下一个大威胁

在过去的一年中,数以千万计的目标存储客户的客户和信用卡记录被盗,《纽约时报》和《华尔街日报》被砍,Adobe软件安全漏洞,Yahoo !是感染了恶意软件,Snapchat被击中的缺陷暴露用户电话号码。这正是在主流媒体报道。威胁,事实证明,是更大的,更持久,更昂贵。

波耐蒙研究所进行了研究2013年60组织和总结网络犯罪的平均成本每年60组织每年是1160万美元,从890万年的2012美元增长了30%。公司调查显示,英国平均每周两次成功的袭击。McAfee安全软件销售,调查大量的报告,把价格高达每年4000亿美元。

这些数字有争议的研究。一个报告来自微软研究怀疑数据显示是多么昂贵的问题。底线是,多数专家认为有一个严重的威胁,但没有简单的方法来计算实际成本。即使有协议,这只是什么报道。最成功的网络犯罪和网络间谍没有发现发生后几个月或几年。

半导体工程进行自己的研究在过去的三个月里涉及25大学专家进行深度访谈,研究房屋、保安公司、芯片制造商和工具供应商。我们也在数十名技术论文和行业报告。目的是为了评估风险从技术的角度来看,了解和增长的威胁。我们还看了现有和未来的方法的有效性,改进的和潜在的机会。虽然有很多安全方面,我们面临这些威胁的原因首先可以归结为三个基本方面:

• 能力
• 连接
• 复杂性

能力是小偷的技术能力破解复杂,安全系统,它已成为过去十年的一个莫大讽刺。在大学计算机科学系在全球范围内一个巨大的调教课程,处理解决棘手的硬件和软件问题,如多处理,并行编程,最近,能源效率的提高软件运行在硬件增加电池寿命。几乎在锁步骤,开始作为一个完全基于软件的威胁已经越过物理边界。众所周知,黑客从任性的恶作剧厂商发展得到他们的刺激从闯入学校或政府电脑software-savvy有组织犯罪团伙。不那么明显的是这些犯罪团伙现在扩大到包括半导体工程师的详细知识。与此同时增长专业知识系统地解剖芯片的电气工程学科是研磨机的帮助下,探测器,甚至扫描电子显微镜发现最弱的入口点。

“我们发现新的恶意软件,我们从未见过,“蒂芙尼斯特拉赫Rad说,高级安全研究员和全球研究和分析团队的一员卡巴斯基实验室——公司发现了Stuxnet病毒,这是用来攻击伊朗核离心机。“我们见过这种金融恶意软件。但我们也看到它与可编程逻辑控制器在工业控制系统中。”

这一趋势证实了由美国国土安全部门。在一个报告去年春天发行机构的工业控制系统网络应急响应小组调查,去年有超过200起涉及关键基础设施部门。


资料来源:美国国土安全部门

也变得明显的是,软件不一定是最简单的入口点了,特别是对于窃贼也理解硬件。Rad的独立研究与家庭安全系统测试这个理论。而不是花时间来获得通过安全的网络,这在历史上一直是主要目标和相对辩护,卡巴斯基团队获得直接和方便的访问通过固件照明灯运动探测器。这曾经是间谍机构的工作,但越来越多的普通罪犯执行这些漏洞。

“有实验室的人在他们的厨房和车库移除覆盖芯片,删除一个港口和退出固件,”拉德说。“这不仅仅是国家做这个东西了。我们基本的咖啡壶和能够打开和关闭它使用笔记本即使它不是设计成一个网络的一部分。我们做了这个只有100美元。”

总是,总是连接
增加的威胁是,越来越多的设备总是,总是连接。一辆车停在一个封闭的车库可能在半夜下载软件。智能电表与公用事业。和胰岛素泵补丁可以接收无线信号来决定分配多少胰岛素基于实时监控。

在一个广泛引用面试在哥伦比亚广播公司“60分钟,前副总统迪克·切尼表示他的无线功能起搏器和除颤器禁用,因为他担心恐怖分子可能会杀了他。问题不是这些设备连接到什么。这是还有什么他们是连接吗?一直在路上,总是连接移动设备是一个伟大的一步。即使在过去的几年中,手机覆盖率提高,有更少的电话掉线,和LTE允许自由跨异构网络的数据流。但能够保持联系也意味着一切可以保持联系,,包括好的和坏的原因,使用各种手段。

安全一直都是集中在限制进入重要数据的数量。这个不同于使用单一门安全的建筑物,或一个网络访问安全的网络。异构连接,尤其是异构无线连接,就像添加更多的门,打开所有的窗户在建筑。

“这绝对是真的,事情变得网络化暴露水平上升,”Chris再生草说的节奏。”和无线连接是最难获得,因为没有物理极限。”

物联网提出了窃听系统到一个新的水平的可能性,这问题被放大了经济模型的电子consumer-friendly-the成本。能够大规模生产设备,从许多大规模生产和组装组件,摩尔定律背后的推动力量,越来越多的电子产品,从汽车到医疗设备,和购买力的增加保持联系。但是通用组件携带隐藏的成本,。

“如果每个对象运行不同的操作系统和不同的安全你不会有问题,因为没有一个设备单独值得黑客行为,“再生草说。“这就是为什么电脑被黑客入侵更经常比苹果mac电脑。电脑有一个单一。mac历史更罕见,所以大多数团体从来没有烦恼。”

安全还取决于隐藏重要数据,通常在一个芯片所限制的权限。“谁会认为攻击复印机吗?“主任问大卫的安全工程在英特尔。“但它发生。随着事情越来越多的连接,有更多的入境点。”

像许多其他人一样在这个领域勇敢的说,他经常惊讶于网络罪犯的创造力,但它也越来越难。“如果你有数十亿的设备生成的数据,这是一个惊人的数据。”

另一边的复杂性
导致下一个issue-complexity。或许最大的挑战是在SoC的形式,包括成百上千的IP块和盖茨数十亿。就能够得到一个芯片的这种复杂性函数是十分困难的。必须跟踪所有可能的信号路径的硬件、固件和嵌入式软件是一个几乎不可能完成的任务。

“更大的图景是,集成多种部件和你永远不知道你得到什么,”伯纳德·墨菲说,首席技术官Atrenta。“木马电路仍然是asic看作是一个理论的问题,因为在这一点上没有确凿的证据。但是今天我们甚至能找到吗?也许吧。”

甚至所有的IP是合法的供应商或者内部开发,保持了坏人是更加困难的更复杂的设计。

海登·波维说:“没有什么是防弹的,营销主管安全的手臂。“我们谈论Stuxnet病毒,没有一个问题与政府做他们需要做些什么来保护自己的国家利益。更恐怖的是,超级工厂病毒被发现和解剖,很多信息已经发布在互联网上。所以你可以带负载,换成别的,病毒载体仍然存在。与互联网的事情我们需要更好的安全。我们需要键和键派生,这样每个设备是独一无二的。至少可以减少伤害。这个问题来自当一刀切。服务器安全是这个链中最薄弱的环节。很多有强壮的周边安全的服务器,但当有人在系统发生了什么?”

杰西·艾伦,员工研究员,对此报道亦有贡献。