自 2019 年初以來，美利堅合眾國 (US) 和英國 (UK) 政府和私人醫(yī)療組織試圖竊取甚至破壞關于 COVID-19 冠狀病毒對策研究的大量報道引發(fā)了對充分性的擔憂的安全性。據報道，這些攻擊據稱來自俄羅斯、中國、伊朗和朝鮮，據說是通過一種稱為“密碼噴射”的方法進行的。這為為什么零信任設計對數字系統(tǒng)及其更新至關重要。

根據醫(yī)療信息管理系統(tǒng)協(xié)會 (HIMSS) 的年度調查，2019 年，超過 80% 的醫(yī)院和近三分之二的研究機構報告稱其系統(tǒng)遭到了暴力攻擊。其余的人不知道他們是否受到攻擊，更不用說受到攻擊了。2020 年的調查可能會顯示這些數字顯著上升。這是因為過時的網絡設備和糟糕的網絡安全實踐在這些組織中很常見，因此使它們特別容易受到此類攻擊。

暴力網絡攻擊眾所周知，是電視和電影中常見的情節(jié)機制。所需要的只是一個程序，該程序可以嘗試使用盡可能多的通用密碼登錄帳戶，然后再向安全性發(fā)出警告。這種單點攻擊很容易通過在三四次嘗試后鎖定一次嘗試來挫敗。但是，密碼噴灑通過針對網絡中盡可能多的帳戶，通過一次使用一個密碼直到他們獲得進入來繞過這個障礙。以這種方式找到一個密碼較弱的帳戶的可能性對攻擊者有利。

這種類型的攻擊最適用于使用聯合身份驗證協(xié)議的單點登錄 (SSO) 和基于云的應用程序，允許惡意行為者破壞身份驗證機制。一旦進入，攻擊者就會橫向移動，利用內部網絡漏洞，獲取對關鍵應用程序和敏感數據的訪問權限。

零信任是這種情況下的第一道防線，它被簡單地定義為不信任系統(tǒng)中的任何人。IT 經理可以采用的一個基本步驟是要求每隔幾個月重置一次密碼。社會保障局要求用戶每 6 個月更改一次密碼，這仍然是慷慨的。應要求網絡成員使用強密碼，越長越好，以防止密碼被輕易猜到或太常見，并且混合使用字母（大寫和小寫）、數字和符號；與個人信息無關；并且沒有字典單詞。定期的安全意識培訓也很有幫助。接下來，采用多因素身份驗證 (MFA) 是一種令人難以忍受的痛苦，但它比僅僅更改密碼更好地減少了攻擊者的機會。

如果一個組織在其網絡上有 100 個帳戶，并且 99% 的成員都遵循零信任規(guī)則，那么這樣的組織在其安全性方面取得了一定程度的成功。這很好，因為十年前的幾項研究一致表明，任何網絡上 75% 的網絡成員都不遵守這些既定規(guī)則。問題是黑客只需要一個帳戶即可進入，尤其是使用弱密碼或在多個帳戶上重復使用一串弱密碼的成員。

“每個網絡都有不同級別的安全性，”Axiado Corporation 首席執(zhí)行官 (CEO) Gopi Sirineni 說。“您擁有個人憑據，然后以虛擬專用網絡 VPN 和移動設備管理的形式獲得設備安全性。但如果一個人使用弱密碼，安全系統(tǒng)就會面臨風險。”

然而，這些被認為非常耗時且昂貴，從而使其無效。弱點在于人類的易錯性和懶惰，這支持了消除人類對安全的責任并通過自動化強制執(zhí)行的論點。

身份驗證可以通過 Keyfactor 和 Intrinsic ID 等公司的固件和服務在設備級別直接進行自動化和監(jiān)控。但是，Keyfactor 的全球客戶群中只有 500 家公司，而 Intrinsic ID 僅用于 ATM 卡等金融交易設備。用戶不太可能相信他們的設備正在使用這些技術并且可以被認為是安全的。就醫(yī)學研究領域而言，好消息是 Keyfactor 的主要客戶群。然而，即使這種方法是通用的，它也會使位于網絡核心的服務器容易受到攻擊。

