物聯(lián)網(wǎng) (IoT) 使安全性成為比以往任何時(shí)候都更加重要的考慮因素，對于將提供網(wǎng)絡(luò)的眼睛、耳朵和手的設(shè)備以及監(jiān)控、響應(yīng)和控制這些設(shè)備的命令和控制功能的設(shè)備的設(shè)計(jì)人員來說設(shè)備。單獨(dú)地，設(shè)備需要準(zhǔn)備好在攻擊可能來自其周圍任何地方的環(huán)境中運(yùn)行。除了成為嵌入式設(shè)備任務(wù)功能的領(lǐng)域?qū)＜彝猓到y(tǒng)設(shè)計(jì)人員現(xiàn)在還必須考慮如何在與可能受損的設(shè)備互連時(shí)提供該功能。

　　知道要防止什么

　　現(xiàn)代嵌入式系統(tǒng)涵蓋了廣泛的架構(gòu)、系統(tǒng)規(guī)模、功能和操作環(huán)境。今天開發(fā)中的大多數(shù)系統(tǒng)共享的一件事是它們使用網(wǎng)絡(luò)技術(shù)在彼此之間或在它們的命令和控制網(wǎng)絡(luò)中進(jìn)行通信。設(shè)計(jì)人員需要退后一步，從對手的角度審視他們的系統(tǒng)。從問一些基本問題開始很有用，例如：

　　我需要防范哪些類型的對手?

　　在一個(gè)相互關(guān)聯(lián)的世界中，潛在的對手可能包括尋找挑戰(zhàn)或吹噓權(quán)利的聰明的年輕“探索者”;競爭對手尋找可以在市場上利用的商業(yè)秘密或弱點(diǎn);或承諾的攻擊者希望破壞或控制系統(tǒng)，因?yàn)槠渥陨淼哪芰蛴米髋R時(shí)平臺以發(fā)動進(jìn)一步的攻擊。所有這些情況的真實(shí)情況是，復(fù)雜的軟件和測試設(shè)備現(xiàn)在比以往任何時(shí)候都更容易獲得，互聯(lián)網(wǎng)使使用它們的信息隨時(shí)可用，甚至有助于創(chuàng)建具有一系列技能的地理分布團(tuán)隊(duì)，以減少時(shí)間它需要發(fā)動一次成功的攻擊。

　　他們有什么級別的訪問權(quán)限?

　　雖然許多威脅都基于網(wǎng)絡(luò)，試圖利用協(xié)議中的弱點(diǎn)或潛在的軟件缺陷，但對系統(tǒng)具有物理訪問權(quán)限的對手有更多機(jī)會來探測弱點(diǎn)。調(diào)試端口、測試點(diǎn)和暴露的內(nèi)存都是物理訪問中最喜歡的入口點(diǎn)。應(yīng)注意保護(hù)常見入口點(diǎn)，例如在引導(dǎo)期間通過以太網(wǎng)或串行端口進(jìn)行未經(jīng)身份驗(yàn)證的控制臺訪問，或基于 USB 的引導(dǎo)后自動固件升級。

　　成功攻擊我的系統(tǒng)會有什么后果?

　　最終成功的攻擊使攻擊者可以完全控制系統(tǒng)，允許他們檢查和修改固件。直接后果可能會暴露知識產(chǎn)權(quán) (IP) 或商業(yè)秘密，或暴露從其他公司獲得許可的知識產(chǎn)權(quán)，或因違反保密規(guī)定而產(chǎn)生民事責(zé)任。間接后果可能包括尷尬或市場聲譽(yù)受損，或?qū)蛻艉秃献骰锇榛A(chǔ)失去信心。

　　成功攻擊對鄰近系統(tǒng)有何影響?

　　如果攻擊者獲得了系統(tǒng)的控制權(quán)，他們還能訪問什么?用于移動設(shè)備的具有 Wi-Fi 連接的汽車信息娛樂系統(tǒng)可以為攻擊車輛控制電子設(shè)備提供完美的啟動平臺。

　　在我的前幾代系統(tǒng)中推動設(shè)計(jì)決策的假設(shè)是否仍然有效?如果不是，會有什么影響?

