广告

全球芯片漏洞频出,硬件BOM助力数据安全

产品的安全性取决于它最薄弱的组件,如果不了解产品基本功能之外的成分细节,组织就无法承担集成技术的成本。虽然这些成分可能无害,但它们也可能为攻击者打开“大门”。

如果你是严重过敏体质,就不能随便吃任何食物。在进食前,你首先得清楚食物的成分,不知道成分的食物不应该被你进食。2ZZesmc

无论是个人消费者,还是企业消费者,他们对电子产品的态度基本一致——他们在购买汽车、医疗设备、关键基础设施等电子产品时,很少有人/组织清楚所购买产品的组成部分,更不用说知晓这些产品是否存在安全风险。2ZZesmc

我们经常会忘记所有软件都是在硬件上运行的,Marc Andreessen是最早意识到“软件正在吞噬世界”的人之一。硬件复杂性的增长速度与软件代码规模的增长速度相似。如今,半导体制造商开发出非常多的定制芯片,很多这类芯片内置了硬件安全支持功能,从而也带来了更多的安全风险。2ZZesmc

归根结底,产品的安全性取决于它最薄弱的组件,如果不了解产品基本功能之外的成分细节,组织就无法承担集成技术的成本。虽然这些成分可能无害,但它们也可能为攻击者打开“大门”。我们需要像关心食物一样关注电子产品,要了解它由什么组成以及它的成分有多安全。2ZZesmc

硬件芯片漏洞也能被远程利用

对于食物,消费者已经养成了阅读配料表或询问食物成分的习惯。这当然不是一个完美的世界,但配料表的透明度引导消费者选择适合自己的产品,问责制则推动更好的质量体系。2ZZesmc

同样地,在制造业中,“物料清单(BOM)”是一个众所周知的概念,它提供了构建产品所需的原材料、组件和零部件的清单和数量信息。在软件方面,以“软件物料清单(SBOM)”的形式对该清单进行了安全细节补充(SBOM是指包含构建软件中使用的各种组件的详细信息和供应链关系的正式记录)。2ZZesmc

有时候,90%-95%的软件应用程序是由用户从未意识到的开源组件构建的。SBOM不仅会告诉您软件应用程序中有哪些组件,还会告诉您这些组件是否是最新版本,以及其中是否存在已知的安全漏洞,这可能使整个应用程序容易受到网络攻击。2ZZesmc

去年,美国联邦政府出台《关于改善国家网络安全的行政命令》后,SBOM获得了更多的支持。它要求所有软件供应商向联邦政府提供SBOM信息,以便政府机构清楚他们所使用软件的各种组件详细信息和供应链关系。一旦出现新的安全问题,例如远程攻击的漏洞,政府机构可以通过SBOM快速做出反应。2ZZesmc

与软件不同的是,自2017年发现“幽灵(Spectre) ”和“熔毁(Meltdown) ”漏洞后,直到最近硬件安全问题才得到更多关注。在此之前,人们普遍认为,如果没有物理访问权限,黑客是无法攻击芯片的。现在我们知道,硬件的安全设计缺陷,有时也能被远程利用。2ZZesmc

例如,远程执行的非特权软件应用程序,可以利用特定的硬件漏洞,来提取机密或劫持系统的控制权。此外,这类攻击可以自动进行,并可能针对包括易受攻击的硬件在内的所有产品,使攻击更具可扩展性和影响力。更糟糕的是,芯片一旦被部署,就不可能或很难修复硬件漏洞。2ZZesmc

可远程利用的硬件漏洞最近才受到更多关注,它并没有像软件漏洞那样受到重视。随着越来越多公司意识到风险,我们仍在很大程度上处于学习阶段。2ZZesmc

硬件材料清单(HBOM)提供了关于硬件组件安全的详细信息,包括其安全性验证,可以补充SBOM,揭示任何电子产品的安全性状况。SBOM和HBOM的结合,可以提供产品的整体视图,允许组织在其生命周期内跟踪成分,并在硬件或软件中发现漏洞时支持更快的行动。2ZZesmc

硬件BOM需要显示的安全信息

HBOM的基础是相当于采用SBOM的方法,来记录和跟踪硬件安全漏洞,例如最近发现的苹果M1芯片中的Augury漏洞。了解哪些硅版本易受攻击,了解哪些产品使用受影响的芯片,可以更好地指导如何评估业务风险,以及了解哪些产品需要安全更新。2ZZesmc

然而,我们应该进一步研究HBOM的内容,并包括演示在规划、开发和验证硬件组件期间如何考虑安全性的构件。披露的信息越多,HBOM在判断产品安全性和发现漏洞时的驱动行为方面就越有价值。示例包括:2ZZesmc

  • 安全特性和验证要求记录了产品规划阶段的安全意图;
  • 设计中考虑的威胁模型,包括潜在攻击向量和假想攻击者的能力;
  • 集成的安全设计组件和保护机制,以应对潜在的攻击;
  • 第三方和内部开发的IP块及其安全态势;
  • 应用安全验证方法并详细记录结果;
  • 应用标准编制,如通用弱点列举(CWE™)或ISO标准,如ISO/SAE 21434(道路车辆网络安全工程)、ISO/IEC 19790(密码模块的安全要求)或ISO/IEC 15408(通用标准);
  • 任何应用的安全认证及其文档。

