嵌入式系統(tǒng)安全性(上)

　　在這個(gè)分類中，攻擊者可以利用很多途徑，包括命名很有創(chuàng)意性的攻擊狀況，如“Smurf攻擊”。這個(gè)攻擊利用配置不好的網(wǎng)絡(luò)，這種網(wǎng)絡(luò)將對(duì)查詢IP廣播地址的“Ping”要求作出回應(yīng)。這種情況下的“ping”操作，可以誘騙受害人返回其地址。這些網(wǎng)絡(luò)就變成了“Smurf 放大器”，產(chǎn)生大量針對(duì)受害者的通信流量。這種攻擊并不是什么新鮮招數(shù)。對(duì)系統(tǒng)管理員來(lái)說(shuō)，配置他們的網(wǎng)絡(luò)以拒絕“ping”對(duì)廣播地址的請(qǐng)求且不轉(zhuǎn)移這類信息包，是一件相當(dāng)簡(jiǎn)單的事情。雖然這種方法不再是一個(gè)活躍的威脅，但很好地說(shuō)明了DoS的共同特征，或者，更準(zhǔn)確的說(shuō)，是分布拒絕式服務(wù)(DDOS)攻擊：利用共同的系統(tǒng)特征的漏洞，劫持大量無(wú)辜的器件，來(lái)放大攻擊所產(chǎn)生的影響，和對(duì)目標(biāo)系統(tǒng)的防護(hù)措施的破壞力。

　　在當(dāng)前出現(xiàn)的多種攻擊方法中，惡意軟件的分布式攻擊方法已演變?yōu)榘ǜ呒?jí)的軟件機(jī)器人或定位于以前所破解的系統(tǒng)中的“bots(木馬)”。這些bot被拴綁在團(tuán)塊或“botnet(僵尸網(wǎng)絡(luò))”上，協(xié)同形成實(shí)際DDOS的攻擊。

從體系架構(gòu)的角度解決安全性問(wèn)題

　　既然我們已經(jīng)描述了一些主要的攻擊特征及策略，我們將開(kāi)發(fā)一些設(shè)計(jì)系統(tǒng)所需要的元件，使得這些系統(tǒng)即使不具有刀槍不入的能力，也至少高度安全并具有抵御黑客的能力。

　　在需要DMA控制器的系統(tǒng)中，保護(hù)程序免受攻擊的策略包括：將DMA控制器置于防火墻或虛擬層之后，并確保所有接口都內(nèi)置于SOC內(nèi)部。如果除了將存儲(chǔ)器置于SOC外部別無(wú)選擇，那么就應(yīng)該考慮對(duì)與存儲(chǔ)器間的數(shù)據(jù)傳輸使用加密方案。這不會(huì)保護(hù)系統(tǒng)不受之前討論的所謂“重放攻擊”，但確實(shí)會(huì)使系統(tǒng)免受較低級(jí)別的攻擊。

　　一般來(lái)說(shuō)，從安全角度看外部存儲(chǔ)器總線是應(yīng)該避免的。如果片上資源有限，設(shè)計(jì)者就會(huì)被驅(qū)使使用外部存儲(chǔ)器，這時(shí)控制哪些東西可以從芯片取出以及提供何人在探測(cè)總線者的線索就變得很重要了。設(shè)計(jì)者應(yīng)該保證芯片上保存有盡可能多的系統(tǒng)關(guān)鍵信息，這樣，黑客的探查即使不是完全不可能，至少也變得極為困難。

　　在某些導(dǎo)入碼會(huì)被破壞的情況下，比如當(dāng)ROM或者OTP存儲(chǔ)器不能使用時(shí)，一個(gè)防衛(wèi)措施是產(chǎn)生一個(gè)安全引導(dǎo)載入器。這種機(jī)制涉及硬件與軟件，創(chuàng)造了一個(gè)進(jìn)程，在導(dǎo)入序列繼續(xù)執(zhí)行時(shí)，系統(tǒng)BIOS可以利用該進(jìn)程來(lái)進(jìn)行加密標(biāo)記及驗(yàn)證。這保證了當(dāng)引導(dǎo)序列將控制權(quán)交給操作系統(tǒng)時(shí)，機(jī)器正處于設(shè)計(jì)者想要的狀態(tài)。
　　然而，雖然引導(dǎo)過(guò)程得到完全的保護(hù)，一旦系統(tǒng)完全引導(dǎo)完畢，運(yùn)行時(shí)間映像仍然可能被攻擊。IBM已經(jīng)進(jìn)一步拓寬了這一概念， 在BE處理單元中提供一個(gè)運(yùn)行時(shí)間信令能力，由此增加了額外的器件安全防護(hù)層4。

