（文章來(lái)源：EEWORLD）

眾所周知，物聯(lián)網(wǎng)（IoT）設(shè)備預(yù)計(jì)將無(wú)處不在。這些由半導(dǎo)體驅(qū)動(dòng)的設(shè)備將推動(dòng)每一個(gè)可想象的過(guò)程實(shí)現(xiàn)智能化。從簡(jiǎn)單的開燈到門診護(hù)理或工廠控制等更復(fù)雜的過(guò)程，通過(guò)傳感、處理和云連接，物聯(lián)網(wǎng)設(shè)備將大幅提高工作效率。應(yīng)用場(chǎng)景多種多樣，它們的發(fā)展前景和影響力也將不可估量。

保護(hù)物聯(lián)網(wǎng)設(shè)備的想法可能令人望而生畏。初步研究很快揭示了有關(guān)密碼學(xué)、威脅、安全目標(biāo)和其他幾個(gè)主題的大量知識(shí)。面對(duì)鋪天蓋地的信息，物聯(lián)網(wǎng)設(shè)備設(shè)計(jì)人員通常會(huì)問(wèn)的第一個(gè)問(wèn)題是：“我如何判斷所需安全性要達(dá)到哪種水平？”，緊接著是“我該從哪里入手？”

Arm提供了平臺(tái)安全架構(gòu)（PSA），幫助設(shè)計(jì)人員快速入門。通過(guò)利用PSA的一整套威脅模型和安全性分析、硬件和固件架構(gòu)規(guī)范以及可信固件M參考實(shí)現(xiàn)，物聯(lián)網(wǎng)設(shè)計(jì)師能夠快速且輕松地實(shí)現(xiàn)安全設(shè)計(jì)。

通過(guò)使用雙Arm Cortex?-M內(nèi)核，結(jié)合可配置的內(nèi)存和外設(shè)保護(hù)單元，賽普拉斯PSoC 6 MCU實(shí)現(xiàn)了PSA定義的最高保護(hù)級(jí)別。本文將PSA網(wǎng)絡(luò)攝像頭威脅模型和安全性分析（TMSA）應(yīng)用于PSoC 6 MCU，演示如何針對(duì)網(wǎng)絡(luò)攝像頭應(yīng)用進(jìn)行安全性評(píng)估。任何攻擊的目標(biāo)都是獲取物聯(lián)網(wǎng)設(shè)備的數(shù)據(jù)并以某種方式加以利用。如圖1所示，分析過(guò)程的第一步是識(shí)別物聯(lián)網(wǎng)設(shè)備處理的數(shù)據(jù)資產(chǎn)及其安全屬性。

接下來(lái)的步驟是識(shí)別針對(duì)這些資產(chǎn)的威脅，定義抵御這些威脅的安全目標(biāo)，并確定需求以滿足安全目標(biāo)。通過(guò)滿足這些要求，基于微控制器的設(shè)計(jì)可為安全目標(biāo)提供支持，并最終保留資產(chǎn)的安全屬性。最后，應(yīng)該對(duì)設(shè)計(jì)進(jìn)行評(píng)估，以判定設(shè)計(jì)是否達(dá)到安全目標(biāo)。通常情況下，這類評(píng)估會(huì)利用應(yīng)用于設(shè)計(jì)的威脅模型來(lái)評(píng)估設(shè)備的攻擊防御能力。

完整性要求數(shù)據(jù)資產(chǎn)在使用或傳輸時(shí)保持不變。完整性通常與建立引用的數(shù)據(jù)（如啟動(dòng)固件）相關(guān)聯(lián)。啟動(dòng)固件確保MCU配置為應(yīng)用可執(zhí)行的已知初始狀態(tài)。對(duì)啟動(dòng)固件進(jìn)行更改可能會(huì)影響該初始狀態(tài)，并存在操作或安全風(fēng)險(xiǎn)。

真實(shí)性要求只有受信任的參與者才能建立數(shù)據(jù)資產(chǎn)的當(dāng)前狀態(tài)。當(dāng)與完整性相結(jié)合時(shí)，真實(shí)性便能夠建立信任，因此它是安全物聯(lián)網(wǎng)設(shè)備的關(guān)鍵基石。在先前的啟動(dòng)固件示例中，數(shù)字簽名可用于在升級(jí)固件時(shí)對(duì)真實(shí)性和完整性進(jìn)行評(píng)估，以確保僅使用可信固件。全面識(shí)別物聯(lián)網(wǎng)設(shè)備中的數(shù)據(jù)資產(chǎn)至關(guān)重要，因?yàn)槊總€(gè)后續(xù)步驟都依賴于此步驟。舉例來(lái)說(shuō)，網(wǎng)絡(luò)攝像頭將具備以下數(shù)據(jù)資產(chǎn)：