当然,HBOM可能不是一个绝佳的妙计。但它们可以建立一种透明度,允许在产品设计、支持和维护期间做出明智的决策,并对任何安全事件作出响应。结合采用新兴的产品安全标准,HBOM可以帮助我们实现更高级别的可见性、保障和安全性。2ZZesmc

本文翻译自国际电子商情姊妹刊EE times us,原文标题:Hardware Bill of Materials: Essential in Electronics as Ingredients are to Food2ZZesmc

责编:Clover.li
本文为国际电子商情原创文章,未经授权禁止转载。请尊重知识产权,违者本司保留追究责任的权利。
  • 微信扫一扫,一键转发

  • 关注“国际电子商情” 微信公众号

  • 任正非:要把活下来作为主要纲领 收缩汽车业务战线

    国际电子商情24日讯 8月22日,华为内部论坛上线了一篇由华为创始人任正非签发的题为《整个公司的经营方针要从追求规模转向追求利润和现金流》文章。任正非在文内提到,全球消费能力下降的情况,华为应改变思路和经营方针,从追求规模转向追求利润和现金流,保证渡过未来三年的危机。

  • 美商务部再将7家中国相关实体列入出口管制清单

    国际电子商情24日讯 当地时间周二,美国商务部再以“国家安全”和外交政策问题为由,将中国电科43所、58所等7家中国相关实体(主要与航空航天有关)添加到其出口管制清单...

  • 今年全球半导体资本支出将达1855亿美元,同比增21%

    国际电子商情23日讯 市调机构今日下调了其2022年全球半导体资本支出预测,预计今年增长21%,达到1855亿美元。这与今年年初预测的1904亿美元和增长24%相比有所减少。尽管有所下调,但修正后的资本支出预测仍代表着支出的新高水平...

  • 苹果前员工窃密跳槽或面临10年监禁 小鹏汽车:这锅我

    国际电子商情23日讯 据外媒报道,苹果四年前起诉前工程师张某涉嫌窃商业秘密案件有了新进展。一份法庭文件显示,张某在当地时间周一已在美国加州圣何塞联邦法院就这项刑事指控认罪...

  • 亚马逊云科技:云计算赋能企业数字化转型,推进芯片设计产

    近年来,EDA上云已经成为半导体行业的共识,业内也涌现了一批可提供云端EDA设计方案的供应商,亚马逊云科技作为其中的佼佼者,已经与全球主要的EDA厂家建立起密切的合作,其方案也得到了晶圆制造厂的安全认证。

  • Q2全球笔记本电脑出货量同比下降15%

    国际电子商情讯 市调机构日前指出,在通货膨胀限制家庭预算、企业面临经济挑战的影响下,笔记本电脑市场开始进入新常态。

  • 紧跟时代发展,芯片企业赋能万物互联应用

    “在5G+AIoT技术的推动下,5G终端、5G基站、自动驾驶/新能源汽车、智能工业、智能穿戴、智慧家庭/城市、健康医疗、教育/工作/娱乐等核心应用及终端产品相继落地,这些细分市场的规模值得关注。”

  • 无线音频技术“三级跳”,让高品质声音如影随“行”

    “音频的发展一直在变化,1877年爱迪生发明留声机,20世纪60年代出现卡带机,1982年索尼公司推出CD机,2001年苹果公司推出iPod……从1877年到2001年,在这上百余年时间里,音频产品的发展主要围绕不同存储介质,以及模拟音频到数字音频的转换。”

  • 韩外长确认韩国将参与“芯片四方联盟”预备会议

    国际电子商情19日讯 韩国外交部长朴振18日证实,预计即将参加“芯片四方联盟”(Chip 4)预备会议。由于忌惮中国大陆芯片产业迅速发展,今年3月,美国向韩国、日本、中国台湾地区3个主要芯片制造商所在地提议组成Chip 4...

  • 新冠疫情后,射频前端发展现状及趋势有何变化?

    新冠疫情已经进入到第三年,目前消费电子产品需求趋于低迷,供应链已经出现库存积压的情况。即便如此,市场依然看好射频前端的发展。

  • 楷领科技:EDA上云,为芯片开发提供无限扩张的算力资源

    中国IC设计产业正迎来难得的历史性发展机遇。2018年,IC设计业销售为2579亿人民币;至2020年,IC设计业销售额已达3819亿。2020年国务院发布中国芯片自给率要自2019年30%左右达到2025年70%水平。此外,国际环境的不确定性对国际芯片供应链造成的风险和压力也为国内IC设计企业提供了绝佳的市场机遇。

  • 侠为电子:供应链稳定是“命脉”,板级EDA软件大有可为

    2022年8月将成为国产EDA产业的发展拐点。一方面,由于国际贸易政策变化,国产EDA备受国人关注,为产业发展开拓更大空间。另一方面,当月两只本土EDA公司接连上市,同时EDA概念股走势喜人,为产业加速发展注入“强心剂”。同时,多款国产EDA新品陆续发布,赋能数字产业“芯”动力。

近期热点

广告
广告

EE直播间

更多>>

在线研讨会

更多>>