|
若沒有應用環境，安全就沒有意義。嵌入式系統設計師經常誤解安全，認為諸如特定的加密算法和安全協議等安全措施只是系統的附加特性。安全是一個過程，而不是永遠保持不變的一款產品或一種終極狀態。而且，也不能在產品將永遠保持安全的假設下，把安全措施簡單地加入到一款產品中。設計師應該在設計過程開始的時候，就把安全和其他參數如成本、性能和功耗等一并進行考慮。 在設計的初始階段，利用安全設計檢測威脅 在設計安全解決方案的時候，首先必須做的就是定義一個威脅模型，然后再創建安全策略。一旦評估完成，就能安心地選擇具體的技術來實現安全對策。威脅決定應對策略，策略決定設計。 許多設計師都會犯同一個錯誤，在設計安全系統時沒有首先明確和了解可能遇到的真正威脅、以及這些威脅會為他們的終端產品帶來的重大風險。相反，他們教條地把分類的安全技術堆在一起，并希望能獲得很高的安全性。這樣做代價高昂，沒有系統能防御所有的安全威脅，在設計中囊括那些沒有必要的技術和防御沒有實際威脅的風險毫無意義。 即使威脅建模有價值，它本身也存在風險 對于資源受限的設備，嵌入式系統必須在存儲容量、功耗、處理能力、上市時間及成本等參數和安全需求之間獲取一種平衡。盡管存在資源不足的挑戰，通過仔細考慮威脅模型并設計系統使其工作在能滿足該模型的可用計算能力限制之內，仍有可能開發出使產品在開放環境中有效工作的系統。 對系統設計師來說，考慮“威脅建模”的原理非常有用。威脅建模是基于一種假設，即每個系統都有值得保護的固有價值。然而，因為這些系統是有價值的，他們對內部或外部威脅也是開放的，這些威脅能夠且經常給終端產品帶來損害。設計完成后的安全漏洞常常是無法修正的，且危及投入的資金和開發資源，因此需要在設計周期的初始階段增強對安全評估的需求，并在整個設計周期中進行監測和重復修正。 本質上，我們可以把威脅模型定義為識別一組可能的攻擊，以便考慮配合一套徹底的風險評估策略。有了威脅模型，您就能估計攻擊的概率、潛在危害和優先級。 威脅建模很難，但是很有必要，威脅建模需要考慮系統是怎樣被攻擊的。建模完成后，它解決了潛在的系統安全故障隱患，解決了諸如它是如何產生、以及在出現安全故障時發生了什么等問題。通常在市場和成本的壓力下，這個評估以一種特別的方式來進行，即通過集思廣益征集系統有可能受到的所有攻擊(當然，潛在的黑客或許比您更超前一步)。對這個過程來說，一個更加系統化及可重復的方法是使用攻擊樹，這個概念首先是由Bruce Schneier [1,2]提出來的。攻擊樹提供一種將攻擊系統的不同方式進行系統性分類的方法。大致來說，就是您以一種樹的結構描述了系統所受的攻擊，在樹結構中節點代表著攻擊時間。樹的根節點是攻擊者的總目標，達到該目標的不同路徑則是葉節點。 當正確完成威脅建模時，真正的威脅就被確定下來了。然而，如果弄錯了可能存在的威脅的話，其代價將是高昂的。設計師弄錯威脅的一個案例是DVD的保護。盡管DVD碟片被加密，密鑰也被放在播放機里，只要播放機里包含抗篡改硬件，這種保護方式是沒有問題的。但當引入軟件播放器時，密鑰就被曝露出來，通過反向工程就能恢復密鑰，也使任何人都能自由復制和散布任何DVD內容。在這種情況下，它是有缺陷的威脅模型。雖然有安全措施，但是這無法真正解決問題。 僅僅列出一堆威脅是不夠的，由于不同威脅的風險不同，您還需要知道每種威脅的風險。威脅建模的下一個步驟是風險評估，這是在任何安全系統設計中的一個至關重要的部分。 風險評估 在風險評估中，不可避免地要討論一些基礎問題，即What、Why以及Who? What—您在保護什么?在設計最初階段，就需要在您的系統中確定需要保護的關鍵對象。這些對象可能包括密鑰、特殊算法、器件標識符、數字媒體、生物特征識別或產品固件。 Why—您為什么要保護這個設計?