|
您的服務(wù)器固件安全嗎？最好確認一下！ Microchip Technology Inc. 數據中心事業(yè)部 主管經(jīng)理 Kyle Gaede 在當今的數字世界中，數據為王。通過(guò)應用數據分析來(lái)為新產(chǎn)品或服務(wù)提供信息，組織可以獲得顯著(zhù)的競爭優(yōu)勢。此外，在5G和物聯(lián)網(wǎng)等技術(shù)的加持下，設備可以比以往更輕松地連接到互聯(lián)網(wǎng)來(lái)共享數據。這引發(fā)了新數據的爆發(fā)狂潮；研究分析公司Statista預計，到2025年，全球創(chuàng )造的數據將達到180 ZB（澤字節）。這些數據中捕獲到的豐富信息（信用卡號、社保號、專(zhuān)有IP）使其成為對黑客有吸引力的目標，隨著(zhù)數據中心收集和存儲的數據量的增長(cháng)，針對它們的網(wǎng)絡(luò )攻擊的創(chuàng )新性和復雜性也日益提高。 中央處理單元（CPU）、圖形處理單元（GPU）存儲設備和網(wǎng)絡(luò )卡中的固件是特別誘人的目標，因為作為電子系統的基本元素，如果它們遭到破壞，會(huì )更加難以檢測。長(cháng)期以來(lái)，保護這些設備中的數據免遭竊取至關(guān)重要。事實(shí)上，在最大的數據中心，這些設備現在往往會(huì )受到良好的保護。 為了尋找其他潛在的漏洞，惡意黑客在試圖攻擊數據中心時(shí)，越來(lái)越多地以服務(wù)器組件為目標。對于服務(wù)器中的許多常見(jiàn)半導體組件（例如，控制引導順序、風(fēng)扇控制和電池管理的嵌入式控制器），其固件可能會(huì )遭到破壞或被虛假固件替換，從而導致黑客可以未經(jīng)授權地訪(fǎng)問(wèn)服務(wù)器上的數據或干擾正常的服務(wù)器操作。 固件攻擊的隱匿性非常強，因為服務(wù)器組件固件在服務(wù)器的操作系統運行和任何反惡意軟件功能生效之前加載。這也會(huì )使固件攻擊難以被發(fā)現，即使被發(fā)現，也很難消除。 然而，許多公司對于固件安全的重視并不夠。在由Microsoft委托對IT和安全決策者進(jìn)行的一項調查中，受訪(fǎng)者認為固件漏洞幾乎與軟件或硬件漏洞一樣具有破壞性，但用于保護固件的安全預算不到三分之一。
企業(yè)必須認真對待數據中心的固件安全，否則會(huì )自食其果。為此，在考慮固件安全時(shí)，IT和安全團隊應關(guān)注三個(gè)因素。 建立設備真實(shí)性 服務(wù)器的主板、工作負載加速器和購買(mǎi)后安裝的附加板是由不同的供應商設計并在全球范圍內制造的。這些設備的供應鏈容易受攻擊，非法固件或硬件可以在生產(chǎn)和測試的各個(gè)階段安裝到電路板上，等待毫無(wú)戒心的客戶(hù)在服務(wù)器中安裝已遭到破壞的設備。IT團隊必須確保其添加到服務(wù)器的任何硬件都可以驗證新硬件是否按規范運行。 建立代碼真實(shí)性 數據盜竊并非遭到破壞的固件造成的惟一問(wèn)題；IP盜竊也可能影響組件制造商的盈利能力和聲譽(yù)。如前文所述，半導體通常在一個(gè)國家/地區制造，在另一個(gè)國家/地區封裝，最后在第三個(gè)國家/地區集成到系統中。 由于供應鏈中的接觸點(diǎn)如此之多，缺乏道德的承包商可以輕松復制供應商的固件，將其安裝在未經(jīng)授權的芯片上，然后在灰色市場(chǎng)上銷(xiāo)售假冒的部件。這不僅會(huì )影響原始供應商的利潤，如果假冒設備的性能低下，還可能損害他們的聲譽(yù)。 保護數據安全 加密是一種防止未經(jīng)授權訪(fǎng)問(wèn)數據的成熟方法，但新的加密威脅正在引起網(wǎng)絡(luò )安全領(lǐng)域的關(guān)注。如果應用得當，量子計算甚至可以破解最復雜的加密技術(shù)。 如今，大多數企業(yè)都在使用128位和256位加密；對于使用傳統計算技術(shù)的最堅定攻擊者而言，這樣的措施已足以保護數據。但是，量子計算能夠以呈指數級增長(cháng)的速度處理數據，對于使用傳統計算方法可能需要數十年才能破解的加密算法，量子計算可能只需要幾天就能破解。 利用HRoT和穩健的加密技術(shù)保護您的固件 值得慶幸的是，2018年，美國國家標準及技術(shù)研究所（NIST）發(fā)布了平臺固件彈性的SP 800-193指南。據NIST稱(chēng)，這些指南提供了“保護平臺免受未經(jīng)授權（固件）更改、檢測發(fā)生的未經(jīng)授權更改，并快速安全地從攻擊中恢復的安全機制。包括原始設備制造商（OEM）和組件/設備供應商在內的實(shí)施者可以使用這些指南在平臺內構建更強大的安全機制。系統管理員、安全專(zhuān)業(yè)人員和用戶(hù)可以使用這份文檔來(lái)指導未來(lái)系統的采購策略和優(yōu)先事項�！� NIST SP 800-193標準推廣使用“硬件信任根”或HRoT，以確保在啟動(dòng)過(guò)程中，加載到服務(wù)器組件中的固件在激活之前驗證為合法。當服務(wù)器啟動(dòng)時(shí)，HRoT組件是第一個(gè)上電的組件，它包含了驗證其自身固件和在HRoT激活后上電的任何組件的固件所需的加密元件。通過(guò)在服務(wù)器的嵌入式控制器中添加HRoT功能，企業(yè)不但可以在整個(gè)啟動(dòng)過(guò)程中保護服務(wù)器，甚至還可以在操作系統和反惡意軟件加載并運行之前保護服務(wù)器。 NIST也在鼓勵企業(yè)采用更先進(jìn)的加密算法。2016年，NIST在最優(yōu)秀的密碼學(xué)家之間舉辦了一場(chǎng)比賽，以開(kāi)發(fā)能夠抵御基于量子計算的攻擊的算法。比賽于去年結束，NIST宣布了四種將包含在其即將推出的后量子加密標準化項目中的新加密算法。 網(wǎng)絡(luò )安全就像是一場(chǎng)軍備競賽，一方是致力于保護計算機系統的守護者，另一方是打算破壞這些系統的攻擊者（包括犯罪分子和國家支持的黑客）。雙方都在不停地抵抗對方的進(jìn)攻。固件已經(jīng)成為這場(chǎng)持久斗爭的最新戰場(chǎng)，那些忽視在威脅評估和安全計劃中包含固件的企業(yè)將自擔風(fēng)險。 |
