|
Microchip Technology Inc. FPGA業(yè)務(wù)部 技術(shù)主管 Tim Morin 什么情況下網(wǎng)絡(luò )安全問(wèn)題會(huì )變成物理安全問(wèn)題？換句話(huà)說(shuō)，什么情況下半導體必須具有內置篡改檢測器？ 在廣泛的非國防市場(chǎng)，有些人認為網(wǎng)絡(luò )安全完全可以滿(mǎn)足他們的需求。畢竟，他們設置了柵欄、大門(mén)、警衛、攝像頭和防火墻，并且由他們自己的員工來(lái)制造和/或生產(chǎn)自己的系統，從而實(shí)現了“物理”安全。這可能就足夠了。但大家捫心自問(wèn)，在什么條件下任何人（可能是員工）都可以訪(fǎng)問(wèn)一臺設備，他們的哪些做法可使設備所具備的功能被利用或被秘密提��？ 這勢必需要公司回答以下問(wèn)題：我的供應鏈管理是否安全？設備或貨物是否曾“丟失”？設備如何停用？誰(shuí)負責維修設備，設備如何升級？“誰(shuí)可以在設備的使用壽命期間訪(fǎng)問(wèn)該設備，他們可以如何處理該設備？”這些問(wèn)題的答案將有助于推動(dòng)組織的決策過(guò)程。 下面是需要考慮的關(guān)鍵安全主題： 生產(chǎn)（制造印刷電路板）、配置和測試 • 在任何非易失性器件的編程過(guò)程中，公司是否使用了經(jīng)過(guò)哈希運算且已簽名的映像？是否存在記錄已配置內容、已配置的電路板數量以及未通過(guò)出廠(chǎng)測試的電路板數量的可審核日志？這些日志是否經(jīng)過(guò)哈希運算且已簽名？ • 是否禁止了調試端口？ 發(fā)貨給客戶(hù) • 組織能否對發(fā)貨件數與客戶(hù)收到的件數進(jìn)行核對？大多數客戶(hù)會(huì )立即說(shuō)“嘿，少了一件！”。但是，如果客戶(hù)因為某種原因丟失了一件，該怎么辦？這家公司不得不假定有一件設備流落在外。 • 公司及其客戶(hù)能否驗證交付設備的完整性？他們能否驗證設備在運輸過(guò)程中未遭到篡改？ 已部署設備 • 設備上是否有防篡改密封？ • 是否只允許獲得授權的技術(shù)人員維修設備？ • 是否允許遠程更新？ o 如果允許，經(jīng)過(guò)驗證后，這些映像是否是完整的和真實(shí)的？ o 是否有適當的機制來(lái)防止回滾？ • 設備停用時(shí)是否執行零值化？是否使其無(wú)法操作？是否將其銷(xiāo)毀？ 如果對上述任何一個(gè)問(wèn)題的回答都是“否”，那么組織應該認真考慮內置防篡改對策的半導體，這樣他們便可根據設備在其生命周期內可能出現的風(fēng)險情況為其量身定制篡改響應。例如，FPGA產(chǎn)品應該具有可用于定制威脅響應的多種防篡改功能（圖1）。示例包括： • 足夠數量的數字篡改標志 • 多個(gè)模擬窗口電壓檢測器，可為您提供每個(gè)關(guān)鍵電源（Vdd、Vdd18和Vdda25）的高/低跳變點(diǎn) • 數字窗口溫度，可為您提供高/低管芯溫度 • 來(lái)自?xún)戎脺囟葯z測器的原始電壓和溫度值 • 系統控制器慢速時(shí)鐘，用于指示系統控制器的欠壓條件 • 數字總線(xiàn)（至少5位），用于指示器件復位源（已觸發(fā)DEVRST引腳、篡改宏輸入、系統控制器看門(mén)狗和安全鎖定篡改檢測器，以及任何其他復位） 
圖1. Microchip PolarFire FPGA和PolarFire SoC FPGA器件的設計和數據安全屬性 篡改檢測和響應 在對FPGA設計的篡改宏進(jìn)行實(shí)例化時(shí)，應該可以使用多種類(lèi)型的篡改標志。每個(gè)標志都有自己的用途：
響應與檢測同等重要。如果在單個(gè)事件、一系列事件或其中的任何事件組合發(fā)生期間，公司決定因未經(jīng)授權的篡改而采取行動(dòng)，則隨著(zhù)時(shí)間的推移，應針對事件對響應進(jìn)行調整�；蛘�，組織可以打擊違例行為，強化安全部分。示例包括： IO禁止 禁止所有用戶(hù)IO。將IO重置為由其SEU抗擾配置位定義的狀態(tài)。專(zhuān)用（JTAG、SPI和XCVR等）IO或未通過(guò)配置位配置的IO除外。只要將IO_DISABLE置為有效，即會(huì )禁止IO。 安全鎖定 所有用戶(hù)鎖都設置為其鎖定狀態(tài)。 復位 向系統控制器發(fā)送復位信號以開(kāi)始掉電和上電周期。 零值化 將任何或所有配置存儲元件清零并進(jìn)行驗證。將內部易失性存儲器（例如LSRAM、uSRAM和系統控制器RAM）清零并進(jìn)行驗證。零值化完成后，可以使用JTAG/SPI從指令檢索零值化證書(shū)，以確認零值化過(guò)程成功。如果使能系統控制器掛起模式，則此篡改響應不可用。用戶(hù)可以選擇在零值化后進(jìn)入兩種不同的狀態(tài)： • 出廠(chǎng)狀態(tài)——器件恢復到交付前的狀態(tài)。 • 不可恢復。甚至公司也無(wú)法訪(fǎng)問(wèn)器件的內部。 零值化完成后，可以通過(guò)專(zhuān)用JTAG/SPI端口導出零值化證書(shū)，向外部實(shí)體保證器件確實(shí)已執行零值化。 在當今競爭激烈的環(huán)境中，網(wǎng)絡(luò )安全還遠遠不夠。公司制造的設備有可能會(huì )落入其競爭對手和危險分子的手中。半導體產(chǎn)品必須具有各種內置的防篡改功能，組織可以利用這些功能來(lái)定制其對這些威脅的響應。如需了解更多信息，請訪(fǎng)問(wèn)https://www.microchip.com/en-us/products/fpgas-and-plds |
