物聯(lián)網(wǎng)設(shè)備攻擊激增，如何保障代碼與數(shù)據(jù)完整安全

物聯(lián)網(wǎng)設(shè)備遭受網(wǎng)絡(luò)攻擊的現(xiàn)象日益嚴(yán)重。獨(dú)立研究顯示，在美國(guó)，2019年針對(duì)物聯(lián)網(wǎng)設(shè)備發(fā)動(dòng)的網(wǎng)絡(luò)攻擊數(shù)量同比激增300%。同時(shí)，約有57%的物聯(lián)網(wǎng)設(shè)備難以抵抗中等或嚴(yán)重攻擊，而每次物聯(lián)網(wǎng)終端遭入侵，企業(yè)需支付的平均成本為900萬(wàn)美元。

網(wǎng)絡(luò)攻擊造成的損失不僅是服務(wù)中斷帶來的收入損失，還有產(chǎn)品制造商的品牌聲譽(yù)損害、政府罰款，以及需要將技術(shù)純熟且成本高昂的工程資源從生產(chǎn)開發(fā)工作轉(zhuǎn)移到緊急恢復(fù)和維修上。由于網(wǎng)絡(luò)安全的法規(guī)日益嚴(yán)格，物聯(lián)網(wǎng)設(shè)備制造商非常關(guān)注合規(guī)要求。歐盟的《網(wǎng)絡(luò)安全法案》（EU Cybersecurity Act）和中國(guó)的《網(wǎng)絡(luò)安全法》（Cybersecurity Law）要求對(duì)裝置漏洞進(jìn)行獨(dú)立測(cè)試，而《加州消費(fèi)者隱私保護(hù)法》（CCPA）則規(guī)定對(duì)每一次的非蓄意違規(guī)行為，對(duì)公司處以2500美元的罰款。

然而不會(huì)有任何嵌入式裝置制造商表示，其連網(wǎng)設(shè)備遭受安全威脅是安全組件漏洞造成的。因?yàn)楹苋菀拙湍苷业娇蓤?zhí)行復(fù)雜密碼算法、加密芯片上的密鑰存儲(chǔ)、功率分析和其他安全功能的安全組件或片上系統(tǒng)（SoC）等專用組件。只要將這些組件正確整合到系統(tǒng)設(shè)計(jì)中，便能為裝載組件的設(shè)備提供強(qiáng)大的防護(hù)。

那么，如果安全組件可以很容易整合到系統(tǒng)中，為何每天都會(huì)有嵌入式連網(wǎng)裝置遭受攻擊得逞？某些情況下，這是因?yàn)橄到y(tǒng)中某些部分的安全組件或安全SoC以外的漏洞所導(dǎo)致。這類漏洞最常出現(xiàn)在存儲(chǔ)關(guān)鍵程序代碼或數(shù)據(jù)的標(biāo)準(zhǔn)外部閃存中。另外一種情況，是因?yàn)橄到y(tǒng)安全組件或安全SoC缺少所能提供的精密防護(hù)功能。

在這兩種情況下，硬件層級(jí)安全的障礙通常由于成本和難度。的確，對(duì)非安全專家的工程師來說，安全電子組件要在技術(shù)上達(dá)到支付終端和移動(dòng)電話等金融產(chǎn)品的高級(jí)支付等級(jí)，是非常復(fù)雜且困難的。

但是現(xiàn)在，新一代安全閃存產(chǎn)品已經(jīng)上市，為不需要支付等級(jí)防護(hù)的嵌入式設(shè)備提供安全的硬件基礎(chǔ)。這樣的安全閃存通常具有和標(biāo)準(zhǔn)閃存一樣的封裝尺寸和腳位配置，而且是通過標(biāo)準(zhǔn)的SPI NOR Flash指令集進(jìn)行控制，方便一般的嵌入式設(shè)備設(shè)計(jì)人員采用，同時(shí)還提供全面的安全功能，可保護(hù)連網(wǎng)設(shè)備并防御針對(duì)系統(tǒng)完整性或數(shù)據(jù)隱私的攻擊。

為何要在內(nèi)存設(shè)備中實(shí)現(xiàn)安全性？

傳統(tǒng)上將非易失性內(nèi)存視為一種簡(jiǎn)單的設(shè)備：寫入位，然后讀出相同的位。它通常被看作存儲(chǔ)設(shè)備，而非處理器。

