智能硬件如何保证其安全性?信任根(RoT)是关键-阿里云开发者社区

开发者社区> 仰望0.7度> 正文

智能硬件如何保证其安全性?信任根(RoT)是关键

简介: 首席信息官、首席信息安全官和 IT 决策者需要意识到他们的系统非常脆弱,尤其是在固件级别。需要的是硬件信任根,它可用于验证和授权任何堆栈级别的任何更改,同时保持足够的灵活性以适应新的漏洞并启用安全应用程序。固件攻击只会随着黑客变得更加雄心勃勃而增加,我们应对此有所作为。
+关注继续查看

黑客在试图避免检测方面变得越来越聪明、越来越老练。一旦进入固件,黑客就可以禁用远程固件更新,从而无法远程修复固件,因此需要能够物理访问硬件/固件的技术人员的服务,通常需要完全关闭和现场访问大规模部署。这个过程意味着修复固件或硬件中的零日攻击可能非常耗时。这些因素导致规模较小、资源较少的私人团体面临的固件攻击频率上升。

1-2.jpg

美国国家标准与技术研究院 (NIST) 的国家漏洞数据库 (NVD)显示,自 2018 年以来,对固件的攻击增加了 500%,而来自微软新报告的调查数据显示,83% 的企业 IT 决策者其系统在过去两年中都遭受了固件攻击,但只有 29% 的平均安全预算专门用于保护固件级别。这是不可持续的。Gartner 的一份报告预测,到 2022 年,70% 没有制定固件升级计划的组织将因固件漏洞而遭到破坏。

为了保护固件免受雄心勃勃的攻击者的攻击,需要信任根 (RoT) 作为一个实体,以检查堆栈的每一层,从硬件启动到固件加载、操作系统运行时,直到运行的应用程序。计算组件以这种方式值得信赖的唯一方法是不可变的。因此,硬件安全解决方案是必要的,通常涉及存储与设备所有者直接关联的加密密钥,设备所有者在机器的硅中而不是在隔离实施的软件中提供密钥。

1-1.png

新的解决方案更进一步,将 RoT 完全卸载到单独的安全处理单元 (SPU) 芯片,以实现对所有主板组件以及连接到系统的任何外围设备的远程认证。

开放计算项目提倡在其 RoT 规范的开放标准版本 1.0中使用硬件 RoT 。这个正式的规范很重要,因为除了防止固件持久性攻击外,它还帮助固件开发人员了解如何开发更安全、漏洞更少的固件(尽管这些知识可能难以实施)。标准化也有助于供应商创建可互操作的解决方案。

1-3.png

在系统硬件或隔离安全处理器上建立 RoT 的问题在于,按照设计,它们很难访问或影响。这使它们更安全地抵御不良行为者,但在发现新漏洞或需要新功能时它们不那么灵活。

这就是现场可编程门阵列 (FPGA) 可以发挥作用的地方。FPGA 是一种与处理器分离的半导体器件,可在制造后进行配置,它允许程序员调整其更大系统的组件的结构方式,而无需在其他情况下产生相当大的财务或时间负担。

总而言之,首席信息官、首席信息安全官和 IT 决策者需要意识到他们的系统非常脆弱,尤其是在固件级别。需要的是硬件信任根,它可用于验证和授权任何堆栈级别的任何更改,同时保持足够的灵活性以适应新的漏洞并启用安全应用程序。固件攻击只会随着黑客变得更加雄心勃勃而增加,我们应对此有所作为。

原文翻译自helpnetsecurity
原文链接:https://www.helpnetsecurity.com/2021/10/11/hardware-rot/

版权声明:本文内容由阿里云实名注册用户自发贡献,版权归原作者所有,阿里云开发者社区不拥有其著作权,亦不承担相应法律责任。具体规则请查看《阿里云开发者社区用户服务协议》和《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容,填写侵权投诉表单进行举报,一经查实,本社区将立刻删除涉嫌侵权内容。

相关文章
WebService对象调用spring注解
WebService对象调用spring注解
4 0
Guava - 拯救垃圾代码,写出优雅高效,效率提升N倍
Guava - 拯救垃圾代码,写出优雅高效,效率提升N倍
3 0
大厂都在用的MySQL主从复制、读写分离及高可用方案(上)
大厂都在用的MySQL主从复制、读写分离及高可用方案(上)
4 0
高可用的微服务架构设计-资源隔离、限流、熔断、降级、监控
高可用的微服务架构设计-资源隔离、限流、熔断、降级、监控
6 0
Java操作DBF文件数据库
Java操作DBF文件数据库
4 0
奉劝那些想把编程学好的学弟学妹们!呕心沥血,袒露心声,掏心掏肺
奉劝那些想把编程学好的学弟学妹们!呕心沥血,袒露心声,掏心掏肺
3 0
mysql操作过程中的一些注意点
mysql操作过程中的一些注意点
3 0
「硅仙人」离开英特尔:芯片总设计师吉姆·凯勒突然辞职,曾带领AMD、苹果逆袭
正欲在 2020 年全面推进 10 纳米制程的英特尔,忽然迎来了芯片总设计师辞职的消息。
3 0
V4.0 《JavaGuide 面试突击版》来啦!GitHub 上标星 98.1k,帮你成功上岸!
V4.0 《JavaGuide 面试突击版》来啦!GitHub 上标星 98.1k,帮你成功上岸!
3 0
Java生成指定范围和跳过指定数字的代码
Java生成指定范围和跳过指定数字的代码
3 0
+关注
1
文章
1
问答
文章排行榜
最热
最新
相关电子书
更多
文娱运维技术
立即下载
《SaaS模式云原生数据仓库应用场景实践》
立即下载
《看见新力量:二》电子书
立即下载