【解決方案】防禦和保護物聯網節點的技術方法

by Stephane di Vito,Robert Muchsel and Don Loomis

如今，物聯網 (IoT) 節點已連接了 100 億個，比十年前增加了十倍，而且這一趨勢仍在持續。隨著這種增長，攻擊者的機會也隨之增加。據估計，網路攻擊每年造成的損失從數百億美元到超過兆美元不等，而且還在不斷上升。因此，安全考量對於繼續成功擴展物聯網至關重要。物聯網安全始於物聯網節點的安全。

沒有公司希望看到自己的名字出現在「資料外洩、客戶資料被盜」的同一句話中。此外，連網設備還須遵守政府法規，例如 FDA 針對醫療設備的規定、歐洲網路彈性法案、美國/歐盟工業 4.0 關鍵基礎設施的網路安全要求以及汽車行業的一些新興標準。這些要求推動了高水準的安全性，但沒有明確要求使用基於硬體的安全性。然而，物聯網節點通常是大容量、成本最佳化的設備，這對平衡安全性和成本帶來了挑戰。

使用信任根創建安全節點

我們如何設計一個經濟高效且安全的物聯網節點？創建安全的 IoT 節點始於信任根（也稱為安全元件），這是一種小型且經濟實惠的積體電路 (IC)，旨在為節點提供安全相關服務。這些功能的範例包括用於保持機密性的資料加密和用於確保資訊的真實性和完整性的數位簽章。信任根的最終目標是確保用於資料加密或數位簽章的金鑰不會洩露。

圖 1. 信任概念的根源確保安全相關服務的真實性和完整性。


信任根安全IC面臨的最大挑戰是抵抗物理攻擊，例如直接探測和所謂的旁道攻擊。
 

物理上不可複製的功能

不幸的是，由於直接探測試圖觀察微電路的內部結構，因此通用微控制器中通常使用的儲存技術（即 EEPROM 或快閃記憶體）並不安全。攻擊者可以使用掃描電子顯微鏡 (SEM) 以相對適中的成本直接觀察記憶體內容。半導體產業開發了物理不可複製功能 (PUF) 技術來減輕這種風險。PUF 用於從晶片的固有物理屬性中派生出唯一的密鑰。這些屬性很難直接探測，因此透過直接探測來提取結果密鑰是不切實際的。在某些情況下，PUF 派生金鑰會對信任根的內部記憶體的其餘部分進行加密，因此可以保護裝置上儲存的所有其他金鑰和憑證。

圖 2.PUF 技術降低了直接偵測微電路的風險。


旁道攻擊成本更低，侵入性更小。他們利用了這樣一個事實：電子電路往往會洩漏他們正在操作的資料的簽名，例如，透過電源、無線電或熱發射。例如，當電路使用密鑰來解密資料時，測量訊號和處理資料之間的微妙相關性可以在適度複雜的統計分析後成功猜測密鑰的值。信任根被明確設計為使用各種對策來防止此類資料外洩。


使用安全IC的應用範例

基於硬體的信任根的優勢在圖 3 所示的安全應用程式類型中變得顯而易見。所使用的協定是簡單的質詢/回應身份驗證協定：

  1. 儀表請求幫浦發出質詢，準備發送命令。

  2. 泵用隨機數 R 向請求者發起挑戰。

  3. 儀表使用其私鑰對命令、隨機數 R 和一些固定填充進行簽署。該操作被推遲到儀表的信任根。

  4. 泵浦驗證簽名是否正確以及隨機數字是否與先前發送的數字相同，以避免重新發送有效命令。該操作被推遲到泵的信任根 IC。

圖 3.胰島素幫浦身份驗證是信任根的簡化範例。

 

除了每次新嘗試發送命令都需要新的隨機數之外，該協議的安全性還依賴於用於授權命令的私鑰的保密性以及用於驗證授權的公鑰的完整性。如果這些密鑰儲存在常見的微控制器內，它們可能會被提取或操縱，並且可能會製造假的儀表或泵，這可能會危及患者的安全。在這種情況下，信任根 IC 使偽造儀表或泵浦、操縱憑證或篡改通訊協定變得更加困難。


專用安全 IC 的優點

整體而言，良好的節點設備設計將導致破壞設備的成本遠高於攻擊者的潛在回報。依賴專用安全 IC 的架構有許多好處：

  • 物聯網安全是一場永無止境的戰鬥。攻擊技術不斷改進，但同時，安全 IC 供應商不斷增強其對策，使得安全 IC 的攻擊成本仍然極高。透過升級安全 IC 可以提高連接設備的安全性，而對整體設備設計和成本影響很小。

  • 將關鍵功能集中在與應用處理器分離的強大、防篡改的實體環境中，可以在評估法規遵循時更輕鬆地證明安全性。隔離也使得利用裝置應用程式處理器中的弱點變得更加困難，而這些弱點很難被偵測到並完全消除。

  • 如果安全 IC 供應商儘早委託使用安全 IC，則可以更輕鬆地確保物聯網節點在其整個生命週期內的安全。這種方法無需與合約製造商共享關鍵訊息，並且可以實現安全的個人化流程和安全的 OTA 更新。過度建設和複製也變得更加困難。

結論

典型的互聯繫統中有許多元件，必須從一開始就設計安全性。雖然保護物聯網節點並不是唯一的步驟，但卻是必要的步驟。


 

聯繫我們

ADI 所有產品請洽【 安馳科技 】
安馳科技｜ADI亞德諾半導體網站：https://anstekadi.com
安馳科技 LINE 官方帳號：https://lin.ee/5gcKNi7
安馳科技 Facebook 官方帳號：https://www.facebook.com/ANStek3528
安馳科技EDM訂閱 https://anstekadi.com/Home/EDM
申請樣品與技術支援：https://www.surveycake.com/s/dQ3Y2 
與我聯絡：Marketing.anstek@macnica.com