　　許多嵌入式系統(tǒng)，尤其是傳感器和控制系統(tǒng)中過去在專有網(wǎng)絡(luò)上運(yùn)行的葉節(jié)點(diǎn)，正在或?qū)⒈晦D(zhuǎn)換為廣泛可用的網(wǎng)絡(luò)技術(shù)，如以太網(wǎng)、Wi-Fi 和 TCP/IP。以前孤立的系統(tǒng)現(xiàn)在可以從 Internet 訪問，即使是通過前臺或后臺網(wǎng)絡(luò)間接訪問?，F(xiàn)在，有關(guān) CAN 等專用協(xié)議的知識比以前更容易獲得，因此即使原始技術(shù)仍然適用，它們也可能比以前更容易獲得，因此也更容易受到攻擊。模糊性和混淆對確定的逆向工程幾乎沒有保護(hù)作用。具有嵌入式機(jī)密或服務(wù)密碼的測試設(shè)備可以為攻擊者提供訪問和控制系統(tǒng)的途徑。

　　信任始于家庭

　　確保系統(tǒng)安全的第一步應(yīng)該是建立對其固件完好無損的信任。安全引導(dǎo)系統(tǒng)使用固件上的加密簽名(可追溯到固件提供商)來確定固件的真實(shí)性。雖然主要是固件，但像 Elliptic 的 tBoot 固件這樣的安全引導(dǎo)系統(tǒng)利用了可能嵌入在處理器中或在板級提供的 ARM TrustZone 等硬件功能。通過使用具有信任鏈的公鑰簽名算法可以最大限度地提高靈活性，該信任鏈允許代碼簽名權(quán)限通過撤銷和重新發(fā)布簽名密鑰來替換，如果它受到損害。安全性所依賴的基本特征是信任公鑰的根對于安全引導(dǎo)系統(tǒng)是已知的，并且是不可更改的。

　　雖然系統(tǒng)在啟動后可能處于受信任狀態(tài)，但隨著時(shí)間的推移保持其完好無損是下一個(gè)挑戰(zhàn)。一種方法是定期測試可執(zhí)行代碼的加密哈希，以尋找代碼已被惡意軟件修改的跡象。不允許修改可執(zhí)行代碼或允許程序代碼在程序加載時(shí)隨機(jī)重定位的處理器功能有助于使系統(tǒng)更難受到攻擊。

　　一種正在獲得動力的方法是使用保護(hù)系統(tǒng)，試圖將程序彼此隔離。這個(gè)想法是，即使一個(gè)程序受到威脅，系統(tǒng)的其余部分也可能能夠繼續(xù)運(yùn)行，或啟動對問題的響應(yīng)，例如將其報(bào)告給網(wǎng)絡(luò)中的日志節(jié)點(diǎn)并重新啟動受影響的程序或整個(gè)系統(tǒng)從一個(gè)干凈的備份。Security-Enhanced Linux (SELinux) 使用強(qiáng)制訪問控制作為實(shí)現(xiàn)最小特權(quán)原則的機(jī)制：程序只能訪問完成程序功能所需的那些系統(tǒng)資源。一種類似的方法開始出現(xiàn)，使用虛擬機(jī)和輕量級管理程序?qū)⑷蝿?wù)環(huán)境相互分離。

　　信任你的鄰居

　　如果其目的是使用網(wǎng)絡(luò)在更大的分布式系統(tǒng)中進(jìn)行通信，那么擁有一個(gè)可操作且獨(dú)立運(yùn)行的可信、完整的系統(tǒng)并沒有多大價(jià)值。雖然某些類型的應(yīng)用程序需要保密(例如處理患者數(shù)據(jù)的醫(yī)療設(shè)備)，但大多數(shù)設(shè)備只需要身份驗(yàn)證。實(shí)際上，提供加密身份驗(yàn)證的工作量與提供身份驗(yàn)證和機(jī)密性的工作量相當(dāng)。但是，僅提供身份驗(yàn)證可以使分析系統(tǒng)行為變得更加簡單，甚至可以提供非關(guān)鍵服務(wù)擴(kuò)展，因?yàn)榫W(wǎng)絡(luò)數(shù)據(jù)是可見的，但中間節(jié)點(diǎn)無法在沒有檢測到的情況下更改。