在過去的三年中，關于 x86 和 ARM 內核的安全漏洞的報道有很多，而且似乎每隔幾個月就會出現新的漏洞。Sirineni 指出，黑客訪問這些服務器所需要的只是賄賂管理員將受感染的通用串行總線 (USB) 記憶棒帶入服務器機房并將其插入網絡。然后，惡意軟件可以竊取憑據并感染整個網絡數月之久，然后才被檢測到。

發(fā)現這種入侵本身是一個主要問題，因為服務器中使用的標準微處理器有許多藏身之處，包括那些設計有安全功能的地方。由于這些功能被認為是專有的，因此芯片制造商不希望任何人出于任何原因窺探設計。這使得尋找惡意軟件的取證變得如此困難。這是開源 RISC-V 平臺的一大賣點。任何人都可以隨時查看芯片固件中的內容。

SiFive 的法國子公司平臺安全總經理 Dany Nativel 指出，一個有 15 年歷史的架構在安全方面遇到了困難，因為補丁和更新使代碼越來越復雜。隨著復雜性的增加，黑客插入惡意軟件的攻擊數量也在增加。他說，必須從網絡中消除遺留系統(tǒng)，并用真正的零信任系統(tǒng)取而代之，這些系統(tǒng)具有明確的信任根，易于審計。據他介紹，RISC-V 提供了一個全新的版本，在安全運營中心 (SoC) 上運行簡化、減少和更安全的代碼。

“隨著連接設備的數量呈指數級增長，必須擁有清晰而干凈的信任根，”他強調說。“有許多公司提供第三方補丁來提高 RISC-V 的安全性，但沒有一家解決系統(tǒng)級安全問題，更重要的是，這些補丁不像 RISC-V 那樣開放。”

Nativel 說，RISC-V 已經包含物理內存保護 (PMP)，可以保護內核和在內核中運行的所有應用程序，但他承認它不能很好地跨多個內核擴展，因為您需要在兩個內核之間強制執(zhí)行相同的 PMP 配置不同的核心。

“沒有簡單的方法可以保護你的個人任務，”他說。“你需要在核心中分配一個 PMP 區(qū)域來保護每個外圍設備，而核心中沒有那么多區(qū)域。解決這些問題的關鍵是采用開放的硬件和軟件安全解決方案，這樣我們就可以擁有一個共享的安全方案。”

Axiado 同意 Nativel 的觀點，其方法基于整體 RISC-V 平臺。Axiado 不是專注于單點保護，例如設備或服務器，而是希望將其保護置于設備和服務器之間的云邊緣，以便將受感染的設備與網絡的其余部分隔離開來并防止其他部位感染

為了解決取證問題，Sirineni 表示，該公司正在開發(fā)一種“金靴”，用于防御和人工智能，可以在攻擊進入網絡之前檢測到攻擊，并評估成員的使用情況。“例如，如果系統(tǒng)檢測到某個成員突然增加了在給定時間內發(fā)送的電子郵件數量，它可以隔離該帳戶以確定它是否被黑客入侵。” Sirineni 稱之為“重新定義零信任”。

“零信任”一詞由時任 Forrester Research Inc. 分析師、現任 Palo Alto Networks 現場首席技術官 (CTO) 的 John Kindervag 于 2010 年創(chuàng)造。谷歌是第一家采用該術語的公司，稱他們已經在整個網絡中實施了該術語，我們都知道它的效果如何。這是一個行業(yè)流行語，每次在演示文稿中推出它時，我都會感到惱火，因為我們離真正能夠在任何地方實施它還差得很遠。通過互聯網的安全功能對于用戶和黑客來說太容易規(guī)避了。

Nativel 表示，SiFive 的物聯網客戶越來越接近要求嚴格的安全強化設備和系統(tǒng)，無論它對性能有何影響，但仍然無法解決遺留系統(tǒng)訪問大多數網絡的問題，尤其是在醫(yī)療行業(yè)。希望像 Axiado 這樣的公司能夠在不采取國際行動消除遺留問題的情況下執(zhí)行安全性。