根據(jù) Gartner 的數(shù)據(jù)，到 2020 年底，到 2025 年底將有 750 億臺(tái)物聯(lián)網(wǎng)設(shè)備在使用中。構(gòu)建安全的物聯(lián)網(wǎng)設(shè)備跟不上惡意軟件的增長速度。盡管身份驗(yàn)證是任何安全范例的基本組成部分，但它還遠(yuǎn)遠(yuǎn)不夠。

半導(dǎo)體工程界終于意識(shí)到，這種數(shù)字安全可能比保護(hù)專利更重要。不幸的是，沒有足夠的工程師對(duì)此做點(diǎn)什么，他們構(gòu)建數(shù)字技術(shù)的速度比他們弄清楚如何使其安全的速度更快。

沒有一家公司在圣克拉拉的 DesignCon 上展示他們對(duì)安全設(shè)計(jì)的貢獻(xiàn)，可能是因?yàn)樗麄兌疾皇恰Ｕ箷?huì)組織者確實(shí)請(qǐng)來了硅谷芯片設(shè)計(jì)大師 Warren Savage 就該主題發(fā)表了主題演講。Savage 目前是馬里蘭大學(xué) DARPA 情報(bào)和安全領(lǐng)域項(xiàng)目的訪問研究員，在他一年的工作中，他開始相信硅谷的工程師和他們的公司對(duì)情況有多糟糕完全一無所知。

“工作不久后肯定有一個(gè) OMG 時(shí)刻，我說，‘我不知道多少，’”他承認(rèn)?！拔覀冋谠O(shè)計(jì)和構(gòu)建技術(shù)，我們并不認(rèn)為有人可能正在想辦法破解它。對(duì)我來說，這完全是一個(gè)盲點(diǎn)?！?/p>

Savage 在主題演講中表示，電子產(chǎn)品面臨的最大安全威脅是在供應(yīng)鏈中，那里有數(shù)十個(gè)潛在的攻擊機(jī)。從設(shè)計(jì)芯片的無晶圓半導(dǎo)體公司開始，經(jīng)過掩模制備和代工廠，一直到最終的分銷點(diǎn)。硬件或軟件惡意軟件可以插入鏈中的任何位置。他的幻燈片甚至展示了最終客戶如何在軟件和硬件中插入惡意軟件，然后將其退回給分銷商，分銷商會(huì)將其“翻新”并連同惡意軟件一起發(fā)送給另一位尋求交易的客戶。

少數(shù)幾家公司提供了部分解決方案，主要是在身份驗(yàn)證領(lǐng)域，最著名的是 Akamai、Okta、AT&T 和 Microsoft。所有這些解決方案都是基于軟件的?！拔覀兛梢杂密浖迯?fù)它”，幾十年來一直是硬件工程師的口頭禪。但對(duì)于數(shù)字安全來說，這個(gè)概念是失敗的。

“軟件可以被復(fù)制、逆向工程和更改，” Intrinsic ID的首席執(zhí)行官 Pim Tuyls 說，這是一家快速發(fā)展的公司，提供基于硬件的身份驗(yàn)證解決方案。Tuyls 說，真正驗(yàn)證數(shù)據(jù)的唯一方法是使用硬件基礎(chǔ)?！八型ㄟ^軟件做這件事的公司都可以補(bǔ)充我們的技術(shù)，但他們并沒有真正與我們做的事情競爭。如果您在硬件中正確地進(jìn)行安全保護(hù)，您將大大減少惡意軟件的問題，并且您將擁有更強(qiáng)大的基礎(chǔ)來將安全性構(gòu)建到系統(tǒng)中?！?/p>

Intrinsic ID 技術(shù)可以對(duì)進(jìn)入數(shù)據(jù)系統(tǒng)的用戶進(jìn)行身份驗(yàn)證，并可以阻止未經(jīng)授權(quán)的用戶嘗試插入惡意軟件。迄今為止，該技術(shù)已用于超過 2 億臺(tái)設(shè)備：亞洲的信用卡/借記卡以及用于軍事和政府系統(tǒng)的 FPGA。該客戶群在過去一年中增長了四倍。但是，有一個(gè)問題。投入使用的設(shè)備數(shù)量增長速度快于使用 Intrinsic ID 技術(shù)的設(shè)備。

根據(jù) Gartner 的數(shù)據(jù)，到 2020 年底，將有 50 億臺(tái)工業(yè)物聯(lián)網(wǎng)設(shè)備投入使用，到 2025 年底將達(dá)到 750 億臺(tái)。構(gòu)建安全的物聯(lián)網(wǎng)設(shè)備跟不上惡意軟件的增長速度。盡管身份驗(yàn)證是任何安全范例的基本組成部分，但它還遠(yuǎn)遠(yuǎn)不夠。

在技術(shù)方面，Savage 指出，受惡意軟件感染的 USB 設(shè)備可以輕松繞過大多數(shù)安全保護(hù)措施。

Savage 在他的主題演講中表示，DesignCon 的至少一名工程師帶著拇指驅(qū)動(dòng)器上的惡意軟件四處走動(dòng)?？勺匪莸?2016 年的多項(xiàng)研究表明，在地面上發(fā)現(xiàn) USB 驅(qū)動(dòng)器的人中，多達(dá)一半的人稍后會(huì)在自己的計(jì)算機(jī)上使用它，這可能會(huì)感染惡意軟件

Savage 提倡在全行業(yè)范圍內(nèi)采用“安全設(shè)計(jì)”范式，而不僅僅是保護(hù)單個(gè)設(shè)備和修補(bǔ)軟件。這就是 Savage 在馬里蘭大學(xué)工作的核心原因。

Savage 表示，自 2012 年以來，了解安全的人都知道沒有安全的硬件。他說，他所知道的每一所主要大學(xué)，包括馬里蘭大學(xué)，都有專注于破壞安全保護(hù)的研究項(xiàng)目。“唯一的答案是將攻擊成本提高到不再可行的程度?！?/p>

與此同時(shí)，工程界需要一個(gè)真正的警鐘，開始將安全性置于產(chǎn)品設(shè)計(jì)的最前沿。

我的Crucial Tech播客上提供了對(duì) Tulys 的完整采訪。隨時(shí)歡迎您提出問題和意見。

?

供應(yīng)鏈為物聯(lián)網(wǎng)惡意軟件提供多種攻擊面