　　一般來說，網(wǎng)絡(luò)本身應(yīng)該被簡單地視為一種通信手段，而不是信任它的理由。在某些情況下，可以離線或通過注冊協(xié)議在網(wǎng)絡(luò)元素之間建立信任。該注冊協(xié)議可能就像“信任制造商 X簽署的所有設(shè)備”一樣簡單的簽名密鑰”，或者可能需要實(shí)際的網(wǎng)絡(luò)注冊協(xié)議來注冊單個(gè)設(shè)備。例如，將向許多端點(diǎn)廣播或多播讀數(shù)的傳感器可以使用公鑰簽名方案對這些結(jié)果進(jìn)行簽名。當(dāng)傳感器添加到網(wǎng)絡(luò)中時(shí)，它的公鑰被添加到其特定類型的受信任設(shè)備的數(shù)據(jù)庫中(當(dāng)然，在驗(yàn)證公鑰本身之后)。然后可以信任使用此密鑰簽名的廣播消息源自該設(shè)備。如果網(wǎng)絡(luò)地址與設(shè)備相關(guān)，則消息上只需要簽名。

　　在其他情況下，端點(diǎn)使用在線協(xié)議在彼此之間建立信任是合適的。主要與 IPsec 一起使用的 Internet 密鑰交換 (IKE) 和傳輸層安全性 (TLS) 握手協(xié)議都能夠在需要相互身份驗(yàn)證的模式下使用(每一方都對對方進(jìn)行身份驗(yàn)證)。雖然這些情況最常用于點(diǎn)對點(diǎn)安全鏈接，但也可以使用在端點(diǎn)之間創(chuàng)建的安全通道來分發(fā)組密鑰，從而允許一組節(jié)點(diǎn)在更大的不可信網(wǎng)絡(luò)中創(chuàng)建相互信任。但是請注意，該組的任何成員的妥協(xié)都會危及該組內(nèi)的所有通信。與往常一樣，建議使用成熟的協(xié)議，如 TLS 和 IKE，而不是創(chuàng)建臨時(shí)協(xié)議。

　　從失敗中恢復(fù)

　　流行且無處不在的系統(tǒng)將不可避免地受到攻擊，其中一種攻擊可能會成功發(fā)現(xiàn)可利用的漏洞。幫助解決此問題的一個(gè)基本工具是能夠撤銷設(shè)備的憑據(jù)，以便受感染的設(shè)備無法在網(wǎng)絡(luò)上進(jìn)行通信。在某些情況下，特定設(shè)計(jì)的所有設(shè)備都可能受到損害，這需要能夠識別這些設(shè)備。在真正嚴(yán)重的違規(guī)行為中，像代碼簽名節(jié)點(diǎn)這樣非常敏感的設(shè)備可能會受到損害。一個(gè)經(jīng)過深思熟慮的設(shè)備憑證設(shè)計(jì)和相應(yīng)的簽名密鑰層次結(jié)構(gòu)有助于從這些問題中恢復(fù)，因?yàn)槿绻赡艿脑?，可能會撤銷受損的元素并發(fā)布新的憑證作為升級的一部分。沒有這個(gè)能力，網(wǎng)絡(luò)可能容易受到 2013 年 4 月關(guān)閉 Playstation 網(wǎng)絡(luò)的各種問題的影響，其中 7700 萬個(gè)帳戶遭到入侵。整個(gè)網(wǎng)絡(luò)關(guān)閉了數(shù)周，同時(shí)準(zhǔn)備和分發(fā)了新的憑證和替換固件。

　　撤銷列表的簽署機(jī)構(gòu)應(yīng)該不同于那些被授權(quán)發(fā)布代碼的機(jī)構(gòu)。并且應(yīng)特別注意防止代碼升級回滾，以使舊的攻擊不能一遍又一遍地發(fā)起。雖然過去的趨勢是在嵌入式系統(tǒng)中對這些元素使用特別設(shè)計(jì)(如果有的話)，但物聯(lián)網(wǎng)和機(jī)器對機(jī)器 (M2M) 應(yīng)用程序的大規(guī)?；ミB性以及使用其中一部分的潛力網(wǎng)絡(luò)干擾他人使得使用由實(shí)施基于標(biāo)準(zhǔn)的協(xié)議的安全專家設(shè)計(jì)的經(jīng)過充分驗(yàn)證的系統(tǒng)成為明智之舉。

　　審核編輯：郭婷