這段時間，波鴻魯爾大學霍斯特·戈茨IT安全研究所和馬克斯·普朗克網絡安全與隱私保護研究所的研究人員在一項聯合研究項目中發現，FPGA中隱藏了一個關鍵的安全漏洞，他們稱這個漏洞為“ StarBleed”，攻擊者可以利用此漏洞來完全控制芯片及其功能。此外，報道還稱，由于該漏洞是硬件的組成部分，因此只能通過更換芯片來彌補安全風險。此次安全漏洞造成的影響有多大？給FPGA產業將帶來哪些影響？

　　StarBleed是如何形成的

　　山東師范大學物理與電子科學學院講師孫建輝向記者介紹，FPGA（field-program-gate-array）芯片，有人稱之為萬能芯片，它具有數字邏輯電路硬件可編程能力，應用場景涵蓋軍工、民用、工業等。這些應用既可以利用FPGA芯片進行快速邏輯實現，也可以重構為多媒體信息處理編解碼芯片，比如多媒體SOC芯片編解碼器CODEC、無線通信的基帶。

　　在很多人看來，此次StarBleed安全漏洞正是由于FPGA的這種“萬能”性，開放、靈活性強的芯片，安全漏洞也會比較多。賽靈思官網針對這個事件分析，此次研究人員研究的對象，是基于十年甚至十多年前的賽靈思6系列和7系列FPGA器件，攻擊者會利用兩款器件在AES-CBC模式下缺少誤差擴展，同時以WBSTAR為代表的配置命令又可在認證成功前執行，使其得以成功突破器件安全屏障。

　　影響究竟有多大

　　由于FPGA的用途廣泛，尤其是在軍工、航天和工控這類安全性要求很高的產業需求量很大。此外，這次安全漏洞是發生在硬件的組成部分，比起軟件來說修補周期較大，這些是造成此次StarBleed安全漏洞事件引起不小風波的原因。

　　京微齊力創始人&CEO王海力表示：“修補安全漏洞問題，一般可采用兩種方法，從軟件修補或者硬件修復下手。從軟件下手修補相比較而言周期短、速度快、花費低。例如若是A算法被破譯了，就換成B算法加密，現在FPGA針對生成的配置碼流采用比較多的是AES256位加密。一般而言，這種算法是比較難以破解的。同時，如果配置碼流被破解了，還可以進行軟件升級完成補丁修改，總的來說更容易解決一些。”

　　然而，若是從硬件方面修復漏洞，往往所耗費的時間和精力都會比較多。“一般來說，在硬件方面修復漏洞，需要在硬件電路里面做一些特別的功能，去判斷一些惡意攻擊的行為，防止別人破解位流，或者監測不按照原有的行為來進行工作的預判電路。這些花費都會很高，因為往往需要重新設計芯片、重新流片并且重新生產。此次研究學者沒有特別詳細公開關鍵安全漏洞的機制，從側面印證了這次StarBleed安全漏洞事件造成了較大影響，因為這個安全漏洞有可能是出在了硬件的組成部分。”王海力說道。

　　賽靈思發言人向記者表示：“這次安全事件發生后，美國總部第一時間給出設計建議來規避安全隱患。而且這次漏洞雖然在硬件上，但是若想通過其進行攻擊也并不是件容易的事情，需要有一個前提條件，那就是必須在物理上近距離接觸到這個硬件。也就是說，其一，若想進行攻擊，必須有近距離的物理接觸，但是這并不容易實現;其二，若想實現遠程攻擊，需要在接口設置為外部可以訪問的情況下才可實現，如果接口不設置外部訪問，就不會出現這個問題。”

　　巧妙利用變“廢”為寶

　　在王海力看來，此次攻擊者利用的手法其實并不是新型的手段：“早在十年前，黑客就會利用控制配置碼流的技術來入侵。這么多年過去了，FPGA的安全性能在不斷提升，黑客技術也在不斷提升。一般來說，開放、靈活性強的芯片，安全漏洞也會比較多。這往往是相伴而生的，黑客問題肯定是無法完全避免，但正是因為有黑客的存在，也使FPGA需要不斷更新迭代、修補漏洞。從某種意義上講，這也促進了FPGA技術的發展。”

　　孫建輝認為，這次安全漏洞事件雖然向所有FPGA研發單位敲了一次警鐘，但同時也可以反向利用這次安全漏洞，變“廢”為寶。“比如我們可以基于遠程無線操縱碼流存儲體，遠程重構更新邏輯功能，并且若用戶具有私有權限，甚至可以設置權限，進行授權訪問碼流修改權限，而惡意入侵者卻被嚴密的安全防護網絡阻擋在門外，這無疑是一件因禍得福的事情，也會促進國際FPGA硬件重構芯片的發展，以及推出新的標準或新的研發規范。”孫建輝說。

　　王海力表示，雖然比起國外FPGA來說，國內FPGA起步較晚，技術較為落后，但是中國還是有自己的優勢的。在安全性能上，國產FPGA可以做一些自己的特色，比如在加密算法中，在一些應用領域，采用國密算法來加密，不易被破解，安全性能更高。此外，國產FPGA可以借鑒很多國外PFGA的發展經驗，避開很多雷區，使國產FPGA在安全性能上能夠發展得更快更好。

　　同時，孫建輝認為，這次StarBleed安全漏洞事件也給了國產FPGA一定的反思，讓國產FPGA企業能夠思考如何設計FPGA萬能芯片，用什么全新的物理、電路、算法以及配置下載流程技術能夠進行安全性更高的FPGA重構設計？國內企業等單位如果抓住機遇，推出最新的安全FPGA芯片，擁有國際專利、推出新標準，這無疑是一次突圍的好機會。

　　安全性是目前最在乎的特性之一，重視的企業必將獲得更好的發展。