構筑嵌入式系統的安全屏障
——
作者：Warren Webb
時(shí)間：2005-09-04
來(lái)源：EDN電子設計技術(shù)
收藏
加入技術(shù)交流群
掃碼加入
和技術(shù)大咖面對面交流
海量資料庫查詢(xún)
構筑嵌入式系統的安全屏障
隨著(zhù)黑客的攻擊目標從臺式機轉向嵌入式系統，硬件安全決策和軟件安全決策在設計過(guò)程中占了主導地位。
要點(diǎn)
●與出現故障后提供補丁的臺式電腦軟件安全策略不同，嵌入式產(chǎn)品即使在遭遇安全威脅時(shí)也必須繼續工作。
●嵌入式設備面臨的安全威脅迫使設計師除了采取傳統的軟件保護措施之外，還必須采取物理封裝保護措施。
●嵌入式系統體系結構多種多樣，這為黑客提供了很多攻擊機會(huì )，而且還妨礙全行業(yè)安全保護方案的開(kāi)發(fā)。
●專(zhuān)門(mén)的嵌入式安全存儲芯片和協(xié)處理器把安全認證和加密兩項任務(wù)推給專(zhuān)用硬件去完成。
5年前，數十億嵌入式系統成為了注意的焦點(diǎn)，當時(shí)權威人士預測Y2K故障將會(huì )擾亂制造、配電、運輸、通信、水凈化、現金提取、武器系統的正常運作，還將帶來(lái)其他許多災難。全球的政府和私營(yíng)公司花費數千工時(shí)和數十億美元來(lái)分析和更新嵌入式固件，以便能避免可能發(fā)生的災難。這些嵌入式設備目前面臨新的敵人，來(lái)自越來(lái)越多的黑客和恐怖分子，他們試圖造成類(lèi)似的危害，強制進(jìn)行計劃外的運作，或提取保密信息。對于任何新的嵌入式系統設計來(lái)說(shuō)，這個(gè)新的現實(shí)使安全問(wèn)題成為最優(yōu)先考慮的事項。
嵌入式設備的應用情況，使我們對它們的可靠性期望值比對我們日常使用的大多數其它計算系統高得多。數以千計的用戶(hù)每天都要關(guān)閉或重新啟動(dòng)臺式電腦，來(lái)處理出錯的程序或病毒。然而，如果您關(guān)閉或重新啟動(dòng)許多嵌入式設備，比如關(guān)鍵系統中的嵌入設備，您就一定會(huì )有造成生命、財產(chǎn)或信息等損失的風(fēng)險。在臺式電腦軟件領(lǐng)域，您可以等待故障發(fā)生，然后設計補丁來(lái)繞過(guò)它，但這在嵌入領(lǐng)域是無(wú)法讓人接受的。由于黑客會(huì )對各種基于電腦的系統發(fā)起攻擊，設備開(kāi)發(fā)商必須相應地采取硬件安全措施和軟件安全措施，防止或遏制任何破壞性入侵。
盡管您能采用多層次保護，但任何系統或產(chǎn)品都不是100% 安全的。大多數專(zhuān)家認為，當黑客危害產(chǎn)品所需的時(shí)間和資金超過(guò)了他們所提取信息的價(jià)值時(shí)，系統就是安全的。我們必須假設，只要有足夠的資源，黑客就能夠闖入任何系統。由于幾乎無(wú)法對現有產(chǎn)品添加安全措施，因此安全性必須是基本的設計目標，從概念一直到生產(chǎn)、部署和壽命到期后的處理都應如此。美國國家標準與技術(shù)研究院（NIST）特別出版物800-27提供了若干在產(chǎn)品壽命周期的各個(gè)階段要考慮的與安全有關(guān)的設計原則（參考文獻1）。這些原則包括：確定安全策略，設計產(chǎn)品，處理升級，對付變化中的威脅，采用新技術(shù)，建立多個(gè)安全層，培訓程序員以便提交安全的軟件。
