【導讀】在終端產(chǎn)品的安全方面，OEM面臨著(zhù)與芯片供應商相同的許多挑戰。雖然產(chǎn)品設計完善、物理環(huán)境和網(wǎng)絡(luò )環(huán)境安全可靠構成了產(chǎn)品的第一道防線(xiàn)，但OEM可以按照其芯片供應商采取的許多相同步驟和程序進(jìn)行操作，以防止針對其最終產(chǎn)品的大多數安全攻擊。
雖然產(chǎn)品生命周期中的OEM階段比IC生產(chǎn)的OEM階段要短一些，但每個(gè)階段的安全風(fēng)險與芯片供應商面臨的風(fēng)險卻很相似，且同樣影響深遠。幸運的是，OEM可以在其芯片供應商建立的安全基礎上進(jìn)行構建，并重復使用多種相同的技術(shù)。
正如本系列文章“ 第一部分——IC制造生命周期關(guān)鍵階段之安全性入門(mén)”所述，IC生命周期的最后兩個(gè)階段是電路板組裝和電路板測試，而這兩個(gè)階段是由OEM來(lái)掌控的。
圖1：OEM負責確保IC生命周期最后兩個(gè)階段的安全。
電路板組裝
電路板組裝與IC生產(chǎn)中的封裝步驟非常相似。但是，電路板組裝不是將晶粒放入封裝內，而是將芯片安裝到印制電路板(PCB)上，然后通常再將PCB安裝在某種外殼中。電路板組裝現場(chǎng)的物理安全和網(wǎng)絡(luò )安全是抵御攻擊的第一道防線(xiàn)。但是，不同承包商所提供的物理安全和網(wǎng)絡(luò )安全可能會(huì )有天壤之別。
而且，受限于成本考慮和電路板測試性質(zhì)，所提供的物理安全環(huán)境和網(wǎng)絡(luò )安全環(huán)境往往很糟糕。此階段最嚴重的風(fēng)險包括設備竊取、設備分析和硬件修改。下文將對如何降低這些風(fēng)險進(jìn)行闡述。
圖2：電路板組裝與IC生產(chǎn)階段的封裝非常相似。
設備竊取
竊取設備并試圖以合法手段轉售是該步驟首要關(guān)注的問(wèn)題。與IC生產(chǎn)中的封裝測試階段一樣，通過(guò)對比電路板組裝現場(chǎng)的入庫和出庫庫存，很容易檢測到數量較大的設備竊取行為。
此階段OEM面臨的最大風(fēng)險是攻擊者竊取大量設備、對設備進(jìn)行修改，并將修改后的產(chǎn)品出售給最終用戶(hù)。如果芯片供應商提供定制編程，OEM可以通過(guò)訂購配置安全啟動(dòng)的部件來(lái)大大降低這種風(fēng)險。安全啟動(dòng)能夠讓IC阻絕攻擊者試圖通過(guò)編程修改的所有軟件。
設備分析
與IC生產(chǎn)期間的封裝組裝階段相比，在此步驟中，攻擊者竊取系統進(jìn)行分析的可能性大大降低。因為在此步驟中，電路板通常并不包含可進(jìn)行分析的有用信息。這是因為如果攻擊者試圖分析硬件結構，他們可以通過(guò)購買(mǎi)設備輕松獲取樣本。此外，由于尚未對設備進(jìn)行編程，即使攻擊者以這種方式竊取設備也并不能訪(fǎng)問(wèn)和分析任何具體的設備軟件。
硬件修改
由于隱蔽修改很容易被檢測到，所以很難對PCB進(jìn)行大規模隱蔽修改。OEM可以在可信的環(huán)境中進(jìn)行簡(jiǎn)單的抽樣測試，以便直觀(guān)地檢查電路板，并將其與已知的良好樣品進(jìn)行比較以檢測是否進(jìn)行了修改。如果攻擊僅試圖修改一套特定的電路板，此類(lèi)測試可能會(huì )檢測不到，但測試會(huì )讓此類(lèi)攻擊難以開(kāi)展和實(shí)施。
電路板測試
電路板測試階段的風(fēng)險與IC生產(chǎn)期間的封裝測試風(fēng)險類(lèi)似。例如，多個(gè)供應商共享測試系統是很常見(jiàn)的，這增加了安全漏洞或惡意軟件入侵的風(fēng)險。然而，OEM在此階段的供應商往往比IC制造的供應商更加多元化，因此，電路板測試比芯片封裝測試更難以確保安全。
