物聯(lián)網擁有從傳感器和處于不同網絡中的嵌入式系統(tǒng)的實時數(shù)據(jù)中創(chuàng)造巨大價值的潛力。然而，造就高價值的同時也帶來了更高的風險。由于物聯(lián)網設備是可以經由網絡連接的，尋找在線設備的漏洞和弱點的惡意用戶可以很容易地嘗試攻擊這些眾多的設備。一旦找到進入的方法，攻擊者可以隨時讓整個網絡癱瘓?？ò退够鶎嶒炇一谝豁椚?a target="_blank">黑客活動問卷調查的報告表明，僅2018上半年，就有超過40%的工業(yè)控制系統(tǒng)計算機遭受過不同程度的攻擊。

雖然服務器是主要攻擊目標，但一些簡單、看似平淡無味的嵌入式設備同樣是遭受威脅的對象。誰能想到魚缸中的電子溫控器可能會威脅到企業(yè)網絡安全呢？ 對于一個賭場而言，這是完全可能的！ 黑客通過薄弱的電子溫控器進入到核心網絡中，進而從這里截獲一個關鍵用戶數(shù)據(jù)庫的信息，直到安全分析人員在網絡日志中發(fā)現(xiàn)數(shù)據(jù)通過流媒體播放協(xié)議傳往芬蘭的一臺服務器，真相才水落石出。

銀行的內部網絡曾有過通過閉路電視網絡被入侵的先例（雖然閉路電視的存在改善了物理層面的安全），黑客也曾經從吸塵器的攝像頭中監(jiān)控用戶的一舉一動。這些攻擊都應該被避免，從而保護核心網絡不受入侵。為了讓隨時可能發(fā)生的攻擊變得更加困難，多層安全保護是一個關鍵。

今天，黑客時常會利用開發(fā)團隊的草率決定，比如，一個常見的問題是設備時常會有一個統(tǒng)一的默認的遠程登錄密碼，通常這樣的密碼是為了方便物聯(lián)網設備的初始化，但最好的方式是給每一個設備設定不同的密碼。隨著設備生產商不斷提升他們的基礎安全水平，網絡犯罪者們也在升級攻擊服務器的手段。在不斷變化的環(huán)境中，嵌入式系統(tǒng)不能再以本身的價值低為理由而不去提升安全水平。就像上文中賭場擁有者所發(fā)現(xiàn)的那樣，任何物聯(lián)網設備都可能導致一個專有網絡被入侵。

如圖1所示，網絡系統(tǒng)可能遭遇不同類型的攻擊。舉例來說，黑客通常會利用軟件中的漏洞，如果一個設備收取了超出緩沖區(qū)大小的數(shù)據(jù)，額外的字節(jié)將會溢出到其他的數(shù)據(jù)結構中，這樣的數(shù)據(jù)結構進入到其他程序中后就可能會導致錯誤的結果或者崩潰的發(fā)生，處理器甚至可能將這些字節(jié)認為是跳轉地址進而執(zhí)行錯誤的代碼。除此之外，熟悉設備內存布局的黑客可以構建特定的小程序來獲取設備的控制權，或者通過向設備發(fā)送特定的、能讓處理程序崩潰的數(shù)據(jù)達到目的。

圖1 應對多種不同攻擊的方式

一些攻擊方式著重于攻擊通信協(xié)議，而不是核心設備軟件。如果協(xié)議在壓力下發(fā)生崩潰，那么在恢復過程中攻擊者就可能會趁虛而入。如果攻擊者能夠攻破設備附近的網絡基礎設施，或者直接取得對設備的物理訪問，那么就可以偽造服務和設備見的通信。這類中間人攻擊可以用于分析從設備發(fā)送出來的數(shù)據(jù)，并取得更多的情報用于下一步的攻擊。黑客也可能試圖在設備上載入修改后的固件，一旦成功，重啟后的硬件將可以執(zhí)行任何黑客希望的功能。

應對方式

系統(tǒng)應當能夠拒絕任何未授權方發(fā)起的通信請求，這樣設備就不會載入黑客修改過的固件，能夠忽略拒絕服務式的攻擊，自然可以避免因蠶食系統(tǒng)的資源造成的系統(tǒng)崩潰。再者，設備不會將敏感數(shù)據(jù)發(fā)送給未經驗證的服務器。即使對于設備接受的數(shù)據(jù)，系統(tǒng)也應該檢查數(shù)據(jù)包的長度和正確性，并拒收可能導致緩沖區(qū)溢出和包含命令注入的數(shù)據(jù)包。

不過，對于已經很龐大的代碼庫來說，在設備的固件中實現(xiàn)這些功能可能是不現(xiàn)實的，費用也極其高昂，特別是使用了許多第三方軟件的固件。更加現(xiàn)實的方式是，將固件分為需要高安全保障的部分以及可以被攻擊的、不會連累安全功能的部分。舉例來說，將溫度傳感器數(shù)據(jù)包裝為JSON格式并返回給手機App的例程，并不需要進行安全檢查。安全的代碼則需要在送出數(shù)據(jù)前進行身份驗證。

軟件的考量

相對于所有的代碼而言，需要全面安全強化的僅僅是一小部分。這樣的分隔必須確保沒有從不安全代碼滲透到安全代碼的后門。在上文緩存區(qū)泄露的例子中，如果攻擊者能夠將數(shù)據(jù)混入“安全的”數(shù)據(jù)中并成功偽裝成系統(tǒng)管理員，那么所有的保護措施都將失效。安全內存和不安全區(qū)域隔離的重要性是不可言喻的，這一任務也只能在硬件級別才能可靠地完成。

