物聯網 (IoT) 使安全性成為比以往任何時候都更加重要的考慮因素，對于將提供網絡的眼睛、耳朵和手的設備以及監控、響應和控制這些設備的命令和控制功能的設備的設計人員來說設備。單獨地，設備需要準備好在攻擊可能來自其周圍任何地方的環境中運行。除了成為嵌入式設備任務功能的領域專家外，系統設計人員現在還必須考慮如何在與可能受損的設備互連時提供該功能。

　　知道要防止什么

　　現代嵌入式系統涵蓋了廣泛的架構、系統規模、功能和操作環境。今天開發中的大多數系統共享的一件事是它們使用網絡技術在彼此之間或在它們的命令和控制網絡中進行通信。設計人員需要退后一步，從對手的角度審視他們的系統。從問一些基本問題開始很有用，例如：

　　我需要防范哪些類型的對手?

　　在一個相互關聯的世界中，潛在的對手可能包括尋找挑戰或吹噓權利的聰明的年輕“探索者”;競爭對手尋找可以在市場上利用的商業秘密或弱點;或承諾的攻擊者希望破壞或控制系統，因為其自身的能力或用作臨時平臺以發動進一步的攻擊。所有這些情況的真實情況是，復雜的軟件和測試設備現在比以往任何時候都更容易獲得，互聯網使使用它們的信息隨時可用，甚至有助于創建具有一系列技能的地理分布團隊，以減少時間它需要發動一次成功的攻擊。

　　他們有什么級別的訪問權限?

　　雖然許多威脅都基于網絡，試圖利用協議中的弱點或潛在的軟件缺陷，但對系統具有物理訪問權限的對手有更多機會來探測弱點。調試端口、測試點和暴露的內存都是物理訪問中最喜歡的入口點。應注意保護常見入口點，例如在引導期間通過以太網或串行端口進行未經身份驗證的控制臺訪問，或基于 USB 的引導后自動固件升級。

　　成功攻擊我的系統會有什么后果?

　　最終成功的攻擊使攻擊者可以完全控制系統，允許他們檢查和修改固件。直接后果可能會暴露知識產權 (IP) 或商業秘密，或暴露從其他公司獲得許可的知識產權，或因違反保密規定而產生民事責任。間接后果可能包括尷尬或市場聲譽受損，或對客戶和合作伙伴基礎失去信心。

　　成功攻擊對鄰近系統有何影響?

　　如果攻擊者獲得了系統的控制權，他們還能訪問什么?用于移動設備的具有 Wi-Fi 連接的汽車信息娛樂系統可以為攻擊車輛控制電子設備提供完美的啟動平臺。

　　在我的前幾代系統中推動設計決策的假設是否仍然有效?如果不是，會有什么影響?

　　許多嵌入式系統，尤其是傳感器和控制系統中過去在專有網絡上運行的葉節點，正在或將被轉換為廣泛可用的網絡技術，如以太網、Wi-Fi 和 TCP/IP。以前孤立的系統現在可以從 Internet 訪問，即使是通過前臺或后臺網絡間接訪問。現在，有關 CAN 等專用協議的知識比以前更容易獲得，因此即使原始技術仍然適用，它們也可能比以前更容易獲得，因此也更容易受到攻擊。模糊性和混淆對確定的逆向工程幾乎沒有保護作用。具有嵌入式機密或服務密碼的測試設備可以為攻擊者提供訪問和控制系統的途徑。

　　信任始于家庭

　　確保系統安全的第一步應該是建立對其固件完好無損的信任。安全引導系統使用固件上的加密簽名(可追溯到固件提供商)來確定固件的真實性。雖然主要是固件，但像 Elliptic 的 tBoot 固件這樣的安全引導系統利用了可能嵌入在處理器中或在板級提供的 ARM TrustZone 等硬件功能。通過使用具有信任鏈的公鑰簽名算法可以最大限度地提高靈活性，該信任鏈允許代碼簽名權限通過撤銷和重新發布簽名密鑰來替換，如果它受到損害。安全性所依賴的基本特征是信任公鑰的根對于安全引導系統是已知的，并且是不可更改的。