圖3：同樣，電路板測試與IC生產(chǎn)期間的封裝測試非常相似。
通常電路板測試的物理安全和網(wǎng)絡(luò )安全較差。不同產(chǎn)品之間共享空間和測試主機是極其常見(jiàn)的，而且可能不會(huì )一直對測試系統打補丁。在最后測試中泄露機密數據的風(fēng)險最終取決于產(chǎn)品的實(shí)施及其最終測試過(guò)程。如果IC足夠安全，那么最后的測試架構就可以完全保護數據免受測試環(huán)境中惡意軟件的危害。遺憾的是，該主題過(guò)于復雜，無(wú)法在本文中深入探討。
惡意代碼注入
在電路板測試中最簡(jiǎn)單的攻擊方法就是修改設備軟件。由于啟用安全啟動(dòng)和應用程序編程都在電路板測試的同一步驟中完成，因此人們擔心攻擊者完全控制測試、注入惡意代碼并禁用安全啟動(dòng)?？梢酝ㄟ^(guò)樣本測試或雙插入測試流程來(lái)降低這種風(fēng)險。
此外，如果定制編程可用，那么要求芯片供應商配置并啟用安全啟動(dòng)將能有效防御惡意代碼注入。以此方式使用編程服務(wù)時(shí)，電路板測試應能驗證安全啟動(dòng)得以正確配置和啟用，這一點(diǎn)仍尤為重要。封裝步驟和最后測試步驟可以協(xié)同工作、相互驗證，因此，攻擊者要想更改芯片供應商或OEM的代碼，就要破壞這兩個(gè)步驟才可能得逞。
值得注意的是，安全啟動(dòng)是否強力有效取決于是否對私鑰保密。強烈建議在硬件安全模塊(HSM)等安全密鑰庫中生成簽名密鑰，并且永遠不要導出該密鑰。此外，應嚴格限制密鑰簽名，最好是至少有兩個(gè)人的身份驗證，以確保單個(gè)參與者不能對惡意映像文件進(jìn)行簽名。
身份提取
由于OEM通常會(huì )在電路板測試中加入憑證（加密密鑰和證書(shū)），因此攻擊者會(huì )試圖竊取訪(fǎng)問(wèn)憑證或相關(guān)的密鑰材料。
事實(shí)證明，身份憑證的安全配置是一個(gè)十分復雜且極為微妙的問(wèn)題。這不僅涉及到設備的功能、承包商的物理安全和網(wǎng)絡(luò )安全，還涉及到配置方法的設計。而且，還要考慮到制造規模和成本所產(chǎn)生的特有問(wèn)題。此外，與所有安全性能一樣，無(wú)法確保所有的系統漏洞都得以解決。為設備提供身份認證很容易，但以可接受的成本和較大的規模為設備提供強大的身份安全認證卻絕非易事。
如果系統設計完善，私鑰將始終綁定安全密鑰庫，因此他人不可能訪(fǎng)問(wèn)密鑰材料并偽造憑證。例如，Silicon Labs采取的措施是將生成設備證書(shū)的私鑰存儲在PC上的可信平臺模塊(TPM)中，該模塊可抵御物理入侵和邏輯入侵，它位于站點(diǎn)數據中心的訪(fǎng)問(wèn)受限裝置之中。
此外，使用這些密鑰還會(huì )受到限制，密鑰僅適用于某一批次的產(chǎn)品，且僅在該批次產(chǎn)品完成測試的前幾天可用，一旦該批次產(chǎn)品測試完成就會(huì )刪除這些密鑰。最后，如果此種密鑰被泄露，那么使用該密鑰制造的設備其憑證可被撤銷(xiāo)，以說(shuō)明這些不再是可信設備。
同樣地，所有支持安全密鑰存儲的設備都在電路板上生成私鑰，而且這些密鑰將始終綁定安全密鑰庫。必須對不支持安全密鑰存儲的設備加入密鑰。而實(shí)際上，這些設備更容易受到攻擊者的入侵，因為攻擊者會(huì )隱藏在測試基礎設施中以竊取私鑰。
為了防止低安全性設備的證書(shū)冒充高安全性設備的證書(shū)，制造過(guò)程中生成的所有證書(shū)都包含有說(shuō)明其私鑰存儲能力的數據。