首先應考慮的安全問(wèn)題之一是確定您需要保護的是哪些信息，這樣您就可以選擇合適的安全措施。重要的是要區分嵌入式設備存儲或顯示的公共數據和保密數據，因為您也許能減少甚至去除敏感數據，從而使安全工作量減至最少程度。除了明顯的公司保密數據和個(gè)人保密數據以外，您的設備也許還需要利用某種數字權利管理方案來(lái)保護擁有版權的材料，如書(shū)籍、音樂(lè )和視頻。您的專(zhuān)有產(chǎn)品設計的細節也可能會(huì )給外人或競爭對手提供有價(jià)值的信息。
誰(shuí)在門(mén)口？
接下來(lái)，您應該確定可能的攻擊者是誰(shuí)，以及他們的技巧水平。您也許能夠借助簡(jiǎn)單的口令來(lái)保護音樂(lè )數據免遭好奇的愛(ài)好者的窺探；然而，如果您的設備敞開(kāi)了金庫大門(mén)，那您就等著(zhù)擁有經(jīng)驗、資金和決心的黑客來(lái)考驗您的安全功能吧?？植澜M織企圖繞過(guò)安全防備來(lái)威脅生命，制造混亂。外國政府也許會(huì )資助攻擊者搜索對國家安全敏感的數據。如果您保護的數據涉及金融，就可能會(huì )有犯罪分子試圖突破您的安全措施。最后，您應該提防工業(yè)間諜活動(dòng)，不道德的競爭對手可以借此降低或免除產(chǎn)品設計費用，進(jìn)而獲利。
如果某設備存儲有敏感數據或保密數據，那么您的設計必須在正常工作期間、在通過(guò)網(wǎng)絡(luò )連接遭受攻擊期間、在攻擊者在實(shí)驗室中采用電子手段探測期間提供保護。嵌入式設備（尤其是便攜產(chǎn)品）面臨的安全威脅要比典型的臺式系統多得多。黑客也許會(huì )利用靈敏的測試設備來(lái)竊取、拆卸和探測小型設備，以便提取數據。他們能從產(chǎn)品中取出存儲元件，以提取存儲部件內的數據。同樣，他們也許會(huì )利用調試端口和軟件來(lái)讀取敏感數據或強制進(jìn)行計劃外的操作。攻擊者也許會(huì )測量電磁輻射或功耗來(lái)獲得被隱藏信息的有關(guān)線(xiàn)索。另一種技巧是引入極端溫度、電壓偏移和時(shí)鐘變化，從而強迫系統在設計參數范圍之外工作，表現出異常性能。
由于便攜設備面臨額外威脅，設計師應該采取物理威懾手段來(lái)保護敏感信息。需要專(zhuān)門(mén)設備才能打開(kāi)的加固型外殼也許能阻止一些攻擊。當攻擊正在進(jìn)行時(shí)，傳感器會(huì )給軟件發(fā)信號。外殼設計至少應該用密封條或膠帶來(lái)提供產(chǎn)品被人動(dòng)過(guò)的明顯證據，因為黑客在打開(kāi)產(chǎn)品時(shí)會(huì )毀壞這些密封條或膠帶。關(guān)于內部設計，開(kāi)發(fā)商在設計印刷電路板時(shí)應該把安全放在心上。例如，BGA 封裝使關(guān)鍵信號隱藏在電路板內層，從而使得黑客對其探測和逆向工程變得更困難。雖然黑客可以用酸清除某些制劑，但設計師可以用環(huán)氧樹(shù)脂和保形涂料來(lái)保護產(chǎn)品的所有或部分內部敏感電路。
存儲數據損失
存儲設備是黑客最喜歡的內部攻擊目標，這是因為它們保存了產(chǎn)品的固件和敏感數據。很多設備可以在線(xiàn)讀出數據，而且可以在工作期間提供臨時(shí)的文本數據。如果您的設備具有防篡改傳感器，您就可以利用硬件或軟件資源來(lái)迅速抹掉敏感數據。有幾家廠(chǎng)商提供安全存儲設備來(lái)保護內部數據。例如，Dallas Semiconductor公司的 DS2432 既有 1024 位 EEPROM，又有一個(gè) 64 位保密引擎和 512 位安全散列算法引擎，以提供低成本的基于認證的安全性（圖 1）。DS2432 售價(jià)是 2.03 美元（1000 件批量）。