Microchip SAM L11家族的嵌入式微處理器包含基于Arm TrustZone擴展架構的安全保護硬件，以及專有的應對軟件攻擊的保護。SAM L11的硬件保護構建起的信任根能讓系統(tǒng)成為更加復雜的安全框架中的一環(huán)（見圖2）。

圖2 雙開發(fā)者方式

在信任根上進行的密碼學操作能夠將信任區(qū)擴展到系統(tǒng)的其他部分，從而在不受信任的網絡中建立安全的通信信道。內建密碼學微控制器提供產生會話密鑰、加密和解密功能，并能夠檢查來自網絡的外部消息以及內部代碼的可信性?；诿艽a學的保護甚至可以檢測偽造的硬件：運行在可信區(qū)的軟件可以向設備內的電路板發(fā)出質詢，并檢查返回的結果是否有效。

為了維持信任根的可靠性，SAML11硬件使用安全啟動過程。初始啟動首先加載ROM 中的代碼，這部分代碼通過密碼學加速器來檢查其余固件的可信性，比對每一個部分的哈希值是否與廠商在出廠時設置的參考哈希值相同。當比對失敗時設備重置，安全啟動過程會再次開始。因此，即使黑客能夠修改閃存上的固件，系統(tǒng)也無法正常啟動，除非固件被恢復為出廠版本。

TrustZone技術

當設備成功啟動可信的固件時，SAML11上的Arm TrustZone實現(xiàn)確?？尚藕涂赡苡泻浖g的隔離。SAM L11的Arm Cortex M23處理器上的Arm Trust-Zone代碼提供了一組安全指令集，可以確保當不可信的代碼執(zhí)行訪問安全域函數(shù)調用時，系統(tǒng)將會進行檢查（見圖3）。Arm TrustZone技術支持安全域的創(chuàng)建，在不影響性能的前提下，不同的安全域會允許不同級別的存儲器、外設和面向可信軟件的I/O 訪問。Arm TrustZone技術允許安全代碼的分組和保護，這很大程度上簡化了嵌入式設備的安全評估。

圖3 Cortex-M23中斷機制

為了區(qū)分和隔離安全代碼，SAML11的存儲器被分為不同的區(qū)域。每一個區(qū)域都由硬件來保護，不受軟件攻擊影響，任何從非安全區(qū)域向安全區(qū)域的訪問，或者運行的代碼與當前的系統(tǒng)安全狀態(tài)不符，都會導致硬錯誤發(fā)生。在此狀況下訪問將無法成功，系統(tǒng)也可能會自動重啟。即使在處理中斷和調試時，這一保護措施依然存在。

如圖4所示，Arm TrustZone技術的實現(xiàn)維護兩個棧指針來區(qū)分安全和非安全代碼的執(zhí)行，并保證中斷處理例程不會導致數(shù)據(jù)泄露。調試程序時可以通過不同的訪問級別對安全和非安全代碼進行區(qū)別對待。在非安全部分工作的開發(fā)者不能改變安全代碼或者直接訪問安全區(qū)的信息，這一機制使開發(fā)者的職責得以清楚區(qū)分，只有擁有安全資質的開發(fā)者才可以修改受保護的代碼。

圖4 安全和非安全態(tài)之間的標準交互

一般來講，編寫安全應用的開發(fā)者會提供頭文件和庫函數(shù)，以便非安全代碼做出請求，比如加密和發(fā)送一個網絡數(shù)據(jù)包。受保護的代碼會在受保護的內存區(qū)域中加載，沒有安全權限的開發(fā)者開發(fā)網絡應用時只能通過代碼庫的API訪問安全代碼。這樣安全代碼和數(shù)據(jù)就處在了一個黑盒子中。啟動時安全代碼的哈希值會被檢查，被篡改的安全代碼會導致啟動失敗。SAM L11的可信安全啟動過程使得這樣的檢查成為可能。舉例來說，通過指針指向不正確的內存位置會導致錯誤發(fā)生。

外設也可以被設置為安全或者不安全，僅由被授權的軟件訪問和控制對應的設備。至于向兩個區(qū)域同時提供服務的外設，對于它們的訪問可以用類似安全函數(shù)的方式進行管理。不安全的代碼可以通過安全代碼開發(fā)者提供的API訪問這類設備。這確保只有被授權的、可以檢測惡意訪問的代碼才能夠直接訪問外設。

舉例來說，不可信的代碼可以讀取一個計數(shù)器的當前數(shù)值，但并不能進行重置。微處理器訪問外設和子系統(tǒng)時，必須驗證芯片密鑰存儲器中相應的數(shù)字證書和獲得數(shù)據(jù)的哈希值。這一機制保護系統(tǒng)不受單個被攻陷的設備影響，也幫助生產商確保設備不會被用于仿制的系統(tǒng)中。即使黑客能夠篡改用于密鑰存儲的256字節(jié)的存儲器區(qū)域，SAML11也能夠檢測到這樣的行為并將密鑰和數(shù)據(jù)清零。

SAM L11的安全機制覆蓋從Arm TrustZone的隔離技術到存儲器物理安全等不同方面。這些機制幫助OEM在嵌入式設備中構建整個系統(tǒng)安全，確保對應的應用不會成為物聯(lián)網中的安全薄弱環(huán)節(jié)。

責任編輯：ct