OEM所采用的測試系統應能抵御對物理訪(fǎng)問(wèn)的修改及限制，應檢查物理安全性、進(jìn)行標準訪(fǎng)問(wèn)控制并及時(shí)記錄日志。最后，應保證網(wǎng)絡(luò )和PC操作標準安全。例如，測試系統不應直接與互聯(lián)網(wǎng)連接，也不應使用公共登錄憑證。
應開(kāi)展定期檢查，以確保在這些過(guò)程中發(fā)現并檢查到所有的修改。這些標準操作可以防止攻擊者一開(kāi)始就獲取對測試系統的訪(fǎng)問(wèn)權。除以上操作外，OEM還可以將測試設備委托給不與其他供應商共享的合同制造商(CM)，從而進(jìn)一步提高物理安全和網(wǎng)絡(luò )安全。這些系統也可以通過(guò)滲透測試來(lái)識別和修復漏洞，之后這些系統才可以使用。
最后，要妥善處理存儲在OEM的IT基礎設施中的更高級別的密鑰。這些更高級的密鑰應存儲在密鑰庫中，且應制定合理的訪(fǎng)問(wèn)限制。這些密鑰的使用應得到監管，以便識別到意外操作，并可及時(shí)提醒相關(guān)工作人員。
對于那些不想自行建立憑證配置基礎設施的OEM，可選擇提供安全編程服務(wù)的芯片供應商。例如，Silicon Labs在其Vault-High產(chǎn)品目錄中提供憑證，并且可以將憑證編程到定制化元件上，而這些定制化元件是通過(guò)定制化元件制造服務(wù)(CPMS)訂購的。這些服務(wù)使建立憑證配置基礎設施的負擔從電路板測試階段轉移到了芯片供應商的編程階段。
機密信息提取
當密鑰或專(zhuān)有算法等機密信息被編程為電路板測試的一部分時(shí)，攻擊者可能會(huì )通過(guò)破壞測試設備來(lái)獲取此信息。電路板測試階段用以抵御身份提取的所有建議措施均適用于此。同樣地，使用編程服務(wù)可以將這種風(fēng)險從電路板測試階段轉移到芯片封裝測試階段。
使用一系列恰當的安全功能，即使測試系統受到威脅，也可以配置機密信息并加以保護。如上所述，此配置要有安全的中央主機以及具有安全引擎的設備，這種引擎可以不受測試系統影響且可以通過(guò)中央主機進(jìn)行檢驗以驗證設備的狀態(tài)。
電路板測試將對IC進(jìn)行編程、啟用安全啟動(dòng)并鎖定設備，然后設備將證明其狀態(tài)。如果測試設備被入侵且不再正常發(fā)揮作用，中央主機將在已經(jīng)得以證實(shí)的信息中檢測到它。如果中央主機認為設備配置正確，便可以與已知的可靠應用程序交換密鑰，然后通過(guò)該安全鏈路發(fā)送機密信息。此過(guò)程可防止測試系統查看或更改機密信息。
終端產(chǎn)品的安全需要OEM的不懈努力
在終端產(chǎn)品的安全方面，OEM面臨著(zhù)與芯片供應商相同的許多挑戰。雖然產(chǎn)品設計完善、物理環(huán)境和網(wǎng)絡(luò )環(huán)境安全可靠構成了產(chǎn)品的第一道防線(xiàn)，但OEM可以按照其芯片供應商采取的許多相同步驟和程序進(jìn)行操作，以防止針對其最終產(chǎn)品的大多數安全攻擊。
此外，許多芯片供應商提供的服務(wù)和功能，能夠讓OEM降低確保其制造環(huán)境安全的工作量和復雜性。如今，有效實(shí)施這些技術(shù)將有助于確保OEM所有互聯(lián)設備的安全，以及確保其所在的生態(tài)系統的安全。芯片供應商和OEM應攜手合作，為打造安全可靠的物聯(lián)網(wǎng)保駕護航。
（來(lái)源：Silicon Labs （亦稱(chēng)“芯科科技”）作者：高級系統工程師Joshua Norem ）
免責聲明：本文為轉載文章，轉載此文目的在于傳遞更多信息，版權歸原作者所有。本文所用視頻、圖片、文字如涉及作品版權問(wèn)題，請聯(lián)系小編進(jìn)行處理。
推薦閱讀：
第一部分——IC制造生命周期關(guān)鍵階段之安全性入門(mén)