圖 1，Dallas Semiconductor公司的 DS2432 具有 1128 位5V EEPROM（它分區成 4 頁(yè)，每頁(yè) 256 位）、一個(gè) 64 位只寫(xiě)保密寄存器和5 個(gè)通用讀/寫(xiě)寄存器。
在軟件方面，嵌入式產(chǎn)品為黑客提供了很多入侵機會(huì )。與臺式產(chǎn)品不同的是，嵌入式產(chǎn)品采用數十種軟件體系結構和操作系統，而這些軟件體系結構和操作系統的安全等級各不相同，視其制造商的專(zhuān)業(yè)技能而定。為了建立系統安全標準，美國、加拿大和幾個(gè)歐洲國家制定了《信息技術(shù)安全評估共同準則》 ，或簡(jiǎn)稱(chēng)《共同準則》?！豆餐瑴蕜t》結構允許消費者、開(kāi)發(fā)商和評估人員按標準的保護措施和 EAL（評估保證等級）規定產(chǎn)品的安全功能。雖然還沒(méi)有操作系統得到最高的 EAL-7 認證，但有幾項開(kāi)發(fā)計劃正在進(jìn)行。例如，LynuxWorks公司 正在對其 LynxOS-178 操作系統進(jìn)行一次小規模運行狀態(tài)下內核的改進(jìn)，并期望對它進(jìn)行最高等級的正式驗證和測試。EAL-7 等級認證需要詳盡的數學(xué)分析，這就把此類(lèi)軟件的長(cháng)度限制在最多 6000～7000 行代碼以?xún)取?/div>
要點(diǎn)
●與出現故障后提供補丁的臺式電腦軟件安全策略不同，嵌入式產(chǎn)品即使在遭遇安全威脅時(shí)也必須繼續工作。
●嵌入式設備面臨的安全威脅迫使設計師除了采取傳統的軟件保護措施之外，還必須采取物理封裝保護措施。
●嵌入式系統體系結構多種多樣，這為黑客提供了很多攻擊機會(huì )，而且還妨礙全行業(yè)安全保護方案的開(kāi)發(fā)。
●專(zhuān)門(mén)的嵌入式安全存儲芯片和協(xié)處理器把安全認證和加密兩項任務(wù)推給專(zhuān)用硬件去完成。
5年前，數十億嵌入式系統成為了注意的焦點(diǎn)，當時(shí)權威人士預測Y2K故障將會(huì )擾亂制造、配電、運輸、通信、水凈化、現金提取、武器系統的正常運作，還將帶來(lái)其他許多災難。全球的政府和私營(yíng)公司花費數千工時(shí)和數十億美元來(lái)分析和更新嵌入式固件，以便能避免可能發(fā)生的災難。這些嵌入式設備目前面臨新的敵人，來(lái)自越來(lái)越多的黑客和恐怖分子，他們試圖造成類(lèi)似的危害，強制進(jìn)行計劃外的運作，或提取保密信息。對于任何新的嵌入式系統設計來(lái)說(shuō)，這個(gè)新的現實(shí)使安全問(wèn)題成為最優(yōu)先考慮的事項。
嵌入式設備的應用情況，使我們對它們的可靠性期望值比對我們日常使用的大多數其它計算系統高得多。數以千計的用戶(hù)每天都要關(guān)閉或重新啟動(dòng)臺式電腦，來(lái)處理出錯的程序或病毒。然而，如果您關(guān)閉或重新啟動(dòng)許多嵌入式設備，比如關(guān)鍵系統中的嵌入設備，您就一定會(huì )有造成生命、財產(chǎn)或信息等損失的風(fēng)險。在臺式電腦軟件領(lǐng)域，您可以等待故障發(fā)生，然后設計補丁來(lái)繞過(guò)它，但這在嵌入領(lǐng)域是無(wú)法讓人接受的。由于黑客會(huì )對各種基于電腦的系統發(fā)起攻擊，設備開(kāi)發(fā)商必須相應地采取硬件安全措施和軟件安全措施，防止或遏制任何破壞性入侵。
