硬件漏洞會影響、醫療和系統的安全性，只有安全飛地和信任根還不夠。

2018年1月，計算機安全研究人員披露了兩個重大的處理器安全漏洞：Meltdown（熔斷）和Spectre（幽靈），惡意程序可以利用這些漏洞竊取安全數據。

工程界和普通民眾早已習慣了為修補軟件漏洞而頻繁更新app或安裝操作系統補丁。而這里所說的不同，罪魁禍首是硬件，而硬件更新可不便宜。

修補硬件漏洞唯一可行的方法是發布新的軟件，以降低系統速度與能效為代價，屏蔽易受攻擊的硬件功能或避免使用它們。Meltdown和Spectre的發現引發了一系列針對硬件安全的調查。

截至目前，安全研究人員已經公布了更多的硬件漏洞，包括Foreshadow、ZombieLoad、RIDL和Fallout。這些硬件缺陷危及個人計算機、智能甚至云的安全性。

圖1：攻擊者進程通過基于行填充緩沖區（LFB）的微架構側信道從受害者進程中竊取機密數據。受害者和攻擊者進程處于不同的安全域中。（：S. van Schk等，RIDL：Rogue In-Flight Data Load）

那嵌入式系統是否就安全了呢？

圍繞著處理器的安全漏洞有一個共同主題——它們都針對具有先進性能優化的現代高端實現功能，事實證明，這些先進功能可能被惡意目的利用。

而嵌入式系統通常采用相對簡單的處理器實現。它是一個封閉的環境，供應商應該可以更嚴格地控制它。實際上，在DVCon US 2019會議上，在開放式指令集架構（ISA）的驗證和合規性討論期間這個問題已經被提出來。開放式ISA，特別是RISC-V，以及MIPS等，提供優于專有架構的優勢，越來越受到半導體行業和嵌入式設備社區的關注。

嵌入式處理器被應用于許多聯網系統，例如工廠、智能家居、物聯網（）設備、醫療設備和產品，以及自動駕駛、飛機和其它生命安全攸關的關鍵應用。

不同于普遍的看法，嵌入式平臺上運行的軟件來自多個通常不受信任的源，例如那些允許用戶運行第三方應用程序或運行來自多個供應商和開源庫的大型軟件堆棧的平臺。為了最大化硬件利用率并降低成本，關鍵和非關鍵應用程序在同一物理處理器上運行。例如，汽車電子控制單元（ECU）可以在同一處理器內核上執行信息娛樂代碼以及安全攸關功能。

直到最近，安全防護還主要集中在軟件堆棧上，其硬件提供諸如信任根的底層防護功能。RISC-V基金會將精力主要放在安全平臺和機制的實現上，以防止不受信任的代碼影響關鍵系統功能的完整性。這些安全功能對于驗證軟件更新至關重要。從理論上講，這些方法沒有問題，不受信任的軟件只能在定義好的保護殼內運行，無法突破或竊取安全飛地的敏感信息。

漏洞并非高端處理器所獨有

不幸的是，還有一個復雜的問題。

最近，計算機科學家公布了一種新型攻擊，稱為Orc攻擊，它威脅到嵌入式應用中常用的簡單處理器。最重要的是，作者已經證明，很小的實施決策都可能會導致或者防止嚴重的硬件漏洞的出現。“這里的關鍵點在于，即使是簡單的設計步驟，例如添加或刪除緩沖區，不經意間也可能在任何處理器中引入隱蔽信道漏洞，”發現Orc攻擊的Kaiserslautern-Stanford團隊成員Mo Fadiheh說。

最終的結果是，Orc和側信道攻擊打破了特權級和用戶級域之間的隔離。加密和安全驗證可以被繞開。惡意代理程序可以推斷出秘密數據，包括密碼、社會安全號碼和醫療記錄;暴露用于驗證固件更新的密鑰可能允許攻擊者加載自己的代碼并以更高的權限執行它或替換操作系統中的某些功能;用于DoS攻擊的后門或終止開關可能被添加;還有無數的可能性。“從理論上講，黑客可以使用Orc漏洞來控制自動駕駛汽車或者征用物聯網上聯網的計算機，”斯坦福大學電子工程和計算機科學教授，團隊成員Subhasish Mitra說。

業界已經意識到了這些風險，并正在積極尋求解決方案。例如，英飛凌就參與了發現Orc漏洞的研究工作。

一種防止硬件漏洞的系統方法

證明微架構側信道不存在很復雜。硬件安全驗證不僅僅是確保正確實施ISA安全功能，開發和分析威脅模型也是不夠的，因為攻擊場景需要被提前識別。

發現Orc漏洞的同一個團隊發明了一種強大的方法可以在大規模生產和部署IC之前檢測設計過程中的硬件漏洞，這就是唯一程序執行檢查（UPEC），它可以系統地檢測來自處理器微架構和較小實施決策中的漏洞。

圖2：除一些受保護的秘密數據外，UPEC創建包含相同數據的同一計算系統的兩個實例。 基于形式驗證的分析揭示了是否有可能構建進程在未被授權訪問秘密數據的情況下在兩個系統中以不同的方式執行。（：M. R. Fadiheh等，處理器硬件安全漏洞及其唯一程序執行檢查的檢測。）

“Orc漏洞的出現反映出，芯片設計師每天都會做出的看似無害的設計決策，但可能會導致嚴重的缺陷，”威斯康星大學麥迪遜分校的計算機架構專家Mark D. Hill教授說。“通過UPEC，設計人員可以更加自信地發現并消除設計中所有潛在的隱蔽信道缺陷。”

嵌入式系統需要高完整性的IC

在嵌入式系統中，不太可能完全信任和控制軟件堆棧的所有層。因此，即使使用簡單的處理器內核，利用硬件實現中的漏洞，實施微架構側信道攻擊也會對安全造成真正的威脅。

基于RISC-V ISA的開源硬件為更高級別的安全審查提供了機會。但同時，惡意代理軟件也可以對設計執行詳細分析并發現低級漏洞。

而且嵌入式設備一旦部署，更換處理器就很困難且成本高昂。所以，替代方案就是在部署之前即識別硬件漏洞來防止側信道攻擊。UPEC是一種強大的硬件安全驗證技術。其基于形式驗證的屬性檢查，可以系統地識別硬件寄存器傳輸層（RTL）設計模型中的漏洞，而不用依靠專業知識來猜測可能存在的問題。

當前UPEC的實施是利用OneSpin Soluons提供的IC完整性來保證產品構建的。

數據安全性（Security）是IC完整性的基石，當然還有信任、功能正確性和生命安全性（Safety），各種因素相輔相成，例如安全漏洞或硬件木馬可能會危及自動駕駛汽車的安全性。可見，IC完整性對如今的數字世界至關重要。

來源：電子工程專輯