构建安全到ICs从头开始

网络攻击变得更频繁和更复杂的,但他们也开始妥协平台,直到最近才被认为是牢不可破的。

考虑blockchains,例如,作为安全,开发分布式分类平台。所有人必须用相同的数据更新事务继续。但今年早些时候一个区块链桥平台虫洞——连接不同blockchains简化加密货币转移——被砍。窃贼偷走了价值3.24亿美元的加密的资产。2022年一季度,区块链黑客总额13亿美元。

另外,3月29日,2022年,6.2亿美元的拉撒路集团和APT38 Ethereum被偷了,网络犯罪组织与朝鲜有关,根据美国联邦调查局。美国国务院的奖励正义(RFJ)项目为信息提供了奖励500万美元,帮助破坏该国cybercriminal活动。

黑客正在采用新的技巧展示的“零点击”攻击的情况。大多数人都意识到不同的钓鱼计划和已学会不点击任何链接看起来可疑的电子邮件或短信。然而黑客设法发现违反安全操作系统缺陷和漏洞在iphone、Android手机和个人电脑。例如,黑客可以访问存储在手机银行信息甚至当用户不点击。

主任的解决方案,根据Jen东风美国网络安全基础设施安全机构,是“准备,而不是恐慌。“听起来很简单,但准备可以是一个巨大的挑战。

图1:有三个安全层设计一个网络系统技术(红色),应用程序(橙色)和管理(紫色)。来源:前年。

安全的基石
所以有可能建立一个“牢不可破”系统?答案是肯定的,但你可能不希望。一个封闭和孤立系统是100%安全的,但只要它是连接到互联网的开放的网络攻击。

在大多数情况下,更好的选择是构建安全的系统的。连接硬件设备与软件被认为是一个完整的堆栈基线对于大多数应用程序。来自多个数据源的数据需要生成,处理,存储,常见的积木,保护这些数据的线程安全性和端到端安全性。

电子系统中使用的组件需要安全,所以的供应链构建这些设备使用的硬件和软件。零部件供应商必须进行管理,这样没有使用假冒零部件和软件。此外,制造过程应该有程序,以防止设备引入恶意或错误。如果供应链是不安全的,该设备将不安全,包括网络在内的任何连接到它将是脆弱的。

“现在该行业主要集中在风险管理在软件供应链,”乔纳森。克努森说,全球研究主管Synopsys对此的网络安全研究中心(CyRC)。“软件供应链包括从一个应用程序的想法通过使用人类或机器。供应链包括明显的开源软件组件和部署基地图片,而且开发工具,组件库、构建系统、源代码控制系统,等等。最好的开始方式是全盘思考。什么级别的风险是可以接受的?这种风险贡献什么?如何降低风险在供应链?”

图2:一个安全、嵌入式系统包括从逻辑层的保护水平。来源:西门子EDA

“一个深思熟虑的安全的方法是一个分层的解决方案,这可能包含任何上述技术,甚至他们的基础硬件、“李哈里森说,汽车解决方案经理Tessent分工西门子EDA。“系统安全的关键是不要仅依赖于一种安全技术。我们称之为深度防御。”

这种方法包括:

• 逻辑电平的安全。这是一个基于硬件的安全解决方案,监控特定操作在事务级别的逻辑。硅水平不可或缺的逻辑设备,所以它不能被窃听或删除。
• 嵌入式分析。芯片上的一个专门的分析引擎使用硬件的实时数据监控分析。发动机是主要功能分开处理,所以不能影响功能的软件堆栈。
• 设备访问。在某一时刻的数据需要离开芯片,所以访问设备必须是安全的。这需要一种硅基根的信任,包括另一个系统可以连接之前级别的身份验证。
• 安全软件和数据加密。需要安全访问设备不停止一次。如果数据是敏感的,安全软件和数据加密是必要的。

“开发人员构建一个安全的系统需要明白,高层应用程序(例如,移动支付)隐式依赖较低的层的安全,”斯科特说最好,反篡改安全技术主管Rambus。“例如,手机上的移动支付应用程序依赖于hypervisor上运行应用程序的完整性,电话。这程序依赖于操作系统(OS)的完整性和操作系统依赖于完整的一路在最低水平/构建块CPU的固件。如果硅水平的硬件/软件堆栈的基础并不安全,然后没有信任链一路向上移动支付应用。”