　　雖然系統在啟動后可能處于受信任狀態，但隨著時間的推移保持其完好無損是下一個挑戰。一種方法是定期測試可執行代碼的加密哈希，以尋找代碼已被惡意軟件修改的跡象。不允許修改可執行代碼或允許程序代碼在程序加載時隨機重定位的處理器功能有助于使系統更難受到攻擊。

　　一種正在獲得動力的方法是使用保護系統，試圖將程序彼此隔離。這個想法是，即使一個程序受到威脅，系統的其余部分也可能能夠繼續運行，或啟動對問題的響應，例如將其報告給網絡中的日志節點并重新啟動受影響的程序或整個系統從一個干凈的備份。Security-Enhanced Linux (SELinux) 使用強制訪問控制作為實現最小特權原則的機制：程序只能訪問完成程序功能所需的那些系統資源。一種類似的方法開始出現，使用虛擬機和輕量級管理程序將任務環境相互分離。

　　信任你的鄰居

　　如果其目的是使用網絡在更大的分布式系統中進行通信，那么擁有一個可操作且獨立運行的可信、完整的系統并沒有多大價值。雖然某些類型的應用程序需要保密(例如處理患者數據的醫療設備)，但大多數設備只需要身份驗證。實際上，提供加密身份驗證的工作量與提供身份驗證和機密性的工作量相當。但是，僅提供身份驗證可以使分析系統行為變得更加簡單，甚至可以提供非關鍵服務擴展，因為網絡數據是可見的，但中間節點無法在沒有檢測到的情況下更改。

　　一般來說，網絡本身應該被簡單地視為一種通信手段，而不是信任它的理由。在某些情況下，可以離線或通過注冊協議在網絡元素之間建立信任。該注冊協議可能就像“信任制造商 X簽署的所有設備”一樣簡單的簽名密鑰”，或者可能需要實際的網絡注冊協議來注冊單個設備。例如，將向許多端點廣播或多播讀數的傳感器可以使用公鑰簽名方案對這些結果進行簽名。當傳感器添加到網絡中時，它的公鑰被添加到其特定類型的受信任設備的數據庫中(當然，在驗證公鑰本身之后)。然后可以信任使用此密鑰簽名的廣播消息源自該設備。如果網絡地址與設備相關，則消息上只需要簽名。

　　在其他情況下，端點使用在線協議在彼此之間建立信任是合適的。主要與 IPsec 一起使用的 Internet 密鑰交換 (IKE) 和傳輸層安全性 (TLS) 握手協議都能夠在需要相互身份驗證的模式下使用(每一方都對對方進行身份驗證)。雖然這些情況最常用于點對點安全鏈接，但也可以使用在端點之間創建的安全通道來分發組密鑰，從而允許一組節點在更大的不可信網絡中創建相互信任。但是請注意，該組的任何成員的妥協都會危及該組內的所有通信。與往常一樣，建議使用成熟的協議，如 TLS 和 IKE，而不是創建臨時協議。

　　從失敗中恢復

　　流行且無處不在的系統將不可避免地受到攻擊，其中一種攻擊可能會成功發現可利用的漏洞。幫助解決此問題的一個基本工具是能夠撤銷設備的憑據，以便受感染的設備無法在網絡上進行通信。在某些情況下，特定設計的所有設備都可能受到損害，這需要能夠識別這些設備。在真正嚴重的違規行為中，像代碼簽名節點這樣非常敏感的設備可能會受到損害。一個經過深思熟慮的設備憑證設計和相應的簽名密鑰層次結構有助于從這些問題中恢復，因為如果可能的話，可能會撤銷受損的元素并發布新的憑證作為升級的一部分。沒有這個能力，網絡可能容易受到 2013 年 4 月關閉 Playstation 網絡的各種問題的影響，其中 7700 萬個帳戶遭到入侵。整個網絡關閉了數周，同時準備和分發了新的憑證和替換固件。

　　撤銷列表的簽署機構應該不同于那些被授權發布代碼的機構。并且應特別注意防止代碼升級回滾，以使舊的攻擊不能一遍又一遍地發起。雖然過去的趨勢是在嵌入式系統中對這些元素使用特別設計(如果有的話)，但物聯網和機器對機器 (M2M) 應用程序的大規模互連性以及使用其中一部分的潛力網絡干擾他人使得使用由實施基于標準的協議的安全專家設計的經過充分驗證的系統成為明智之舉。

　　審核編輯：郭婷