證基于與Arm共同創(chuàng )建安全標準架構。

Secure Vault SoC在設備中整合了所有期望安全功能，例如真正隨機數生成器、加密引擎、信任根和安全啟動(dòng)功能。 Secure Vault透過(guò)增強安全啟動(dòng)、DPA對策、防篡改檢測、安全密鑰管理和安全證明等特性進(jìn)一步加強安全功能。

在Secure Vault中，所有安全功能都位于安全元素子系統中，請參見(jiàn)圖3。


 
圖3 : Silicon Labs Secure Vault安全元素子系統。（來(lái)源：Silicon Labs）

黑客通常使用的一種攻擊方法是干擾啟動(dòng)代碼，用看似正常但實(shí)際運作卻完全不同的指令替換代碼，將數據重新定向到其他服務(wù)器。 Secure Vault采用增強啟動(dòng)過(guò)程，其中同時(shí)使用應用微控制器和安全元素微控制器，并結合信任根和安全加載程序功能，僅僅執行受信任之應用程序代碼，參見(jiàn)圖4。

 
圖4 : 使用Silicon Labs Secure Vault之安全啟動(dòng)。（來(lái)源：Silicon Labs）

另一種黑客攻擊方法試圖將已安裝韌件（firmware）轉返（rollback）到具有安全脆弱度之先前版本。這樣，黑客就可以破壞設備，從而利用其中安全脆弱度。借助Secure Vault，防轉返預防措施透過(guò)使用數字簽名韌件來(lái)驗證是否需要更新，參見(jiàn)圖5。

 
圖5 : Secure Vault防轉返對策使用數字簽名對韌件更新進(jìn)行身份驗證。（來(lái)源：Silicon Labs）

某些系統以前使用可公共瀏覽唯一ID（UID）來(lái)標識單個(gè)IoT設備。對于開(kāi)發(fā)人員而言，此類(lèi)UID使偽造產(chǎn)品相較容易，從而使產(chǎn)品真實(shí)性受到質(zhì)疑。透過(guò)使用Secure Vault，可以生成唯一ECC密鑰/公用密鑰對，并且密鑰安全存儲在芯片上。應用可以請求設備證書(shū)，但是任何響應需要使用設備密鑰簽名，而不是隨證書(shū)一起發(fā)送，參見(jiàn)圖6。

 
圖6 : 采用Secure Vault進(jìn)行安全認證過(guò)程。（來(lái)源：Silicon Labs）

結論
對于當下開(kāi)發(fā)的每個(gè)嵌入式設備，都需要至關(guān)重要且強大安全性支持。物聯(lián)網(wǎng)設備中黑客攻擊威脅格局日益嚴重，要求從設備出廠(chǎng)發(fā)運開(kāi)始就需要發(fā)揮其全面安全性。使用Secure Vault，可以確保產(chǎn)品開(kāi)發(fā)團隊及其客戶(hù)從一開(kāi)始就具有防范可擴展軟件攻擊之強大保護體系。

（本文作者Simon Holt任職于貿澤電子）