安全的设计
因为增加了复杂的攻击,构建一个安全的系统来抵御这些网络威胁并不容易。但有明确的安全目标和建议从网络安全专家,网络防御是可以实现的。

“安全不是你洒在设计周期的结束,“Maarten布朗说,董事总经理Riscure。“这从一开始就需要烤。你需要证书去市场,这是几个月的发展的结果。你还需要一个好的方法,了解黑客的方法,这是试图找到最简单的方法。可能通过故障注入转储的固件,或反向工程固件寻找漏洞,允许一个利用。”

实际上,安全需要集成到整个芯片设计流程。“第一步是定义安全目标,”乔治说,产品营销主管Tensilica Xtensa处理器IP节奏。”是安全的从一个经过验证的启动图像足够做什么?还是要求更严格的?一旦这些定义,就可以定义安全体系结构和必要的构建块。在最基本的层面上,一些支持进行身份验证(例如,哈希函数)和加密功能几乎总是必需的。soc需要满足更严格的要求也可能单独的安全/不安全分区,甚至一个专用安全飞地管理访问可信资源。”

图3:一个安全架构与多个锁来确定访问特权。来源:西门子EDA。

在硬件的基础。“能够监控逻辑电平交易与一个独立的体系结构是构建安全的DNA产品,“西门子哈里森说。“这提供了一个坚实的基础的安全构建的解决方案上。一旦基础,下一步是基于硬件的安全访问,与现代root-of-trust解决方案,它可以提供芯片提取数据进行分析。有更细粒度的方法来访问,给不同级别的访问不同党派,增加安全性。为本地设备分配一个更开放,而更受限制的访问是对在这个领域设备,由第三方访问。今天这是实现和使用。”

其他人指出类似的方法。“构建一个安全的系统的时候,你应该开始从芯片级、安全产品需要安全的基础,”马克说骑士,建筑产品管理主管手臂。“评估安全框架PSA认证等提供指导,众包的专业技能,和行业最佳实践。任何系统安全作为其薄弱的组件。在大多数情况下,最好首先认证平台尽可能广泛的范围,理想情况下覆盖芯片,硬件和系统软件。也很重要,以确保开发的产品是在一个安全开发生命周期(SDL),包括威胁建模。这将有助于识别威胁,使工程师能够确定与一个可接受的适当的缓解措施对成本的影响。”

骑士发现许多领域实现一个安全的系统,包括:

• 独特的种每设备密钥与真正的熵,所以可以唯一标识设备。
• 一个安全的产品生命周期,包括组装和测试,操作,和退役。
• 远程认证,允许不同党派验证设备配置和完整性。
• 安全的引导与不可变的根的信任,所以设备只会运行授权软件。
• 一个安全更新机制,防止回滚,所以安全问题可以永久固定。
• 支持强大的隔离工作负载,它提供了强有力的执法内部安全边界和有助于防止特权升级攻击。
• 安全的信任,保护重要的安全参数与安全存储,并停止设备被克隆,防止数据被偷了。
• 使用强大的批准所有安全功能的加密算法。
• 使用处理器、操作系统和编译器支持执行防御技术,如可执行空间保护、指针认证,并猜测障碍失败边信道攻击。

“现代网络安全防御分为两类——架构方法和安全工具,”史蒂夫·汉娜说,杰出的工程师英飞凌科技。“架构方法解决风险管理,深度防御,和零信任,而工具解决强认证,获得引导,获得更新,和孤立。”

汉娜指着几个架构方法。一个包括风险管理,包括分析可能的风险,然后决定如何解决这些问题。这里的关键是先关注最大的风险概率和最高的——那些和/或高的影响。从那里,下一步是找出如何减轻这些,然后向下移动列表。在所有情况下,这应该包括多层次的防御,如果攻击者穿过一层,它们可以停在另一个地方。最后,零信任是必需的。它不能被认为是安全的,因为黑客可以妥协的设备和网络,而不被对方发现。与强认证用户和设备必须经过身份验证的,而且他们必须被监控妥协的迹象。

需要多因素身份验证的用户,而设备需要与非对称密钥密码认证。安全的引导,与此同时,验证每个软件的启动顺序是好的。如果出现任何问题,软件需要重新安装或恢复到一个干净的副本。和安全更新需要验证,以确保他们不包含恶意软件。

隔离限制妥协的范围。如果攻击者妥协一个组件,隔离将阻止他们进入另一个组件。例如,固件和密钥应该从应用软件,这样感染隔离应用程序代码不会损害固件或揭示了钥匙。隔离可以实现一个安全的元素,与单独的核心,或内存保护。

测量安全
最终,每一个构件、组件和连接应该是安全实现端到端的安全。但你如何衡量,如果您的系统是安全的吗?

