物聯(lián)網(wǎng) （IoT） 繼續(xù)成為現(xiàn)實，每天有數(shù)百萬設備連接到互聯(lián)網(wǎng)。盡管這可能令人興奮，但隨著許多創(chuàng)新機會的開放，物聯(lián)網(wǎng)設備和系統(tǒng)的開發(fā)人員面臨著許多挑戰(zhàn)，其中最關鍵的是保護他們的設備并確保最終用戶的隱私。值得慶幸的是，新的微控制器 （MCU） 不斷涌現(xiàn)，大大簡化了安全任務，但這些功能與開發(fā)人員使用它們的能力一樣好。

　　對于許多開發(fā)人員來說，安全性一直是并且仍然是事后的想法，這有點令人驚訝。這是一個錯誤，因為它使房屋、車輛、制造、零售和關鍵基礎設施容易受到攻擊。然而，盡管歷史上不愿解決安全問題，但物聯(lián)網(wǎng)現(xiàn)在正迫使設計人員在開發(fā)嵌入式系統(tǒng)時更加認真地考慮安全問題，幸運的是，他們發(fā)現(xiàn)并不是唯一一個解決安全問題的人。

　　微控制器的制造商和供應商是眾多物聯(lián)網(wǎng)系統(tǒng)和設備的基本元素，現(xiàn)在也認識到安全性的重要性，并在他們的硬件和軟件庫中構建掛鉤，以簡化開發(fā)并減輕開發(fā)人員的安全負擔。

　　一個典型的例子是瑞薩電子美國公司的 Synergy 平臺。這不僅包括一系列基于 ARM? 的微控制器，例如S1、S3和S7系列，還包括一個完整的軟件包，旨在通過提供驅動程序、RTOS、中間件、框架和庫來為開發(fā)人員提供快速入門。盒子。

　　Synergy 軟件包 （SSP） 中包含一個安全和加密模塊，開發(fā)人員可以利用它來正確保護他們的設備。雖然擁有這些軟件組件是件好事，但開發(fā)人員仍然需要了解如何將這些資源應用于嵌入式安全的三個主要元素：身份驗證、完整性和可用性。

　　圖 1：Renesas Synergy 平臺的 Synergy 軟件包 （SSP） 包括平臺中包含的驅動程序、RTOS、中間件、框架、庫和開發(fā)工具?？梢栽诖颂幉榭雌脚_中包含的所有不同軟件組件。（來源：瑞薩電子美國）

　　身份驗證和加密是一項棘手的業(yè)務

　　身份驗證最關注安全性，這是正確的。身份驗證是系統(tǒng)驗證固件更新和通信是否來自合法來源的能力，而不是試圖混淆或覆蓋默認系統(tǒng)行為。開發(fā)人員可以在他們的設計中使用的常見技術可以在任何微控制器上工作，從最簡單和資源限制最少的開始，包括：

• 　　密碼
• 　　握手
• 　　數(shù)字簽名
• 　　校驗和
• 　　循環(huán)冗余校驗 （CRC）

　　CRC 應包含在重要數(shù)據(jù)中，例如存儲在閃存中的應用程序映像和通過網(wǎng)絡或通信接口進行通信的數(shù)據(jù)包。微控制器上的 CRC 可能是一項棘手的工作，尤其是在沒有浮點硬件單元的情況下。對于開發(fā)人員來說，一個很棒的技巧是使用類似于 fletcher16 算法的校驗和。

　　fletcher16 算法檢測數(shù)據(jù)流中是否有任何數(shù)據(jù)被更改。它通過本質上將數(shù)據(jù)流分解為 8 位塊，然后將這些塊相加以生成兩個唯一的 8 位值，這些值重新組合成 16 位校驗和。fletcher16 算法被限制為不大于 255 的模數(shù)，因此插入到數(shù)據(jù)流中的隨機數(shù)有 1/255 的機會未被檢測到。Fletcher16 的有效性與最低的 CRC 相當。

　　為了保護嵌入式系統(tǒng)，開發(fā)人員可能需要采用多種技術組合，其中還包括加密。如果您沒有選擇正確的設備，MCU 上的加密可能會是一項艱巨的任務。每個應用程序都需要自己獨特的加密需求，但您至少應該在 MCU 上尋找?guī)追N硬件資源：

• 　　唯一的設備標識符
• 　　有限的 JTAG 訪問
• 　　真正的隨機數(shù)生成器 （TRNG）
• 　　對稱密碼加速器

　　請?zhí)貏e注意使用 TRNG 的微控制器的數(shù)據(jù)表。所有的 TRNG 都不是平等的，如果它們沒有通過 NIST SP 800-90（最新和最偉大的熵規(guī)范）的認證，那么潛在的黑客就有可能通過影響系統(tǒng)熵來操縱生成器，然后生成可預測的熵結果。

　　熵是系統(tǒng)中存在的隨機性或混沌性的量度。TRNG 通常會使用熵來計算隨機數(shù)。如果黑客能夠控制系統(tǒng)的熵，例如操縱時間或溫度（偽隨機數(shù)生成器使用的屬性），那么隨機數(shù)就變得可預測了。一個可預測的數(shù)字允許黑客做出有根據(jù)的猜測，最終破壞系統(tǒng)安全性并將其打開以進行攻擊。