每個(gè)用于程序代碼或應(yīng)用程序數(shù)據(jù)的NOR Flash中，其實(shí)已涵括了用于控制內(nèi)存運(yùn)作及通過序列周邊接口與主機(jī)進(jìn)行通訊的邏輯電路。安全閃存設(shè)備以此邏輯區(qū)塊為基礎(chǔ)，并加以延伸，同時(shí)提供安全功能和內(nèi)存控制功能。

為了適應(yīng)用于微控制器和SoC嵌入式閃存的制程，華邦等閃存制造商開發(fā)了新一代的安全閃存產(chǎn)品。盡管高級(jí)的微控制器和SoC已采用20納米以下節(jié)點(diǎn)的晶圓制程，但嵌入式NOR Flash的制程卻未能跟上腳步。這代表嵌入式浮柵閃存制程無(wú)法與最新的MCU和SoC搭配，且嵌入式NOR Flash容量通常不夠大，不足以存儲(chǔ)所要執(zhí)行的復(fù)雜軟件程序代碼。

因此，在如今的嵌入式設(shè)備設(shè)計(jì)中，應(yīng)用程序代碼通常存儲(chǔ)在外部閃存設(shè)備內(nèi)。但如果裝置連網(wǎng)（尤其是連接到互聯(lián)網(wǎng)的物聯(lián)網(wǎng)設(shè)備），外部閃存中的開機(jī)程序代碼就容易受到攻擊，數(shù)據(jù)也容易遭到竊取或入侵，除非內(nèi)存設(shè)備本身能受到完整的安全功能保護(hù)。這便是安全閃存的價(jià)值所在：為SoC/MCU填補(bǔ)安全性的不足之處。

安全閃存的關(guān)鍵功能

用安全閃存取代物聯(lián)網(wǎng)終端中的標(biāo)準(zhǔn)外部NOR Flash，是為了保護(hù)開機(jī)程序代碼和應(yīng)用程序數(shù)據(jù)的完整性。市面上的各種安全閃存設(shè)備都提供某種形式的安全存儲(chǔ)空間。此安全功能可提供基本的加密身份驗(yàn)證，內(nèi)存設(shè)備只會(huì)允許獲授權(quán)的主機(jī)執(zhí)行讀取和寫入操作，進(jìn)而能保護(hù)數(shù)據(jù)不讓主機(jī)SoC以外的任何設(shè)備存取。

但這僅能提供有限的安全保護(hù)，為了抵御多種類型的網(wǎng)絡(luò)攻擊，并遵守歐盟《網(wǎng)絡(luò)安全法案》中低層級(jí)（basic and substantial levels）的安全功能，華邦開發(fā)了多功能的安全NOR Flash內(nèi)存W77Q。作為TrustME?安全內(nèi)存系列產(chǎn)品之一，除了安全驗(yàn)證，W77Q還提供：

●   系統(tǒng)恢復(fù)力：防護(hù)、偵測(cè)和復(fù)原，確保即使網(wǎng)絡(luò)攻擊嘗試將物聯(lián)網(wǎng)設(shè)備停用，設(shè)備也可以自動(dòng)重新啟動(dòng)以執(zhí)行已知的安全程序代碼。

●   信任根，用于與主機(jī)SoC以及與外部系統(tǒng)（例如云端運(yùn)算服務(wù)）進(jìn)行身份驗(yàn)證通信。

●   安全數(shù)據(jù)存儲(chǔ)

從閃存到云端信任機(jī)構(gòu)的安全通道，用于實(shí)時(shí)無(wú)線固件更新。即便SoC本身已遭到入侵，此安全信道可讓內(nèi)存將開機(jī)程序代碼升級(jí)為新版本而無(wú)需依賴SoC。（請(qǐng)見圖1）。

圖1 W77Q可建立連往云端中信任中心的安全通道，以進(jìn)行實(shí)時(shí)無(wú)線軟件更新，即使主機(jī)SoC已遭入侵亦可進(jìn)行。（圖片來源：華邦）

W77Q經(jīng)過外部認(rèn)可實(shí)驗(yàn)室的評(píng)估，符合歐盟GDPR隱私法規(guī)的要求，并提供歐盟《網(wǎng)絡(luò)安全法案》規(guī)定的“中等”保護(hù)層級(jí)（substantial level）。此外，W77Q安全閃存還獲得了多項(xiàng)安全認(rèn)證，包括CC EAL2 (VAN.2)、IEC62443、SESIP和Arm平臺(tái)安全架構(gòu)（PSA）認(rèn)證。