盡管您能采用多層次保護，但任何系統或產(chǎn)品都不是100% 安全的。大多數專(zhuān)家認為，當黑客危害產(chǎn)品所需的時(shí)間和資金超過(guò)了他們所提取信息的價(jià)值時(shí)，系統就是安全的。我們必須假設，只要有足夠的資源，黑客就能夠闖入任何系統。由于幾乎無(wú)法對現有產(chǎn)品添加安全措施，因此安全性必須是基本的設計目標，從概念一直到生產(chǎn)、部署和壽命到期后的處理都應如此。美國國家標準與技術(shù)研究院（NIST）特別出版物800-27提供了若干在產(chǎn)品壽命周期的各個(gè)階段要考慮的與安全有關(guān)的設計原則（參考文獻1）。這些原則包括：確定安全策略，設計產(chǎn)品，處理升級，對付變化中的威脅，采用新技術(shù)，建立多個(gè)安全層，培訓程序員以便提交安全的軟件。
首先應考慮的安全問(wèn)題之一是確定您需要保護的是哪些信息，這樣您就可以選擇合適的安全措施。重要的是要區分嵌入式設備存儲或顯示的公共數據和保密數據，因為您也許能減少甚至去除敏感數據，從而使安全工作量減至最少程度。除了明顯的公司保密數據和個(gè)人保密數據以外，您的設備也許還需要利用某種數字權利管理方案來(lái)保護擁有版權的材料，如書(shū)籍、音樂(lè )和視頻。您的專(zhuān)有產(chǎn)品設計的細節也可能會(huì )給外人或競爭對手提供有價(jià)值的信息。
誰(shuí)在門(mén)口？
接下來(lái)，您應該確定可能的攻擊者是誰(shuí)，以及他們的技巧水平。您也許能夠借助簡(jiǎn)單的口令來(lái)保護音樂(lè )數據免遭好奇的愛(ài)好者的窺探；然而，如果您的設備敞開(kāi)了金庫大門(mén)，那您就等著(zhù)擁有經(jīng)驗、資金和決心的黑客來(lái)考驗您的安全功能吧?？植澜M織企圖繞過(guò)安全防備來(lái)威脅生命，制造混亂。外國政府也許會(huì )資助攻擊者搜索對國家安全敏感的數據。如果您保護的數據涉及金融，就可能會(huì )有犯罪分子試圖突破您的安全措施。最后，您應該提防工業(yè)間諜活動(dòng)，不道德的競爭對手可以借此降低或免除產(chǎn)品設計費用，進(jìn)而獲利。
如果某設備存儲有敏感數據或保密數據，那么您的設計必須在正常工作期間、在通過(guò)網(wǎng)絡(luò )連接遭受攻擊期間、在攻擊者在實(shí)驗室中采用電子手段探測期間提供保護。嵌入式設備（尤其是便攜產(chǎn)品）面臨的安全威脅要比典型的臺式系統多得多。黑客也許會(huì )利用靈敏的測試設備來(lái)竊取、拆卸和探測小型設備，以便提取數據。他們能從產(chǎn)品中取出存儲元件，以提取存儲部件內的數據。同樣，他們也許會(huì )利用調試端口和軟件來(lái)讀取敏感數據或強制進(jìn)行計劃外的操作。攻擊者也許會(huì )測量電磁輻射或功耗來(lái)獲得被隱藏信息的有關(guān)線(xiàn)索。另一種技巧是引入極端溫度、電壓偏移和時(shí)鐘變化，從而強迫系統在設計參數范圍之外工作，表現出異常性能。
由于便攜設備面臨額外威脅，設計師應該采取物理威懾手段來(lái)保護敏感信息。需要專(zhuān)門(mén)設備才能打開(kāi)的加固型外殼也許能阻止一些攻擊。當攻擊正在進(jìn)行時(shí)，傳感器會(huì )給軟件發(fā)信號。外殼設計至少應該用密封條或膠帶來(lái)提供產(chǎn)品被人動(dòng)過(guò)的明顯證據，因為黑客在打開(kāi)產(chǎn)品時(shí)會(huì )毀壞這些密封條或膠帶。關(guān)于內部設計，開(kāi)發(fā)商在設計印刷電路板時(shí)應該把安全放在心上。例如，BGA 封裝使關(guān)鍵信號隱藏在電路板內層，從而使得黑客對其探測和逆向工程變得更困難。雖然黑客可以用酸清除某些制劑，但設計師可以用環(huán)氧樹(shù)脂和保形涂料來(lái)保護產(chǎn)品的所有或部分內部敏感電路。