　　Renesas Synergy MCU 具有上述所有硬件資源，使用 Synergy 工具鏈訪問 TRNG 幾乎是微不足道的。只需進入 Synergy 配置文件，然后從線程選項卡中添加 TRNG 組件。該組件完全通過可視化界面添加，必要的步驟如圖 2 所示。在此示例中，使用了Renesas S1 開發(fā)套件來部署 TRNG。添加 TRNG 驅動程序后，以下 API 調用將生成隨機數(shù)：

　　R_SCE_TRNG_Read （ trng_ctrl_t *const p_ctrl ， uint32_t *const p_dest ，uint32_t nwords ）

　　圖 2：要將真隨機數(shù)生成器 （TRNG） 驅動程序組件添加到 Synergy 項目，只需選擇添加，然后按照從右上角到左下角的菜單查找 TRNG 驅動程序。（來源：瑞薩電子美國，E2 Studio Synergy Project）

　　高級應用程序需要的不僅僅是簡單的 TRNG 或對稱密碼加速器。為了利用最新的加密技術，開發(fā)人員應該在他們的微控制器中尋找額外的硬件，例如：

• 　　非對稱密碼加速器
• 　　哈希加速器
• 　　非對稱密鑰生成器
• 　　安全密鑰存儲

　　如果沒有這些關鍵組件，開發(fā)人員會發(fā)現(xiàn)他們的系統(tǒng)很容易受到攻擊，并且可能在現(xiàn)場受到損害。事實上，最終用戶可能會發(fā)現(xiàn)他們的隱私受到侵犯。隱私是最終用戶的數(shù)據(jù)被隱藏而不對其他人可見的能力。缺乏良好加密方法的系統(tǒng)將導致用戶甚至可能不知道的隱私侵犯，或者可能導致身份盜用等網(wǎng)絡犯罪。上面列出的高級功能有助于保護隱私，但可能并不包含在每個微控制器中。例如，您不會在 Renesas S1 設備上找到 HASH 加速器，但您會在 Renesas S7 上找到一個。

　　確保系統(tǒng)完整性

　　開發(fā)人員通常非常關注身份驗證和加密，以至于很多時候他們沒有考慮系統(tǒng)完整性的重要性。完整性是衡量軟件可信度的指標。許多開發(fā)人員會在啟動時假設應用程序沒有損壞或被注入惡意軟件。對于不斷連接到 Internet 的設備，這是一個糟糕的假設。

　　開發(fā)人員可以使用一些技術來驗證其系統(tǒng)的完整性。首先，您可以將 CRC 或校驗和添加到存儲在閃存中的應用程序映像中。啟動系統(tǒng)時，引導代碼會計算校驗和或 CRC，并驗證它是否仍與預期值匹配。或者，您可以使用 Renesas SSP 中包含的軟件組件，例如安全啟動框架 （QSA）。它不僅提供安全啟動功能，還提供受保護的內存位置，防止惡意軟件或其他代碼訪問整個系統(tǒng)。這使您可以為不同的應用程序組件創(chuàng)建沙箱以確保它們的安全。

　　可用性

　　嵌入式系統(tǒng)應該幾乎 100% 可用，但有時黑客可能會執(zhí)行分布式拒絕服務 （DDoS） 攻擊，導致線程不足或內存溢出，進而導致系統(tǒng)停機。為了保護嵌入式系統(tǒng)并防止這種情況發(fā)生，但一定要使用能夠啟用內存保護和管理應用程序的 RTOS，以確保霸道的任務不會導致整個系統(tǒng)癱瘓。

　　安全入門

　　嵌入式安全可以被認為是一個利基領域，因為在物聯(lián)網(wǎng)之前安全并不是一個問題。設備曾經(jīng)被斷開連接，這極大地限制了它們的攻擊區(qū)域。但是，連接的設備隨時可能在各種情況下受到攻擊。學習嵌入式安全的最佳方式是從板凳上開始。有兩個開發(fā)套件，即前面提到的瑞薩 S1 和瑞薩 S7，可用于快速啟動安全工作。

　　圖 3：在縮??小硬件加密選擇范圍之前，瑞薩電子 SK-S7G2 開發(fā)套件是開始探索安全概念的最佳場所。（來源：瑞薩電子美國）

　　每個開發(fā)套件都有 Arduino 接頭分線器，因此可以輕松地將藍牙模塊等硬件屏蔽添加到開發(fā)套件中，以進行定制設計工作。Renesas S7 包括一個以太網(wǎng)端口，當與 SSP 結合使用時，您可以在短時間內啟動并運行物聯(lián)網(wǎng)設備。

　　當?shù)谝淮伍_始探索安全概念時，您可能希望首先關注 S7，因為它擁有所有的花里胡哨并且功能最強大。一旦您了解了平臺的功能和終端系統(tǒng)的要求，那么考慮降低您的硬件加密功能才有意義。

　　結論

　　設計人員在保護其嵌入式系統(tǒng)方面面臨的挑戰(zhàn)，從身份驗證到系統(tǒng)完整性和高可用性，乍一看似乎難以承受。然而，具有內置功能、掛鉤和庫的微控制器正在興起，可幫助開發(fā)人員應對這些挑戰(zhàn)并簡化流程。一個很好的例子是本文研究的 Renesas Synergy 微控制器及其相關評估平臺。