　　如果設(shè)計(jì)者選擇讓交付用戶的產(chǎn)品的調(diào)試端口保持激活狀態(tài)，純粹從安全角度看，很顯然這是不被推薦的做法；那么應(yīng)考慮對(duì)JTAG的訪問(wèn)也給予和系統(tǒng)其他部分的保護(hù)程度相同的保護(hù)措施?？梢灾萌胩魬?zhàn)/響應(yīng)機(jī)制，為某一特殊通路建立圍墻保護(hù)，同時(shí)已經(jīng)提出了一種高級(jí)的解決方案，它將對(duì)內(nèi)部資源的訪問(wèn)劃分為不同等級(jí)，這種方案基于與內(nèi)部處理器分離的訪問(wèn)管理器，并與外部安全服務(wù)器接口，以管理密鑰以及對(duì)測(cè)試設(shè)備訪問(wèn)5。

　　同樣的策略，使用一個(gè)分立的安全處理器來(lái)控制系統(tǒng)內(nèi)的其他處理器對(duì)系統(tǒng)資源的訪問(wèn)，可以在多處理器SOC中廣泛應(yīng)用；在這些應(yīng)用中，被保護(hù)的資源的屬性決定了額外的花費(fèi)和復(fù)雜度是合理的，比如機(jī)頂盒。

　　將集成電路的包裝去除的情況下，使它運(yùn)行并用探針進(jìn)行探查，并不是獲得某人的iTunes密碼的合適的方法。然而，對(duì)系統(tǒng)的成功破解如果真正造成了巨大的經(jīng)濟(jì)損失，比如攻擊一個(gè)銷售點(diǎn)終端或敏感軍事政府設(shè)備，這個(gè)攻擊必然是高度復(fù)雜的，而且其攻擊必須得到大量的資金支持。

為了避免這種情況，可以在敏感電子器件外覆蓋極其精細(xì)的、能檢測(cè)侵入的網(wǎng)格。當(dāng)一個(gè)芯片電路確定被侵入時(shí)，敏感數(shù)據(jù)，如秘鑰、安全引導(dǎo)映像、根管理程序等就會(huì)自動(dòng)被銷毀，器件將無(wú)法工作。

　　加固客戶系統(tǒng)和網(wǎng)絡(luò)以抵抗DoS攻擊的策略，包括各種基于協(xié)議的、能賦予合法的或已授權(quán)傳送超出背景或攻擊性傳送的優(yōu)先級(jí)別的方法。其中比較好的一個(gè)例子是“快速傳遞協(xié)議”6。

　　快速傳遞協(xié)議為用戶提供了加密的可用性令牌。用戶信息以一個(gè)設(shè)定信息包開(kāi)頭，信息包中含有提供給下游程序的認(rèn)證信息。當(dāng)設(shè)定信息包經(jīng)過(guò)驗(yàn)證后， 信息包中的其他信息以高優(yōu)先級(jí)按鏈條模式穿過(guò)通道。含有未經(jīng)驗(yàn)證的令牌的信息，則在時(shí)間以及帶寬允許的情況下得到處理。
大多數(shù)的操作系統(tǒng)都內(nèi)置有一定程度的安全設(shè)置。內(nèi)置安全設(shè)置的成熟性以及集成性是廣受爭(zhēng)議的論題，不過(guò)一般來(lái)說(shuō)，加載貫徹了安全思想的Linux，如SE Linux(源于NSA的Linux派生發(fā)布)，從安全角度看被認(rèn)為是很強(qiáng)壯的系統(tǒng)(http://selinux.sourceforge.net/。SE Linux包含有一套豐富的訪問(wèn)控制集，它允許系統(tǒng)被分化為眾多細(xì)密的安全區(qū)。過(guò)去的“用戶——群——外界環(huán)境”分類被擴(kuò)展為包含了無(wú)數(shù)額外的、可用來(lái)創(chuàng)造極其成熟的安全政策的類型。其思想是：例如，如果一個(gè)系統(tǒng)驅(qū)動(dòng)器被破解并嘗試訪問(wèn)驅(qū)動(dòng)器權(quán)限范圍外的資源，操作系統(tǒng)將拒絕訪問(wèn)、并產(chǎn)生異議。

　　這些機(jī)制很重要，但從整個(gè)系統(tǒng)結(jié)構(gòu)角度來(lái)看，它們忽略了一個(gè)重要方面——“攻擊表面”仍然很大。仍然需要對(duì)操作系統(tǒng)及其附帶的服務(wù)進(jìn)行分析，以查找出任何可能忽略的易受攻擊的弱點(diǎn)進(jìn)行分析，而且開(kāi)發(fā)者是人，因此這些弱點(diǎn)終將被找到。集成在任意給定的操作系統(tǒng)中的安全設(shè)置只是安全難題中的一項(xiàng)。

參考文獻(xiàn)：
1. Charlie Miller, Jake Honoroff, Joshua Mason. Security Evaluation of Apple's iPhone (Independent Security Evaluators White paper, July 19, 2007). http://www.securityevaluators.com/iphone/exploitingiphone.pdf
2. David Brumley, Dan Boneh. Remote Timing Attacks Are Practical (Usenix Security Symposium 2003). http://crypto.stanford.edu/~dabo/papers/ssl-timing.pdf
3. Craig A. Huegen. The Latest in Denial of Service Attacks: "Smurfing" Description and Information to Minimize Effects (Feb 8, 2000). http://www.pentics.net/denial-of-service/presentations/19971027_smurf_files/frame.htm