如何創建安全可信的環境

在當今世界，網絡攻擊比大多數人想象的更常見，從拒絕服務 （DoS） 攻擊、惡意軟件監視個人和通過勒索軟件勒索金錢到控制嵌入式物聯網 （IoT） 設備。

防止這些是一場持續的戰斗，犯罪者使用一切手段確保他們的惡意軟件難以刪除，包括更新主板和物聯網設備上的固件。通過控制固件，惡意軟件從打開設備的那一刻起就控制了設備，并且檢測和刪除要困難得多。

電信原始設備制造商 （OEM） 需要知道他們的產品在網絡中不會被篡改，因為他們的某個設備在網絡的核心或邊緣受到損害可能會產生災難性的后果。

設備上電時，從板上的閃存設備讀取要運行（啟動）的初始軟件。這是在開發板上運行的第一個軟件，它為后續軟件設置硬件，無論是第二階段引導加載程序還是像 Linux? 這樣的操作系統。確保加載固件的真實性是系統完整性的關鍵。

一種解決方案是使用安全啟動。下面將展示Microchip WinPath網絡處理器+ WanStaX + 可信平臺模塊（TPM）如何提供安全和可信的啟動環境。

安全啟動

安全啟動需要在硬件設計中進行一些小的更改，以確保無法更改出廠時加載到設備中的第一階段固件映像。這些映像必須存儲在寫保護閃存設備或只讀存儲器 （ROM） 上。WinPath系列設備能夠從NOR閃存或通過I2C啟動，并且這兩種技術都可以進行寫保護，因此無法通過軟件更新。

NOR 閃存中的硬件寫保護扇區、寫保護 I 2 C設備、ROM 或一次性可編程 I2C 設備都可以防止在網絡中安裝固件時更新或篡改固件。

對映像進行簽名

使用標準加密工具，生成公共/私有 2048 位 RSA 密鑰對。私鑰（OEM 必須確保其保密）與 SHA-512 哈希一起使用，對將在設備上加載和執行的所有映像進行簽名（請參閱圖 1）。生成的圖像簽名將附加到原始圖像中，以便于檢測和比較。公鑰可以與任何人自由共享，并在需要時發布，因為它只能用于驗證映像是否有效運行。

圖 1：對映像進行簽名

WanStaX目前旨在生產小型（<64k）第一級引導加載程序，該引導加載程序加載到具有硬件寫保護的I2C設備中。WinPath 在硬件中配置為從此I 2C 設備啟動。此映像還包括公鑰，用于在執行之前驗證它加載的每個第二階段引導加載程序映像。

圖 2：驗證映像

驗證映像

第一階段引導加載程序將嘗試通過依次檢查每個引導加載程序的簽名來引導第二階段引導加載程序（參見圖 2）;如果未能在此映像或備份映像上提供有效的簽名，將確保調用恢復機制以通過本地管理控制臺端口下載映像，并在執行之前再次驗證任何簽名。因此，除了 OEM 簽名的映像之外，無法在硬件上加載任何映像。

啟動過程

可以通過添加受信任的平臺模塊 （TPM） 來增強安全啟動。此模塊可以提供有關引導過程的信任根的加密斷言。參見圖 3。

除其他功能外，TPM 還提供一組平臺配置寄存器 （PCR），這些是一組單向哈希（即可以添加到但無法清除的哈希）。每個哈希稱為度量。使用此構建塊，WanStaX 引導加載程序可以測量系統的可變方面（例如，閃存變量、內核參數、映像），以生成引導過程的簽名跟蹤。

由于 WanStaX 將 TPM 模塊初始化（這只能在 TPM 打開電源后完成一次）作為第一階段引導加載程序的一部分，因此已知 TPM 是安全的，其測量值是可信的。初始化后，第一階段加載器立即測量自身并將其哈希值放入第一個PCR寄存器中，從而提供引導過程的第一個加密標記。

圖3：啟動過程

當加載第二階段圖像并驗證其簽名時，將對圖像進行測量并將其添加到第二個PCR寄存器中。因此，在第二階段加載程序啟動之前，WanStaX 將測量第一級和第二階段加載程序，并將其存儲在 TPM 模塊中。

一旦 WanStaX 第二階段加載程序啟動，它將檢查活動/備份內核映像上的簽名，如果有效，它將：

測量將傳遞給內核映像的內核參數

測量存儲在閃存中的環境變量

測量要引導的內核映像

執行內核映像

此時，已經測量了系統的所有可變方面（系統用戶可以更改的任何方面），并且當與 WanStaX 內核及其內置根文件系統結合使用時，確保引導內核可以驗證是否有任何更改。使用此斷言，內核可以使用 TPM 模塊“包裝/解包”密鑰/數據。此數據可用于存儲使用 cryptoFS 裝載的安全閃存區域的密鑰。

TPM 包裝/解包使用 TPM 模塊，使用所選內部 PCR 寄存器及其內部（每個 TPM 設備唯一）主包裝密鑰（存儲根密鑰）的組合來加密/解密數據 blob。使用 TPM 模塊加密后，只能在加密它的平臺上解密加密數據的 blob。如果 Blob 足夠小，則可以存儲在 TPM 模塊本身或閃存磁盤上，以便在下次啟動時使用。

對圖像的任何更改，甚至是環境變量中的單個字符更改，都將使加密的 blob 無法打包。

結論

使用對原理圖設計的一些微小更改和添加TPM，所有WinPath設計，以WanStaX為粘合劑，可以在電信網絡中運行時提供安全和可信的平臺。Taurus的XS-3500 PCI夾層卡是用于智能電網環境的“WinPath + WanStaX + TPM”網絡加速卡實施的一個例子。

審核編輯：郭婷