嵌入式系統安全性(上)

　　隨著(zhù)電子裝置擔負的責任越來(lái)越多，我們放入蜂窩式電話(huà)、媒體播放器、機頂盒以及其他電器的個(gè)人信息也越來(lái)越多。于是，嵌入式系統的安全性涵蓋了隱私信息保護的方方面面，從在商業(yè)終端(POS)上進(jìn)行的信用卡交易的真實(shí)性保護，一直到私人語(yǔ)音郵件的防護。

　　在這篇調研報告中，我們將回顧最基本的攻擊狀況、系統弱點(diǎn)，并討論最好的防衛策略。我們從硬件、軟件及軟硬件混合的角度來(lái)分析系統的強化，比如安全引導、系統管理程序對存儲器的控制。

　　產(chǎn)品層次的正式安全認證可以具體到某一特定的應用，于是，詳情會(huì )被保存得相當隱秘，這也就不難理解了。同樣的，我們也從安全的角度，提出能夠產(chǎn)生有用度量的方法，來(lái)決定SOC及系統組件的一般魯棒性和適用性。(注：魯棒性(robustness)就是系統的健壯性。它是在異常和危險情況下系統生存的關(guān)鍵。比如說(shuō)，計算機軟件在輸入錯誤、磁盤(pán)故障、網(wǎng)絡(luò )過(guò)載或有意攻擊情況下，能否不死機、不崩潰，就是該軟件的魯棒性。)

攻擊狀況分析

　　知道我們所擔心的是什么，這是很重要的。它們的技巧是什么？它們的資源有幾種？威脅的類(lèi)型千變萬(wàn)化，從相對低強度的軟件攻擊—這種攻擊基于一些可在網(wǎng)上新聞組(如：alt.hacker或各種各樣的“warez”站點(diǎn))找到的軟件—一直到資金充足的工業(yè)間諜活動(dòng)。

攻擊狀況可合乎情理地劃分為如下幾類(lèi)：

　　.一個(gè)聰明的外部人員：這個(gè)人很聰明但對系統的了解卻很有限。他已經(jīng)可以使用先進(jìn)程度中等的設備，并可以利用已知的弱點(diǎn)而不是制造新的弱點(diǎn)。

　　.一個(gè)充分了解系統的內部人員：這個(gè)人受過(guò)專(zhuān)業(yè)技術(shù)教育并擁有技術(shù)方面的經(jīng)驗。他對系統各個(gè)部件的了解程度不同，但是，由于其位置處于“防火墻之后”，他將會(huì )獲得具有高度損壞性的詳細資料。這種人可以利用高度專(zhuān)業(yè)化的工具和手段進(jìn)行分析。

　　.一個(gè)有資金支持的組織：一個(gè)組織將能夠組建具有技術(shù)互補性的專(zhuān)家隊伍。在那個(gè)對系統了解充分的內部人可能在某些特定的領(lǐng)域具有專(zhuān)長(cháng)，而該組織可以通過(guò)增加人手來(lái)填補這些領(lǐng)域內的空白。他們將有機會(huì )使用先進(jìn)的分析工具和精密的儀器來(lái)更改組件。聚焦離子束(FIB)是一種復雜且昂貴設備的技術(shù)，可以用來(lái)修改集成電路。這種設備遠遠超過(guò)大多數個(gè)人的使用需要，但是，那些破解有著(zhù)重要價(jià)值的對象的安全防護措施的組織卻要利用該技術(shù)。

攻擊

　　攻擊者技術(shù)和能力不同，他們的方法也不同。我們從一些基本可以在分屬各種威脅程度的幾種攻擊方法開(kāi)始。

　　一類(lèi)范圍很寬的軟件的攻擊，依賴(lài)于攻擊者在執行環(huán)境中獲得足夠的特權，以便能控制和獲取敏感的裝置及數據。例如，在iPhone軟件體系結構的開(kāi)發(fā)過(guò)程中，諸如瀏覽器等部分就處于系統的優(yōu)先層面1。從系統集成的角度來(lái)說(shuō)，這是有道理的。但是使得系統易遭攻擊，因為任何會(huì )受到威脅的系統組成部分，可以具有最高權限級別，因此可以訪(fǎng)問(wèn)大量系統資源。

　　使用這種方法的最近的一個(gè)例子，由Charlie Miller等人在去年夏天公布于眾。通過(guò)將一個(gè)惡意的HTML文件指向電話(huà)的Safari網(wǎng)絡(luò )瀏覽器，可以控制對包含敏感信息的存儲區的訪(fǎng)問(wèn)。這會(huì )使電話(huà)的Safari網(wǎng)絡(luò )瀏覽器崩潰。

　　在實(shí)際應用中，這種攻擊可以通過(guò)發(fā)含有鏈接的郵件，這樣一個(gè)簡(jiǎn)單的權宜之計來(lái)實(shí)現。其中，郵件中鏈接所指的是一個(gè)具有惡意HTML的服務(wù)器。如果接收者電擊那個(gè)鏈接，使用那個(gè)攻擊所轉化的安裝程序，接收者就很可能受到攻擊。

　　從安全的角度來(lái)說(shuō)， DMA(直接存儲器存取)存儲器是一個(gè)令人頭疼的問(wèn)題。它們使用一種強大的機制來(lái)迅速而有效地轉移數據，但是它們轉移數據的過(guò)程也是大多數系統所無(wú)法控制的。如果目標裝置是有DMA能力的，一個(gè)惡意的應用程序通過(guò)注入代碼和數據或獲取敏感信息，可以完全地搞垮一個(gè)系統。DMA控制器，由于它們可以很輕松地進(jìn)行繞過(guò)保護層和訪(fǎng)問(wèn)存儲器，因此在正在設計的SOC和系統中，必須對其進(jìn)行一系列詳細的審查。

　　有一種掠奪普遍使用的數據結構的攻擊方法是緩存器溢出攻擊。這種攻擊普遍利用那些被用來(lái)存儲用戶(hù)向一個(gè)程序所提供的輸入的堆棧，比如說(shuō)：姓名、住址、電話(huà)號碼和其他的典型表格性數據。在正常操作條件下，數據按照操作者的輸入順序，與返回存儲地址一起，存儲在堆棧里。

　　然而，在一些情況下，應用軟件并不進(jìn)行適當的檢查，來(lái)確定接受到的數據是否超出了所分配的緩沖存儲區域。向緩存中本該操作者輸入數據的區域，傳送尺寸過(guò)大的數據，并伴以一段惡意的執行代碼及一個(gè)用來(lái)覆蓋調用程序的返回地址的地址數據。那個(gè)特大的數據導致比堆棧配置空間更大空間的使用，造成緩存溢出。同時(shí)，由于地址數據過(guò)多的返回地址指向攻擊者的惡意代碼，當功能?chē)L試返回時(shí)，就開(kāi)始執行黑客在錯誤返回地址所寫(xiě)的代碼。這種危害已經(jīng)達成，侵入者掌握了控制權。

　　一旦攻擊行動(dòng)成功地將執行代碼放入它的域中，系統水平上的危險度就依賴(lài)于賦予被劫持的進(jìn)程的授權水平。當然，如果被危及的程序在系統中被許可控制的范圍并不寬，那么危害的程度就會(huì )相對減小。