a&s专业的自动化&安全生态服务平台
公众号
安全自动化

安全自动化

安防知识网

安防知识网

手机站
手机站

手机站

大安防供需平台
大安防供需平台

大安防供需平台

资讯频道横幅A1
首页 > 资讯 > 正文

芯片安全和安全芯片,英特尔暴露了芯片的后门

从“棱镜门”之后,我们总是在强调信息的安全,但是安全问题始终挥之不去,甚至于现在我们所强调的芯片安全功能也不再那么靠谱。
资讯频道文章B

  从“棱镜门”之后,我们总是在强调信息的安全,但是安全问题始终挥之不去,甚至于现在我们所强调的芯片安全功能也不再那么靠谱。

  安全到底离我们有多远。

  英特尔芯片安全缺陷凸显

  北京时间2017年11月22日,根据《财富》杂志的报道,英特尔本周承认,该公司最近数年售出的PC芯片几乎全部存在多个严重的软件安全缺陷。

  据了解,这些安全漏洞主要存在于英特尔CPU上的“管理引擎”功能,例如其全新第八代酷睿处理器系列。

  这些漏洞包括允许黑客加载并运行未授权的程序,造成系统崩溃,或者是模拟系统安全核查。最大的问题在于,这些漏洞存在于英特尔最近出售的几乎每一款主流芯片,包括2015年推出的第六代酷睿芯片和去年推出的第七代酷睿芯片。

  尽管英特尔芯片的设计用途是帮助用户运行软件程序,但这些芯片也内置了一些软件,以提供某些功能。英特尔芯片管理引擎能够提供安全功能并帮助电脑启动,但它也运行着一款名为Minix的旧操作系统。研究人员就是利用这款软件,才发现了能够欺骗英特尔芯片运行恶意代码的方法。

  从目前的情况来看,英特尔芯片所显示的问题主要是基于软件方面的,也是因为软件安全的问题才造成了芯片的安全问题。

  但是,软件是由人来设计的,总会存在一定的缺陷,软件的缺陷可以通过不断的修补来弥补,但是这只是芯片安全的一个方面。

  硬币的另一面——硬件安全

  芯片安全就如同一枚硬币,硬币的一面是软件安全,而另一面则是硬件安全。

  软件安全是由于人的疏失才造成的,可以通过软件的不断升级来补救,就如果英特尔的芯片安全缺陷问题一样,只要英特尔能够与厂商通力合作,解决这一问题只是时间问题而已。

  但是硬件问题则很难在后天补救。

  尤其是在物联网应用飞速发展的今天,由于物联网涉及到人们生活的方方面面,获取海量的涉及隐私的相关信息,如何确保物联网信息的安全问题,就必须要从软件和硬件两个方面同时做起。

  但是,往往存在着许多客观因素制约着硬件安全的改进。

  这就如果家庭的防盗功能一样,很多人都知道家庭安全的重要性,但是无论是在安装家里用的传统的门锁,还是采用指纹锁,防盗器,摄像头等等问题上,总是会囿于成本等多方面因素而最终选择放弃,因为对于消费者来说,在选择购买防盗设备的同时,就是在无形之中增加花费,而对于那些未曾遇见的盗窃,总是存在着侥幸心理,认为还由很远。

  芯片安全也是一样的道理。

  尽管芯片厂商想方设法的提供多种不同的芯片硬件安全防护手段,但是很多客户基于车根本的考量,都会在尚未遇到大量的安全问题之前,存在侥幸心理,对硬件安全问题甚至是刻意的视而不见。

  当然,也有一些客户也注重芯片的安全,但是也许是基于成本,也许是基于需求,会对硬件安全的选择做出错误的评估,从而造成没有选择适合需求的芯片。

  芯片安全与安全芯片

  在很多厂商的严重,提到芯片安全的时候,首先想到的就是安全芯片这一概念。

  从目前安全芯片的主要应用场景来看,比较热门的应用主要是智能手机。

  近年来,随着智能手机的普及,移动支付功能的出现,各种恶意程序、个人信息的盗窃随处可见,都在时时刻刻威胁着我们的安全。

  在这种趋势之下,诞生了eSE和inSE两种完全不同的安全芯片。

  其中,eSE是相对传统的解决方案,其方法就是将安全芯片植入手机,通过手机硬件芯片层面的隔离防护来保护手机的安全,但从硬件层面而言,这种分离的芯片方案更容易被破解。

  而inSE这一概念,主要由华为提出,就是将安全芯片集成到处理器当中,从而提高防备来自物理层面的攻击,以提供更高的安全性。

  以华为和荣耀的手机来看,今年旗舰荣耀V9,荣耀8,荣耀7,荣耀V8,千元旗舰畅玩6X,荣耀magic,荣耀8青春版等,都是有加密芯片模块。而这些加密芯片模块都在华为自研的芯片里面。

  这样真的足够吗?

  芯片安全问题,真的能够仅仅通过一个简单的安全芯片就解决了吗?

