物聯網擁有從傳感器和處于不同網絡中的嵌入式系統的實時數據中創造巨大價值的潛力。然而，造就高價值的同時也帶來了更高的風險。由于物聯網設備是可以經由網絡連接的，尋找在線設備的漏洞和弱點的惡意用戶可以很容易地嘗試攻擊這些眾多的設備。一旦找到進入的方法，攻擊者可以隨時讓整個網絡癱瘓。卡巴斯基實驗室基于一項全球黑客活動問卷調查的報告表明，僅2018上半年，就有超過40%的工業控制系統計算機遭受過不同程度的攻擊。

雖然服務器是主要攻擊目標，但一些簡單、看似平淡無味的嵌入式設備同樣是遭受威脅的對象。誰能想到魚缸中的電子溫控器可能會威脅到企業網絡安全呢？ 對于一個賭場而言，這是完全可能的！ 黑客通過薄弱的電子溫控器進入到核心網絡中，進而從這里截獲一個關鍵用戶數據庫的信息，直到安全分析人員在網絡日志中發現數據通過流媒體播放協議傳往芬蘭的一臺服務器，真相才水落石出。

銀行的內部網絡曾有過通過閉路電視網絡被入侵的先例（雖然閉路電視的存在改善了物理層面的安全），黑客也曾經從吸塵器的攝像頭中監控用戶的一舉一動。這些攻擊都應該被避免，從而保護核心網絡不受入侵。為了讓隨時可能發生的攻擊變得更加困難，多層安全保護是一個關鍵。

今天，黑客時常會利用開發團隊的草率決定，比如，一個常見的問題是設備時常會有一個統一的默認的遠程登錄密碼，通常這樣的密碼是為了方便物聯網設備的初始化，但最好的方式是給每一個設備設定不同的密碼。隨著設備生產商不斷提升他們的基礎安全水平，網絡犯罪者們也在升級攻擊服務器的手段。在不斷變化的環境中，嵌入式系統不能再以本身的價值低為理由而不去提升安全水平。就像上文中賭場擁有者所發現的那樣，任何物聯網設備都可能導致一個專有網絡被入侵。

如圖1所示，網絡系統可能遭遇不同類型的攻擊。舉例來說，黑客通常會利用軟件中的漏洞，如果一個設備收取了超出緩沖區大小的數據，額外的字節將會溢出到其他的數據結構中，這樣的數據結構進入到其他程序中后就可能會導致錯誤的結果或者崩潰的發生，處理器甚至可能將這些字節認為是跳轉地址進而執行錯誤的代碼。除此之外，熟悉設備內存布局的黑客可以構建特定的小程序來獲取設備的控制權，或者通過向設備發送特定的、能讓處理程序崩潰的數據達到目的。

圖1 應對多種不同攻擊的方式

一些攻擊方式著重于攻擊通信協議，而不是核心設備軟件。如果協議在壓力下發生崩潰，那么在恢復過程中攻擊者就可能會趁虛而入。如果攻擊者能夠攻破設備附近的網絡基礎設施，或者直接取得對設備的物理訪問，那么就可以偽造服務和設備見的通信。這類中間人攻擊可以用于分析從設備發送出來的數據，并取得更多的情報用于下一步的攻擊。黑客也可能試圖在設備上載入修改后的固件，一旦成功，重啟后的硬件將可以執行任何黑客希望的功能。

應對方式

系統應當能夠拒絕任何未授權方發起的通信請求，這樣設備就不會載入黑客修改過的固件，能夠忽略拒絕服務式的攻擊，自然可以避免因蠶食系統的資源造成的系統崩潰。再者，設備不會將敏感數據發送給未經驗證的服務器。即使對于設備接受的數據，系統也應該檢查數據包的長度和正確性，并拒收可能導致緩沖區溢出和包含命令注入的數據包。

不過，對于已經很龐大的代碼庫來說，在設備的固件中實現這些功能可能是不現實的，費用也極其高昂，特別是使用了許多第三方軟件的固件。更加現實的方式是，將固件分為需要高安全保障的部分以及可以被攻擊的、不會連累安全功能的部分。舉例來說，將溫度傳感器數據包裝為JSON格式并返回給手機App的例程，并不需要進行安全檢查。安全的代碼則需要在送出數據前進行身份驗證。

軟件的考量

相對于所有的代碼而言，需要全面安全強化的僅僅是一小部分。這樣的分隔必須確保沒有從不安全代碼滲透到安全代碼的后門。在上文緩存區泄露的例子中，如果攻擊者能夠將數據混入“安全的”數據中并成功偽裝成系統管理員，那么所有的保護措施都將失效。安全內存和不安全區域隔離的重要性是不可言喻的，這一任務也只能在硬件級別才能可靠地完成。