通过传统的“测量安全不发生物理单位,如瓦或平方英尺,”朗林说,主要产品专家有限元分析软件。“传统的方法是通过/失败结果或可行性研究,根据一些安全合规测试,这只是一个粗略的措施。进入未来硅安全签字流程,安全应该采取一种“得分”度量方法,用于威胁分析。例如,“漏得分”边信道泄漏漏洞可以用来评估安全对策的有效性。”

安全指标有吸引力但很难实现,因为安全是一个移动的目标和能力的黑客和安全特性的有效性不断在变化。

“每个人都想一些方法来表明100%安全,”米切尔Mlinar说,负责工程的副总裁龟岛的逻辑。“但我们的环境的复杂性很难保证完全安全。相反,在每一层,必须考虑到可能的弱点,比如那些定义常见的弱点枚举(硬件和软件),可以利用。就可以判断这些弱点。面临的挑战是,虽然有人可能会认为他们是100%安全的那一刻,人们发现新的连续波。最好的我们能做的就是解决所有已知的弱点,以及其他潜在的弱点不是CWE的一部分。有一件事情已经很清楚,如果存在一个弱点,无论你如何模糊或不太可能认为它发生,它最终会被发现和利用。”

虽然没有直接简单的方法来衡量网络安全,戴尔技术提供一个免费的网络弹性评估工具评估系统的安全水平。通过回答问题的列表,您可以收到报告系统的脆弱性和接触。

时间采取行动
从哪里开始呢?”一位应该首先评估损害公司的声誉和顾客恶意攻击发生在他们的产品或服务,从理解这些潜在威胁决定这种威胁发生的可能性,”Michael Durkan说高级产品设计师在西门子嵌入式系统分部。“使用这两种措施——潜在的损失和发生的风险下确定缓解策略是必要的,以防止产品/服务的这一威胁。如果选择缓解,该公司未来必须确定的成本实现这种缓解策略。在这一点上,它变成了一个决策过程,就像时,决定了保险。我应该付这个减排成本阻止这个特定的威胁?”当然,还有多个威胁,当一个缓解过程到位处理一个特定的威胁,那么缓解过程也可以受到攻击的影响,通常通过一个不同的威胁。过程的发展,成为一个你不断对各种威胁评估。随着它的发展,您将实现各种减排政策直到威胁是充分的执行成本,以降低发生的风险增加。此时该公司可能决定减少威胁风险并不证明进一步减排的成本。 As the Transportation Recall Enhancement, Accountability and Documentation (TREAD) Act passed by Congress in 2000 has demonstrated, mitigation seen as an imposed cost quickly generated cost savings for the industry. For example, the infrastructure surrounding this trusted traceability process has led to better supply chain analysis, improved processes, and fewer product recalls. So when addressing security on products, think of the additional benefits that can be extracted from the implementation of a secured supply chain process.”

结论
不过,尽管安全专家不断发出严厉警告的严重后果没有网络安全政策,很多首席执行官和首席信息官仍缺少一种紧迫感包括安全预算。

“在一天结束的时候,都是关于半导体物理,“Riscure的布朗说。“物理学告诉我们某些东西,比如当一个门开关功率波动,当一个衬底兴奋通过激光或电磁差异,你可以诱导翻转。物理定律可能听起来像一个缺点时安全,但是他们也在同样的意义上占有优势。你知道你面对。你知道你需要保护,这是对每个人都同样的目标职位。是风险较高的芯片制造商和好人比坏人,所以你需要一个结构化的方法。你想要避免在您的系统故障首先,把你的芯片变成一个法拉第笼或把很多电容电压故障,所以不能传播到衬底。我们可以删除一个法拉第笼或短帽从PCB或障碍。我们可以发现任何问题在硬件级别的芯片,并构建冗余软件。因此而不是故障条件分支,您需要故障三个同时抛售的固件。 This is all physics, and you can build countermeasures using it.”