威脅旨在破壞數(shù)據(jù)資產(chǎn)的安全屬性并將其用于未經(jīng)授權(quán)的目的。為了識(shí)別威脅，必須對(duì)物聯(lián)網(wǎng)設(shè)備中數(shù)據(jù)的使用進(jìn)行評(píng)估。例如，證書可用于訪問(wèn)物聯(lián)網(wǎng)設(shè)備的網(wǎng)絡(luò)。如果證書的機(jī)密性受到損害，則未經(jīng)授權(quán)的參與者就可以使用它們來(lái)訪問(wèn)網(wǎng)絡(luò)。這種攻擊稱為冒充攻擊。通過(guò)系統(tǒng)地評(píng)估每種數(shù)據(jù)，可以創(chuàng)建潛在威脅列表。

通過(guò)識(shí)別威脅，可以定義安全目標(biāo)。安全目標(biāo)是在應(yīng)用級(jí)別定義的，本質(zhì)上提供了實(shí)現(xiàn)需求。一些安全目標(biāo)可以作為可信應(yīng)用（TA）實(shí)現(xiàn)，它們?cè)诎踩腗CU提供的隔離執(zhí)行環(huán)境中執(zhí)行。隔離執(zhí)行環(huán)境全面保護(hù)TA及其使用/處理的數(shù)據(jù)。物聯(lián)網(wǎng)設(shè)備應(yīng)用本身在不安全的執(zhí)行環(huán)境中運(yùn)行，并通過(guò)使用處理器間通信（IPC）通道的API與隔離執(zhí)行環(huán)境中的TA進(jìn)行通信。TA則利用硬件中的可用資源（如加密加速器和安全內(nèi)存）來(lái)為目標(biāo)提供支持。

訪問(wèn)控制：物聯(lián)網(wǎng)設(shè)備對(duì)試圖訪問(wèn)數(shù)據(jù)資產(chǎn)的所有參與者（人或機(jī)器）進(jìn)行身份驗(yàn)證。防止在未經(jīng)授權(quán)的情況下訪問(wèn)數(shù)據(jù)。防御欺騙和惡意軟件威脅，即攻擊者對(duì)固件進(jìn)行修改或安裝過(guò)時(shí)的缺陷版本。安全存儲(chǔ)：物聯(lián)網(wǎng)設(shè)備維護(hù)數(shù)據(jù)資產(chǎn)的機(jī)密性（根據(jù)需要）和完整性。防御篡改威脅。固件真實(shí)性：物聯(lián)網(wǎng)設(shè)備在啟動(dòng)和升級(jí)之前對(duì)固件的真實(shí)性進(jìn)行驗(yàn)證。防御惡意軟件威脅。

通信：物聯(lián)網(wǎng)設(shè)備對(duì)遠(yuǎn)程服務(wù)器進(jìn)行身份驗(yàn)證，提供機(jī)密性（根據(jù)需要），并維護(hù)交換數(shù)據(jù)的完整性。防御中間人攻擊（MitM）威脅。安全狀態(tài)：即使固件完整性和真實(shí)性驗(yàn)證失敗，仍確保設(shè)備保持安全狀態(tài)。防御惡意軟件和篡改威脅。

在這一方面，分析提供了數(shù)據(jù)資產(chǎn)、威脅和安全目標(biāo)的邏輯連接模型。根據(jù)這張圖，可以編譯出安全MCU所需的功能或特性列表。當(dāng)然，這個(gè)列表也可以用作特定物聯(lián)網(wǎng)設(shè)備應(yīng)用解決方案的實(shí)現(xiàn)標(biāo)準(zhǔn)。請(qǐng)注意，安全目標(biāo)的要求可能會(huì)根據(jù)物聯(lián)網(wǎng)設(shè)備的生命周期階段（設(shè)計(jì)、制造、庫(kù)存、最終使用和終止）而變化，也應(yīng)予以考慮。
? ? ? （責(zé)任編輯：fqj）