1956
長(zhǎng)期以來(lái)，大多數(shù)IoT/嵌入式系統(tǒng)廠商從未將在安全領(lǐng)域的投入作為優(yōu)先事項(xiàng)。他們的理由是：為什么要為小概率事件花費(fèi)資金？然而，隨著一系列網(wǎng)絡(luò)安全法規(guī)的逼近，這種疏忽將成為一個(gè)危險(xiǎn)的選擇。
BG Networks的CEO兼聯(lián)合創(chuàng)始人Colin Duggan最近表示：“網(wǎng)絡(luò)安全并不能幫助推銷IoT產(chǎn)品?！彼a(bǔ)充說(shuō)，讓公司承諾IoT的網(wǎng)絡(luò)安全“比聽起來(lái)要困難得多?！?/p>
盡管不安全的連接系統(tǒng)已經(jīng)造成了嚴(yán)重的損害，但這一觀點(diǎn)一直成立。
一個(gè)著名的例子，據(jù)報(bào)道是由俄羅斯發(fā)起的攻擊，使得Colonial輸油管道在2021年癱瘓。那次黑客攻擊導(dǎo)致美國(guó)東海岸的燃料短缺，是美國(guó)石油基礎(chǔ)設(shè)施目標(biāo)受到的最大網(wǎng)絡(luò)攻擊。
Colonial輸油管道的勒索軟件攻擊是由于一個(gè)被攻破的密碼引發(fā)的。輸油管道上可能發(fā)生的事在日常IoT設(shè)備中更容易發(fā)生，汽車、醫(yī)療設(shè)備、聯(lián)網(wǎng)家用電器和嵌入式系統(tǒng)。
IoT設(shè)計(jì)師再也無(wú)法忽視潛在的安全威脅，或抵制確保其IoT/嵌入式設(shè)備安全所需的必要步驟。
全球各國(guó)政府已經(jīng)意識(shí)到這個(gè)問題，并正在制定一系列新的和更新的網(wǎng)絡(luò)安全法規(guī)。
這些法規(guī)包括：UNECE的R155/R156汽車網(wǎng)絡(luò)安全法規(guī)；FDA更新的醫(yī)療器械規(guī)定；白宮最近發(fā)布的國(guó)家網(wǎng)絡(luò)安全戰(zhàn)略；正在出臺(tái)的EU Cybersecurity Resilience Act；以及英國(guó)議會(huì)剛剛通過(guò)的Product Security and Telecommunications Infrastructure Act 2022。
漏洞管理
這些法規(guī)旨在加強(qiáng)關(guān)鍵基礎(chǔ)設(shè)施的網(wǎng)絡(luò)安全并保護(hù)個(gè)人數(shù)據(jù)。Duggan表示，理解這些法規(guī)的關(guān)鍵是“漏洞管理”。Duggan強(qiáng)調(diào)，政府“希望將責(zé)任放在制造IoT設(shè)備的公司身上”。
在更新后的國(guó)家網(wǎng)絡(luò)安全戰(zhàn)略中，白宮明確表示：“我們必須重新平衡捍衛(wèi)網(wǎng)絡(luò)空間的責(zé)任，將網(wǎng)絡(luò)安全的負(fù)擔(dān)從個(gè)人、小企業(yè)和地方政府轉(zhuǎn)移到那些最有能力、最適合減少我們所有人風(fēng)險(xiǎn)的組織身上?！?/p>
換句話說(shuō)，行業(yè)不能再推諉責(zé)任。IoT設(shè)備制造商將對(duì)其硬件的漏洞及其使用的軟件負(fù)責(zé)。
對(duì)IoT/嵌入式系統(tǒng)公司的預(yù)期包括：
安全設(shè)計(jì)：評(píng)估威脅和風(fēng)險(xiǎn)，為每個(gè)新的IoT設(shè)備確定必要的安全功能。
安全支持和軟件更新：IoT設(shè)備供應(yīng)商必須維護(hù)和更新與IoT網(wǎng)絡(luò)安全相關(guān)的文檔。
告知消費(fèi)者，以便他們對(duì)購(gòu)買和使用的產(chǎn)品的安全有足夠的了解。
售后漏洞管理。監(jiān)控產(chǎn)品漏洞，迅速應(yīng)對(duì)事件并發(fā)布軟件更新。
為什么是現(xiàn)在？
對(duì)世界各國(guó)政府來(lái)說(shuō)，惡意網(wǎng)絡(luò)活動(dòng)，現(xiàn)在往往由犯罪組織和國(guó)家發(fā)起，已從麻煩事演變成國(guó)家安全威脅。
隨著IoT成為關(guān)鍵基礎(chǔ)設(shè)施的組成部分，網(wǎng)絡(luò)安全立法已成為許多政府的優(yōu)先事項(xiàng)。
