漠视安全在自己的危险

半导体工程坐下来讨论行业对安全的态度和戴夫•Kelf首席营销官Breker验证;雅各布Wiltgen,解决方案架构师的功能安全导师,西门子业务;大卫Landoll,解决方案架构师OneSpin解决方案;副总裁丹尼斯Ciplickas描述解决方案PDF的解决方案;负责工程的副总裁安德鲁·道龟岛的逻辑;首席执行官和迈克Bartley影视剧策划。以下是摘录的谈话。

SE:越来越多的人谈论安全这些天,可能是驱动汽车。这是作为一个觉醒。是多少行业积极寻求提高在这些领域而不是做些口头上吗?

Landoll:行业工作。我一直参与航空电子设备做自2005年- 254年。那时北美做- 254用户组就开始了。我看到很多数量级的东西进入航空电子设备越来越复杂和思考比我们正在讨论汽车。ISO 26262主要是像剃刀在减排方面的故障。如果正确设计和验证设备,你得到它到田野,现在在车上的东西失败。它使假设你有一个好的设计和验证过程。如果你看一下标准,它非常类似做- 254,你应该有一个坚实的需求驱动与版本控制和质量保证验证过程。但在现实中,谁是看母鸡房子吗?在航空电子设备有FAA认证官员,但在汽车非常宽松。当他们看,他们不知道他们应该寻找什么,所以他们真正关注故障分析和容错。航空电子设备实际上并不这样做。他们专注于适合率和信封的计算来确定他们需要12一个特定的系统。你不能这么做因为成本在一辆汽车。他们以不同的方式解决这个问题。汽车在成熟之前很长一段路要走了我们在其他领域。

Kelf:航空电子设备有大量的冗余,你不能做在车里,但汽车的另一个问题是,市场发展得非常快,他们正在努力补习很多新事物。航空人需要数年时间通过必要的文书工作。

Landoll:那是真的。

Kelf这是他们在挣扎什么。之间有一个二分法,他们,我们需要快速操作,我们需要新功能,但我们必须达到这些标准。的需求流——系统流ISO 26262 -后座容错随机流,但实际上它可能更重要。我们看了V模型和覆盖回流的自动化要求。你有个人需求流覆盖,你怎么能这样做和生产工具,自动化流程和确保他们了吗?

Wiltgen:随机故障得到所有的关注,但生命周期management-basically ISO 26262 - 8章也很重要。有堆积如山的工作。如果你跟谁做了做- 254项目,合并的数据量和文书工作满足DER审计是巨大的。不过有两个野兽。d0 - 254有政府监督。ISO 26262是更多关于自我评估。所以它更多的长期- 254吗?还是保持自我评估?它是关于客户的信心,他们感觉好如果发生在法庭上。也许他们会合并。


Kelf:这是一种可能性。监管机构是谁?

Wiltgen:标准讨论行描述整个部门,但是…

Kelf:但有人去执行它。业内人士说我们规范自己,然后笑了。他们试图弄出来,一起做正确的事,正确的长城V模型的不同部分,此时我们证明报道。我们只能尽力。

Bartley:他们是ISO 26262合规。

Landoll:谁说他们做得好吗?

Bartley你不需要认证是一个评估员?

Landoll:我不这么认为,但我不确定。

道:在许多应用程序中,人们说话的说话,但有两个需要加入谈话。首先是安全,还有就是安全。安全和安全今天人们很不同的人,和他们必须加入因为这些系统是高度相互关联。如果你有一个安全问题,那么你有一个功能的安全问题。一个不安全的系统可以被更改或改变。系统可以控制。有两个对话发生,他们相距很远。

Landoll:在航空电子设备几年前的一次会议上,他们让一个显式的点(美国联邦航空局人跑步做- 254)- 254,或者说没有一个标准,真的与安全。他们说,我们正在试图做的是确保设备是安全的,我们不考虑邪恶的行为。邪恶级别需要解决系统和隔离系统的分离。在飞机上,一切都在完全隔离系统和运营不会有可能的方式,你可以攻击,进入驾驶舱。路径不存在。

道:有一辆吉普车黑客,他们把一些控制。

Bartley:那是CAN总线上的缺乏安全。

Landoll:将关键的区别。在航空电子设备,我们的经验有一个巨大的飞机,你可以物理上独立的足够远,这不是可行的黑客的一些机制像一辆吉普车。但在一辆车,一切都相连的风险将是巨大的。

道:这也是设计循环的一部分。即使在汽车你回去15年,功能安全的设计周期长,严谨。现在我们有汽车推出快速变化。特斯拉是一个很好的例子,一个粉碎机行业,我并不是说他们不做测试,但很明显,他们在诸如字段是一致的升级来解决问题。我们已经看到他们推出更新二见钟情。这有点令人担忧,因为这是动态地改变我们如何设计和验证的东西是真正对安全性要求苛刻的应用程序。

Kelf:另一个问题,安全,我们缩小了ISO 26262故障注入。我们知道路径和这一过程。木马与安全,你有保护键,检查电力rails,看看是否能找到一个签名。有一个巨大的范围的事情你必须验证和测试。

SE:大概是,你必须考虑整个生产链。

Landoll:这意味着你必须自己不会过时。如果你看看边带攻击,直到几年前甚至没有可用的。所以你可以回头看看旧的电子产品,现在你就能破解。那么如何防止我们今天生产技术,将创建三年后?