Microchip SAM L11家族的嵌入式微處理器包含基于Arm TrustZone擴展架構的安全保護硬件，以及專有的應對軟件攻擊的保護。SAM L11的硬件保護構建起的信任根能讓系統成為更加復雜的安全框架中的一環（見圖2）。

圖2 雙開發者方式

在信任根上進行的密碼學操作能夠將信任區擴展到系統的其他部分，從而在不受信任的網絡中建立安全的通信信道。內建密碼學微控制器提供產生會話密鑰、加密和解密功能，并能夠檢查來自網絡的外部消息以及內部代碼的可信性。基于密碼學的保護甚至可以檢測偽造的硬件：運行在可信區的軟件可以向設備內的電路板發出質詢，并檢查返回的結果是否有效。

為了維持信任根的可靠性，SAML11硬件使用安全啟動過程。初始啟動首先加載ROM 中的代碼，這部分代碼通過密碼學加速器來檢查其余固件的可信性，比對每一個部分的哈希值是否與廠商在出廠時設置的參考哈希值相同。當比對失敗時設備重置，安全啟動過程會再次開始。因此，即使黑客能夠修改閃存上的固件，系統也無法正常啟動，除非固件被恢復為出廠版本。

TrustZone技術

當設備成功啟動可信的固件時，SAML11上的Arm TrustZone實現確保可信和可能有害軟件間的隔離。SAM L11的Arm Cortex M23處理器上的Arm Trust-Zone代碼提供了一組安全指令集，可以確保當不可信的代碼執行訪問安全域函數調用時，系統將會進行檢查（見圖3）。Arm TrustZone技術支持安全域的創建，在不影響性能的前提下，不同的安全域會允許不同級別的存儲器、外設和面向可信軟件的I/O 訪問。Arm TrustZone技術允許安全代碼的分組和保護，這很大程度上簡化了嵌入式設備的安全評估。

圖3 Cortex-M23中斷機制

為了區分和隔離安全代碼，SAML11的存儲器被分為不同的區域。每一個區域都由硬件來保護，不受軟件攻擊影響，任何從非安全區域向安全區域的訪問，或者運行的代碼與當前的系統安全狀態不符，都會導致硬錯誤發生。在此狀況下訪問將無法成功，系統也可能會自動重啟。即使在處理中斷和調試時，這一保護措施依然存在。

如圖4所示，Arm TrustZone技術的實現維護兩個棧指針來區分安全和非安全代碼的執行，并保證中斷處理例程不會導致數據泄露。調試程序時可以通過不同的訪問級別對安全和非安全代碼進行區別對待。在非安全部分工作的開發者不能改變安全代碼或者直接訪問安全區的信息，這一機制使開發者的職責得以清楚區分，只有擁有安全資質的開發者才可以修改受保護的代碼。

圖4 安全和非安全態之間的標準交互

一般來講，編寫安全應用的開發者會提供頭文件和庫函數，以便非安全代碼做出請求，比如加密和發送一個網絡數據包。受保護的代碼會在受保護的內存區域中加載，沒有安全權限的開發者開發網絡應用時只能通過代碼庫的API訪問安全代碼。這樣安全代碼和數據就處在了一個黑盒子中。啟動時安全代碼的哈希值會被檢查，被篡改的安全代碼會導致啟動失敗。SAM L11的可信安全啟動過程使得這樣的檢查成為可能。舉例來說，通過指針指向不正確的內存位置會導致錯誤發生。

外設也可以被設置為安全或者不安全，僅由被授權的軟件訪問和控制對應的設備。至于向兩個區域同時提供服務的外設，對于它們的訪問可以用類似安全函數的方式進行管理。不安全的代碼可以通過安全代碼開發者提供的API訪問這類設備。這確保只有被授權的、可以檢測惡意訪問的代碼才能夠直接訪問外設。

舉例來說，不可信的代碼可以讀取一個計數器的當前數值，但并不能進行重置。微處理器訪問外設和子系統時，必須驗證芯片密鑰存儲器中相應的數字證書和獲得數據的哈希值。這一機制保護系統不受單個被攻陷的設備影響，也幫助生產商確保設備不會被用于仿制的系統中。即使黑客能夠篡改用于密鑰存儲的256字節的存儲器區域，SAML11也能夠檢測到這樣的行為并將密鑰和數據清零。

SAM L11的安全機制覆蓋從Arm TrustZone的隔離技術到存儲器物理安全等不同方面。這些機制幫助OEM在嵌入式設備中構建整個系統安全，確保對應的應用不會成為物聯網中的安全薄弱環節。

責任編輯：ct