系統(tǒng)恢復(fù)力對(duì)于物聯(lián)網(wǎng)設(shè)備尤其重要，然而這是多數(shù)安全閃存產(chǎn)品所缺少的功能。在電表等設(shè)備中，物理入侵（篡改）是一種常見的攻擊形式，因此需要加以保護(hù)。另外像是發(fā)電廠或軍事基地等高價(jià)值大型資產(chǎn)，則可能會(huì)從局域網(wǎng)絡(luò)遭到物理入侵。

而對(duì)于物聯(lián)網(wǎng)設(shè)備來說，主要威脅來自可擴(kuò)展的網(wǎng)絡(luò)攻擊，它會(huì)利用互聯(lián)網(wǎng)遠(yuǎn)程聯(lián)機(jī)到整個(gè)設(shè)備的設(shè)備群。美國(guó)國(guó)家標(biāo)準(zhǔn)與技術(shù)研究院（NIST）的SP 800-193標(biāo)準(zhǔn)規(guī)范了用于保護(hù)固件和配置數(shù)據(jù)免受此類攻擊的機(jī)制，并可以偵測(cè)受到的攻擊并從中復(fù)原。W77Q也提供符合此標(biāo)準(zhǔn)所需的系統(tǒng)恢復(fù)功能。系統(tǒng)恢復(fù)力有三個(gè)要素：防御攻擊、偵測(cè)攻擊，以及從攻擊中恢復(fù)（請(qǐng)見圖2）。

圖2 通過防御、偵測(cè)和恢復(fù)，W77Q是值得信賴的能維護(hù)平臺(tái)正常運(yùn)作的設(shè)備。（圖片來源：華邦）

諸如加密身份驗(yàn)證等功能可以防止未經(jīng)授權(quán)的設(shè)備嘗試訪問數(shù)據(jù)，進(jìn)而遏止攻擊。但是，成功的攻擊可能發(fā)生在主機(jī)SoC上，因此W77Q具有隨時(shí)偵測(cè)何時(shí)發(fā)生攻擊的能力。例如每次更新或訪問程序代碼時(shí)，它都會(huì)自動(dòng)檢查存儲(chǔ)的程序代碼是否毀損，也能按照主機(jī)裝置的指令掃描程序代碼。

如果W77Q偵測(cè)到成功的攻擊，例如原本的SoC遭到入侵而破壞了自有的開機(jī)程序代碼時(shí)，內(nèi)存設(shè)備便會(huì)自動(dòng)進(jìn)行適當(dāng)?shù)纳矸蒡?yàn)證，并恢復(fù)平臺(tái)固件。設(shè)備是通過“安全降級(jí)”（safe fallback）功能實(shí)現(xiàn)，此功能會(huì)將開機(jī)程序代碼恢復(fù)到已知的安全版本。此安全降級(jí)功能由經(jīng)過身份驗(yàn)證的看門狗定時(shí)器提供支持，使用已知的安全程序代碼強(qiáng)制主機(jī)SoC進(jìn)入干凈開機(jī)模式（clean boot）。

適用于多種場(chǎng)景的安全功能：

華邦開發(fā)W77Q的方法是提供一系列立即可用的分層化安全功能，讓物聯(lián)網(wǎng)設(shè)備制造商與設(shè)計(jì)人員能輕松進(jìn)行部署（請(qǐng)見圖3）。華邦的W77Q可提供：

●   端對(duì)端、立即可用的安全性，無(wú)需具備安全性領(lǐng)域的專業(yè)知識(shí)

●   可快速部署

●   完整全面的解決方案，由安全軟件廠商的兼容產(chǎn)品提供支持

●   簡(jiǎn)單的安全認(rèn)證

●   成本合理

圖3 全面性防御網(wǎng)絡(luò)攻擊需要實(shí)行一套分層化的安全功能。（圖片來源：華邦）

通過采用熟悉的SPI NOR Flash封裝及標(biāo)準(zhǔn)腳位，提供這些全面的功能，華邦可以協(xié)助確保每個(gè)物聯(lián)網(wǎng)設(shè)備在上市之前都能具備網(wǎng)絡(luò)攻擊防御能力。