存儲數據損失
存儲設備是黑客最喜歡的內部攻擊目標，這是因為它們保存了產(chǎn)品的固件和敏感數據。很多設備可以在線(xiàn)讀出數據，而且可以在工作期間提供臨時(shí)的文本數據。如果您的設備具有防篡改傳感器，您就可以利用硬件或軟件資源來(lái)迅速抹掉敏感數據。有幾家廠(chǎng)商提供安全存儲設備來(lái)保護內部數據。例如，Dallas Semiconductor公司的 DS2432 既有 1024 位 EEPROM，又有一個(gè) 64 位保密引擎和 512 位安全散列算法引擎，以提供低成本的基于認證的安全性（圖 1）。DS2432 售價(jià)是 2.03 美元（1000 件批量）。
圖 1，Dallas Semiconductor公司的 DS2432 具有 1128 位5V EEPROM（它分區成 4 頁(yè)，每頁(yè) 256 位）、一個(gè) 64 位只寫(xiě)保密寄存器和5 個(gè)通用讀/寫(xiě)寄存器。
在軟件方面，嵌入式產(chǎn)品為黑客提供了很多入侵機會(huì )。與臺式產(chǎn)品不同的是，嵌入式產(chǎn)品采用數十種軟件體系結構和操作系統，而這些軟件體系結構和操作系統的安全等級各不相同，視其制造商的專(zhuān)業(yè)技能而定。為了建立系統安全標準，美國、加拿大和幾個(gè)歐洲國家制定了《信息技術(shù)安全評估共同準則》 ，或簡(jiǎn)稱(chēng)《共同準則》?！豆餐瑴蕜t》結構允許消費者、開(kāi)發(fā)商和評估人員按標準的保護措施和 EAL（評估保證等級）規定產(chǎn)品的安全功能。雖然還沒(méi)有操作系統得到最高的 EAL-7 認證，但有幾項開(kāi)發(fā)計劃正在進(jìn)行。例如，LynuxWorks公司 正在對其 LynxOS-178 操作系統進(jìn)行一次小規模運行狀態(tài)下內核的改進(jìn)，并期望對它進(jìn)行最高等級的正式驗證和測試。EAL-7 等級認證需要詳盡的數學(xué)分析，這就把此類(lèi)軟件的長(cháng)度限制在最多 6000～7000 行代碼以?xún)取?/div>
關(guān)鍵詞：
構筑嵌入式系統
相關(guān)推薦
技術(shù)專(zhuān)區
- FPGA
- DSP
- MCU
- 示波器
- 步進(jìn)電機
- Zigbee
- LabVIEW
- Arduino
- RFID
- NFC
- STM32
- Protel
- GPS
- MSP430
- Multisim
- 濾波器
- CAN總線(xiàn)
- 開(kāi)關(guān)電源
- 單片機
- PCB
- USB
- ARM
- CPLD
- 連接器
- MEMS
- CMOS
- MIPS
- EMC
- EDA
- ROM
- 陀螺儀
- VHDL
- 比較器
- Verilog
- 穩壓電源
- RAM
- AVR
- 傳感器
- 可控硅
- IGBT
- 嵌入式開(kāi)發(fā)
- 逆變器
- Quartus
- RS-232
- Cyclone
- 電位器
- 電機控制
- 藍牙
- PLC
- PWM
- 汽車(chē)電子
- 轉換器
- 電源管理
- 信號放大器
評論