白宮表示，“政府必須以協(xié)調(diào)一致的方式運(yùn)用國(guó)家力量的所有工具來(lái)保護(hù)我們的國(guó)家安全、公共安全和經(jīng)濟(jì)繁榮?！?/p>
歐盟也發(fā)出了類似的警告。歐洲即將出臺(tái)的Cyber Resilience Act指出，“數(shù)字硬件和軟件產(chǎn)品是網(wǎng)絡(luò)攻擊成功的主要途徑之一。在聯(lián)網(wǎng)的環(huán)境中，一個(gè)產(chǎn)品的網(wǎng)絡(luò)安全事件可能影響到整個(gè)組織或整個(gè)供應(yīng)鏈?！?/p>
應(yīng)該關(guān)注SBOM
SBOM（software bill of materials）是監(jiān)管機(jī)構(gòu)特別關(guān)注的領(lǐng)域。
BG Network的Duggan引用了最近針對(duì)3CX的一次黑客攻擊，3CX是一家電話軟件供應(yīng)商。他形容這次攻擊仍然是一種“尚未完全解決的實(shí)時(shí)事件”，并表示它“似乎可以歸因于朝鮮”。這次襲擊針對(duì)的是軟件供應(yīng)鏈。
黑客攻擊了數(shù)以十萬(wàn)計(jì)的組織使用的3CX桌面電話軟件，在客戶網(wǎng)絡(luò)內(nèi)植入了竊取信息的惡意軟件。
Duggan提到，“他們還不知道公司是如何被滲透的”，他對(duì)滲透作出了推測(cè)：“當(dāng)你更新時(shí)，軟件會(huì)加載到你的計(jì)算機(jī)上。當(dāng)它這樣做時(shí)，它實(shí)際上會(huì)加載一個(gè)DLL（dynamic link library），這將使攻擊者能夠控制你的計(jì)算機(jī)。這將允許他們遠(yuǎn)程控制你的計(jì)算機(jī)?！?/p>
軟件供應(yīng)鏈黑客攻擊讓IoT社區(qū)感到恐慌。Duggan問道：“那么，如果你在IoT軟件中使用開源，你如何知道該軟件是安全的？它在互聯(lián)網(wǎng)上隨時(shí)可能被任何人修改。那么如何確保你整合的軟件是安全的呢？”
安全性“不只是做好一件事”
Foundries.io的主席Ian Drew承認(rèn)，IoT行業(yè)在應(yīng)對(duì)網(wǎng)絡(luò)安全方面已經(jīng)取得了很大進(jìn)步，但還不夠。
Drew表示，對(duì)許多IoT設(shè)備開發(fā)人員來(lái)說(shuō)，網(wǎng)絡(luò)安全很難，因?yàn)樗安恢皇且患隆薄?/p>
“安全不像……我已經(jīng)在我使用的芯片中使用了Arm的trustzone，所以它是安全的?！彼f(shuō)，安全是一個(gè)系統(tǒng)層面的問題?！皬陌踩龑?dǎo)啟動(dòng)，一直到最好的OTA系統(tǒng)，以及中間的TPM（Trusted Platform Module）技術(shù)，這些技術(shù)旨在提供基于硬件的安全相關(guān)功能。即使這樣，你還需要確保它在整個(gè)生命周期內(nèi)都是可更新的，并經(jīng)過(guò)測(cè)試?！?/p>
許多IoT設(shè)備開發(fā)者的操作方式仍然傾向于：首先選擇一塊芯片，使用低成本設(shè)備（如Raspberry Pi）成功完成PoC，然后意識(shí)到缺乏安全性。Drew說(shuō)：“這是因?yàn)橐婚_始沒有人真正考慮安全問題。你認(rèn)為你會(huì)在之后解決安全問題，但這很困難。然后，你會(huì)面臨交付產(chǎn)品的壓力。你最終會(huì)做最低限度的安全措施，以便將產(chǎn)品投放市場(chǎng)?！?/p>
正如Foundries.io的CEO George Grey在上個(gè)月嵌入式世界大會(huì)上的主題演講中所強(qiáng)調(diào)的，“安全需要從一開始就進(jìn)行架構(gòu)和內(nèi)置，而不是在產(chǎn)品開發(fā)周期結(jié)束時(shí)作為一個(gè)‘附加服務(wù)’添加?！?/p>
然而，IoT設(shè)計(jì)師之間的對(duì)話正在發(fā)生改變，Drew說(shuō)。從嵌入式世界大會(huì)回來(lái)后，他說(shuō)很多客戶主動(dòng)提出了安全問題。Drew說(shuō)：“他們已經(jīng)看到了正在起草的EU Cybersecurity Resilience Act，他們希望進(jìn)行一次對(duì)話?！?/p>