Kelf你的无数事情怎么样?你不能只是说安全。你必须定义哪些方面测试。你怎么做不同类型的攻击?

Landoll:许多人看着软件安全。我们正在考虑如何锁定硬件。如果你能锁的硬件,它是不能做邪恶的事情,不管它是什么,然后让整个系统更加安全。如果你有漏洞,通过错误,可以利用,故意或漏洞补充道,和可以识别那些和锁,那么整个系统改善。

Kelf你真的能做到吗?我们工作和SiFive看可信执行区域的概念。你如何验证?信任的区域和你试着找出如果人们能闯进来。如果他们创建一个虚拟机监控程序,他们能进入软件,虚拟平台上吗?最初我们说,‘是的,我们可以做到这一点。我们可以看到不同的方式获得。'当你开始研究不同的方法,你可以攻击一个处理器使用一组外围设备,有大量的东西你可以在你开始之前看扫等领域。这是一个非常复杂和棘手的问题。

道:你可以通过设计审查。在某些情况下,这是艺术发展的现状。你必须开始应用这项技术应用于功能验证和故障保证。已经发展了许多年,它已经成熟了,变得非常有效。你必须开始应用这些安全解决方案并最终安全与安全相结合。

Bartley:与安全,你在处理未知的未知。这是我们还不知道的事情,在未来会攻击我们。这就是为什么人们补丁。然后你修补汽车的关注,你需要这样做,但这是一个安全风险。当你层最重要的是安全问题…很多公司有把它们弄出来的安全条款,但在安全方面,与一辆车,你不能有一个例外条款保证说,“如果有一个攻击或问题,我们不知道,那么我们不受起诉。”

道:它是修补是至关重要的。过去的状态机只在硬件和我可以测试,从州,如果我进入一个非法状态可以恢复。然后我有一个安全的状态机,我有一个安全控制器。今天,这是软件。你不能测试的硬件了。你必须测试系统和所有的后续补丁系统可能发生的。很多更复杂的比你之前,以确保安全。

Ciplickas:考虑整个生产链是很重要的。虽然大多数人是深入的设计系统,并确保需求是正确理解,你所做的一切,你真的知道你制造的芯片是什么你认为被制造?有什么可以做,甚至非常微妙的东西,比如生产过程参数变化很小,邪恶或否则,那又会如何改变,把你带的东西你从未预想到的吗?你需要找到一些方法来跟踪整个生产家谱除了问如果设计是正确的。

SE:这是一个论点RISC-V之类的吗?ISA的你可以控制,实现,和有机会跟踪,一直到生产和确保整个供应链是安全的。

Kelf:这是RISC-V的价值主张之一。在国防方面,这正是他们所追求的。同样,如果我们看看ASIC和FPGA, FPGA可以进入问题的比特流可以在最后一刻调整和木马可以。没有大量的fpga在汽车,但是对于航空电子设备和防御。

Ciplickas:这是硬件和软件的十字架。

Bartley:为什么你会相信RISC-V多臂吗?

SE:因为你可以看到它。你控制源,控制验证已经完成,你控制流。

Kelf:也有关于信任和所有权的问题。防御圈问这些问题。

Landoll你提到的fpga。在汽车的一个重要的事情是,我们听到更多的供应商正在朝着fpga,或至少考虑它。即使他们有更高的成本和其他问题,这意味着他们可以做现场升级的部分。

Wiltgen:有很多人工智能应用程序,当你开始把在fpga可以动态更新算法。我们看到了很多兴趣。

Landoll:问题是什么样的风险敞口提高呢?我们有很好的相等检查fpga可以做到这一点,但实际上你比较反对的是什么部分。仍有差距。在航空电子设备有一个巨大的担心你去所有这些麻烦来验证这部分,然后你要制造地板和加载FPGA的错误的牧师。

Wiltgen:故障注入需要当你谈论了一个有趣的转折fpga和你你的过错的范围注射运动的样子。它仍然是处于起步阶段,所以我们方法,作为一个行业。

Landoll:一个错误的方面是,它依赖于人类坐在烟雾弥漫的房间,思考,“如果有人打开信号灯同时这是发生了什么?这是一个让人担忧的情况。这组担心案件成为分析的输入电子表格,然后你看那些缺点。

Kelf:确实。提高测试向量的抽象,而不是思考的基于块的方法,或者用例…

Bartley:危险。

Kelf:思考和创造的测试向量,然后思考另一个。这些系统非常复杂,几乎是不可能拿出所有的人。但如果我们可以创建一个规范的设计,然后有一个系统,规范并生成用例,然后你可以得到成千上万的用例,你可以在模拟器上运行。那你有机会找到东西的奇怪组合。

Bartley:规范之前,是危害分析。试图找到可能出错的事情,不是写的规范。然后他们称为安全情况下,处理这些和安全功能。我不认为便携式刺激(PSS)将帮助,因为你还需要这一步规范之前说什么可以出错,我们需要安全功能。

Landoll:这就是为什么他们是危险。