  显然不是。

  正如之前所说,芯片的安全需要厂商针对不同的应用提出不同安全等级的解决方案,毕竟不是所有的芯片都需要国防等级的安全芯片,家中使用的联网设备使用如此高等级的安全芯片岂不是大材小用?而且也不是一般消费者和厂商所能够接受的。

  那么要解决这一问题就需要明白芯片安全问题的解决逻辑,主要分为以下几点:

  首先,明白攻击者的目标是什么。一般来说,芯片中的数据通常被作为攻击者的主要目标。

  一方面,在一些诸如智能手机之类的典型应用当中,个人信息、密钥等安全信息必须能够以免遭非法访问的方式进行存储,这些信息对于攻击者来说都是有价值的重要信息。另一方面,控制芯片中的信息也会被作为攻击者的主要目标,以无人驾驶为例,其产生的控制信息就可能是攻击者的主要目标,通过控制和修改控制信息,攻击者不仅仅能够获取信息,甚至是能够在无形中威胁乘客的安全。

  因此,基于以上两方面的要素,芯片保护的方式可以针对存储器、CPU、总线、物理攻击、信道攻击等等不同的攻击方式。

  例如,针对CPU保护可以采取全面数据路径保护的方式,针对信道保护可以采用协处理器以及内部加密的方式。

  具体采用何种方式,需要针对不同的应用,分析关键信息所在,才能采取适当的保护措施。

  来自厂商的威胁

  然而事情远远不是如此简单,来自攻击者的威胁也不仅仅只是芯片安全的全部。

  我们还应当时刻地方芯片本身存在的后门。

  “后门”这个词很多人都不陌生。

  实际上,很多被称为后门的问题往往是芯片设计上的瑕疵。

  要知道,一个芯片由几百万个甚至几亿个晶体管构成,每个晶体管的功能和用途对于使用者来说不仅很难明晰了解,而且也不易一一检测查实。如果晶体管上存在“后门”,且使用者不易察觉,那么使用者信息安全受到的威胁显而易见。

  与操作系统不同,芯片的后门从实施层面来看是非常简单的,且危害巨大。可以说,通过芯片后门能够获取使用者的所有操作、信息。

  访问后门能够授权远程访问设备硬件。允许后门访问的被操纵的代码驻留在固件区域内。但是,在芯片中放置后门已经成为一门科学,而且充满了争议。

  究其原因在于,低成本的制造过程为错误的后门打开了风险敞口。现在全世界有数百家低成本的代工厂,很多工厂的所有权都不是很清晰。这就在整个行业内带起了一种需求,即花钱对从这些代工厂生产出来的芯片进行去层,将其网络表和原有设计的网络表进行比对。

  芯片后门才是最大的问题

  芯片被誉为国家的”工业粮食“,世界各国都纷纷将芯片作为国家重点战略来抓。

  虽然近年来,中国开始在芯片方面投入了大量的人力物力,也取得了不错的成绩,但是中国作为全球最大的芯片消费大国,很多芯片还是要以来国外进口,对于国产化来说,仅仅只能实现很少的自给程度。

  这也就意味着我国电子产品,包括计算机、家电、手机等在内的制造处于国外的控制之下,很难再打破业已形成的垄断,国内工业一旦用上“外国芯”将会形成长期依赖,在计算机、互联网以及物联网等方面继续落后。

  一个长期无”芯“的国家,只能被动地选择全球产业链的下层位置,去被动的忍受芯片安全、芯片后门的痛苦。

  总结

  英特尔PC芯片的安全缺陷一经爆出,我们瞬间觉得身边的每一台电脑都有可能遭受黑客的攻击,即便只是软件层面的缺陷,也值得我们去思考,更不用说那些难以明说,却又深深的刻在骨子里的硬件方面的威胁。

  而要真正的重视并解决芯片的安全问题,就必须要明白以下几点:

  第一,提高对于芯片安全的认知程度,对安全缺陷的威胁要有深刻的认识,才能防患于未然。

  第二,虽然软件是基于人工设计,而存在软件中的安全漏洞一般又很难发现,但是不可轻易忽视,要与发现时及时补救。

  第三,从硬件方面的芯片安全来说,其重要性要高于软件安全,也是最难以后天弥补的。无论是使用者还是厂商都应当明白芯片硬件安全的重要性,更应当针对不同的应用采取不同的解决方法,提供具有针对性的解决方案,尤其是在物联网时代来临的今天。

  最后,对于中国来说,如果在芯片领域不具有自主知识产权的核心技术,那么信息安全就如同没有地基的空中楼阁,后门问题就难以杜绝。

  而这,才是隐藏在芯片安全背后的真正黑洞!


参与评论
回复:
0/300
文明上网理性发言,评论区仅供其表达个人看法,并不表明a&s观点。
0
关于我们

a&s是国际知名展览公司——德国法兰克福展览集团旗下专业的自动化&安全生态服务平台,为智慧安防、智慧生活、智能交通、智能建筑、IT通讯&网络等从业者提供市场分析、技术资讯、方案评估、行业预测等,为读者搭建专业的行业交流平台。

免责声明:本站所使用的字体和图片文字等素材部分来源于互联网共享平台。如使用任何字体和图片文字有冒犯其版权所有方的,皆为无意。如您是字体厂商、图片文字厂商等版权方,且不允许本站使用您的字体和图片文字等素材,请联系我们,本站核实后将立即删除!任何版权方从未通知联系本站管理者停止使用,并索要赔偿或上诉法院的,均视为新型网络碰瓷及敲诈勒索,将不予任何的法律和经济赔偿!敬请谅解!
© 2020 Messe Frankfurt (Shenzhen) Co., Ltd, All rights reserved.
法兰克福展览(深圳)有限公司版权所有 粤ICP备12072668号 粤公网安备 44030402000264号
用户
反馈