從“推動(dòng)”到“吸引”
Silicon Labs的CTO Daniel Cooley也表示贊同。他解釋說(shuō)，網(wǎng)絡(luò)安全問題已經(jīng)從“推動(dòng)”轉(zhuǎn)變?yōu)椤拔?。許多客戶希望談?wù)搹囊婚_始就建立安全性，而不是事后進(jìn)行改造。
Cooley說(shuō)：“如果我們正在銷售兩個(gè)部件，一個(gè)具有更高的安全性，價(jià)格較高，那么我們的客戶現(xiàn)在會(huì)購(gòu)買更安全的解決方案?！?/p>
促使整個(gè)行業(yè)開始不同思考的是，Cooley指出，企業(yè)們正轉(zhuǎn)向“中期生命周期管理階段，涉及所有IOT設(shè)備”。幾年前，他們剛剛推出新產(chǎn)品?，F(xiàn)在，“他們開始意識(shí)到，如果在設(shè)備端加強(qiáng)安全性，管理這些設(shè)備的生命周期要容易得多?！?/p>
Cooley說(shuō)，公司必須在安全芯片中提供兩個(gè)基本要素，即它“需要具有唯一識(shí)別能力（通常稱為物理不可復(fù)制功能）”，并且它“需要具有可通過(guò)軟件更新的架構(gòu)。所以不要硬編碼或不要將所有內(nèi)容寫入只讀存儲(chǔ)器?！?/p>
他說(shuō)：“我們確實(shí)需要一顆具有硬件信任根（Roots of Trust）的芯片，具有密鑰和存儲(chǔ)功能。從那里，你可以形成經(jīng)過(guò)身份驗(yàn)證的軟件運(yùn)行的基礎(chǔ)……當(dāng)代碼接觸云時(shí)，特別是當(dāng)它從消費(fèi)者那里收集數(shù)據(jù)時(shí)，我們確保它運(yùn)行經(jīng)過(guò)授權(quán)的代碼，而不是運(yùn)行別人的代碼?！?/p>
Cooley表示，盡管他的客戶必須構(gòu)建一個(gè)SBOM，“但他們希望我們提供所有軟件的完整SBOM，特別是如果有開源軟件。”他補(bǔ)充說(shuō)：“告訴我關(guān)于你的軟件發(fā)布流程、持續(xù)集成持續(xù)交付、軟件開發(fā)生命周期……你如何確保代碼中沒有后門？他們想知道很多?！?/p>
軟件修訂、修改和更新
許多IoT設(shè)備使用開源軟件。
雖然IoT設(shè)計(jì)師熟悉Linux內(nèi)核GPLV2和GPLV3許可，但Foundries.io的CTO Tyler Baker警告他們應(yīng)注意其中的陷阱。GPLv3許可的軟件要求用戶（使用諸如恒溫器、冰箱等IoT設(shè)備的用戶）提供一種替換此GPLv3許可版本軟件的方式，替換為他們自己選擇的版本。
Tyler表示，這變成是一個(gè)網(wǎng)絡(luò)安全問題，因?yàn)椤霸O(shè)備安全需要‘加密鎖定’，加密鎖定系統(tǒng)以限制在平臺(tái)上可以啟動(dòng)和執(zhí)行的軟件。這個(gè)過(guò)程涉及在SoC中刻錄一次性保險(xiǎn)絲，該保險(xiǎn)絲只會(huì)執(zhí)行設(shè)備制造商擁有密鑰簽名的軟件。除其他原因外，還用于防止惡意第三方安裝惡意軟件?！焙?jiǎn)而言之，允許用戶安裝他們喜歡的軟件會(huì)破壞安全模型。
Tyler指出，IoT系統(tǒng)設(shè)計(jì)師還應(yīng)警惕為支持他們的硬件/應(yīng)用對(duì)軟件進(jìn)行更改所帶來(lái)的技術(shù)債務(wù)?！袄纾绻覙?gòu)建一個(gè)硬件設(shè)備，并且我希望它運(yùn)行Linux，我將不得不對(duì)Linux內(nèi)核（在某個(gè)特定版本上）進(jìn)行修補(bǔ)以支持我的硬件。當(dāng)下一個(gè)版本的Linux發(fā)布時(shí)，如果我想使用它，我將不得不重新處理所有針對(duì)新版本Linux內(nèi)核的補(bǔ)丁?！?/p>
簡(jiǎn)而之，Tyler補(bǔ)充說(shuō)：“你所做的每個(gè)更改都需要你在每個(gè)新版本上進(jìn)行維護(hù)……最終變成了很多工作負(fù)荷，但收益卻不大。”
沒有IoT設(shè)備供應(yīng)商可以保證其設(shè)備的終身安全。如果是這樣，他們的聲譽(yù)必須建立在他們?nèi)绾尉璧乇O(jiān)控、管理以及迅速報(bào)告和修復(fù)其產(chǎn)品漏洞的基礎(chǔ)上。