您是否需要作為與商業伙伴協議的一部分而保護IP，該商業伙伴只在您承諾在自己設計的產品中能保護其安全才會向您提供IP?您是否需要在一個醫療設備或商業銷售點系統中保證機密的用戶信息是安全的?您所設計的產品是否將是黑客攻擊目標的熱門產品?所有這些問題都將決定對有效的安全防范技術的選擇。 Who—是誰真正地想要您的IP?當然，攻擊者名單是列不盡的。不管他是享受攻擊挑戰的經驗豐富的技術專家，還是意圖獲取您的IP的大型組織、政府或競爭對手，關鍵都是要識別攻擊者的動機、資源和專有技術，這樣您才能設計適當的防御措施。 安全策略 一旦您已經識別出了您的威脅，并且權衡了風險，接下來就該建立安全策略了。安全策略是解決方案背后的戰略，而技術僅僅是戰術手段。安全策略描述“為什么”，而不是“如何做”。 例如，一個基于FPGA設計的安全策略目標之一也許是“保持配置碼流的機密性”，這是系統的目標之一。“如何做”或對策的實施可能會是采用諸如AES等對稱密鑰加密的方式，對配置碼流進行加密以便實現這個目標。 下面總結了如何將這個工作放入到整體的設計流程中。 了解系統的真正威脅、并且評估這些威脅的風險，評估哪些威脅是最危險的并最可能發生。將系統性防御這些威脅所需的安全策略進行描述并歸檔。這將是一系列的聲明，例如：“只有可信任的代碼才允許進入到受限制的內存”，或“密碼密鑰必須保密”。 設計并實施能加強系統安全策略的防范措施。理論上，這些防范措施是保護、檢測和回應的混合機制。 防范措施 在系統確定了潛在的攻擊，且已定義好安全目標后，就可以考慮實施防范技術來減輕風險。一套有效的安全防范措施包括3個不同的部分，并且它們依次發揮作用：保護、檢測、回應。 為了解釋保護、檢測和回應之間的關系，我們來看一個經典的汽車盜竊案例。偷車賊如果想要偷竊您的新車，他必須首先破環車門鎖。如果竊賊想要開走汽車而不僅是搶劫車內財物，他可能遇到許多安全措施，包括由于沒有使用正確的鑰匙而導致觸發引擎關斷開關，或者由于聲音、沖擊或篡改而激活警報聲。甚至車主還會采納其他額外的、意料之外的安全措施，如Lojack汽車恢復系統，盡管該系統還存在安全漏洞，但也可能把警察直接帶到盜車賊身邊。在安全設計術語中，門鎖和引擎關斷機制是保護對策，而警報是檢測對策，警察和Lojack系統是回應對策。 這些對策必須基于系統已知威脅來合理地共同工作。如果保護機制被攻破，必須依靠檢測和回應機制來抵御攻擊。如果回應機制不存在或無效，那擁有檢測機制也就沒有意義。 在嵌入式系統中，保護機制也許采取加密的形式、反篡改的機制[3]、或采用多種物理安全形式如機械性地搞亂連接處理器、內存裝置數據線以及關鍵元件封裝的硬件接入點。例如，媒體播放器一般使用加密法來實施數字版權管理(DRM)，以便作為對音樂和電影內容的保護。 檢測機制如入侵傳感器可被用于檢測開路或短路，從而指示發生了企圖物理性損害設備的行為。 回應是系統的最后防御。通常，回應機制將關閉或禁用設備，或刪除敏感內容以預防發生危害。回應機制也能記錄檢測到的攻擊類型及發生時間，這樣就能在受到攻擊后提供有用的法庭審核信息。 結語 安全設計就是一個動態的、與具體的系統相關的過程，且往往很復雜。對于本文中談論的每種安全話題，都有大量研究和專門技術資料供設計師研究和學習。在開始進行設計時，最重要的事情就是盡早開始您的安全需求評估，定義系統安全目標，并經常性地根據系統用途及市場的變化來確定是否最初的威脅已經改變或擴展。 什么時候您才會知道您的系統是足夠安全的?澳大利亞新南威爾士Country Energy負責安全的Robbie Sinclair曾經說過：“在您感覺到不夠安全之前，安全措施總是過量的。”當您開始您的安全評估時，請給出您對“多大程度的安全才算安全”這個問題的答案。 |
