嵌入基础及设计 2

第九章嵌入式系统前言展望-嵌入式系统安全武汉大学计算机学院赵小刚嵌入式系统是指带有微处理器的专用软硬件系统。以应用为中心，以微处理器为基础，功能、可靠性、成本、体积、功耗严格要求的专用计算机系统。本章主要介绍嵌入式系统的定位和定义，设计需求，分类及基本结构。学习完本课程后，您将能够：掌握嵌入式系统定位和定义；掌握嵌入式系统的设计需求；了解嵌入式系统的基本结构。安全的定义嵌入式安全趋势安全策略嵌入式系统加密（3861安全子系统）计算机安全的定义计算机安全，ISO的定义是“为数据处理系统和采取的技术的和管理的安全保护，保护计算机硬件、软件、数据不因偶然的或恶意的原因而遭到破坏、更改、显露。”计算机安全中最重要的是存储数据的安全，其面临的主要威胁包括：计算机病毒、非法访问等。计算机硬件安全：从系统安全的角度来看，计算机的芯片和硬件设备也会对系统安全构成威胁。比如CPU，电脑CPU内部集成有运行系统的指令集，也会隐藏恶意代码或遭受恶意攻击。安全的定义嵌入式安全趋势安全策略嵌入式系统加密（3861安全子系统）嵌入式安全趋势一个包含硬件和内置软件的设备就是我们常说的嵌入式系统，这些设备能独立完成一项功能或一组任务，它们中许多存储着重要的信息，有可能还会执行影响人类和环境的关键功能。嵌入式安全包括硬件安全和软件安全（嵌入式操作系统和嵌入式软件）两部分。早期，嵌入式设备均为独立运行，攻击手段较单一。随着互联网及物联网的发展，嵌入式设备已成黑客攻击的主要目标。由于许多由嵌入式设备驱动的小组件和机器在运行中必须连接到互联网，因此网络黑客就有机会窃取未经授权的访问权限，并运行恶意代码，这种攻击通常会蔓延到其他连接的组件乃至破坏整个系统。嵌入式系统安全策略保密性完整性可用性授权性认证性抗抵赖性嵌入式领域安全问题第三方组件的使用：许多嵌入式设备需要增加第三方硬件和软件组件才能正常工作，而这些组件通常没有经过严格的安全测试。标准化的缺乏：目前，网络保护和物联网行业的标准化程度比较低，安全设备的开发是嵌入式系统安全的主要挑战之一。然而，由于嵌入式系统缺乏统一的网络安全标准，制造商很难对他们使用的部件的安全性报有信心。不安全的网络连接：许多嵌入式系统和物联网设备将直接连接到互联网上。在一个资源受限的环境中实施严格的安全保护将变得非常困难。过时的软件：在数量众多的小型嵌入式设备上定期更新固件并不是一件容易的事，但过时的固件通常充满很多极易被利用的漏洞。长生命周期设备的安全维护：嵌入式设备的生命周期通常很长，很难预见未来十年可能出现的潜在安全威胁。安全的定义嵌入式安全趋势安全策略嵌入式系统加密（3861安全子系统）安全策略一是评估潜在的威胁和漏洞。具体操作包括：分析产品的生命周期，评估开发商、硬件制造商、软件供应商、电信运营商、用户和任何相关方对最终产品安全的影响，确定所有可能的软件和物理攻击点及其发生的可能性，制定有安全要求的技术规范。二是根据需求设计可靠的软件体系架构。充分利用中间件和虚拟化技术，进行组件划分，还应允许在共享平台上运行多个操作系统。三是选择工具和组件。为嵌入式系统选择的软件开发平台其安全性至关重要，它必须符合国际或地区安全标准。系统硬件的选择亦是如此。四是进行安全测试。嵌入式系统中硬件和软件组件的安全测试不应被忽视，要作为必选项独立于系统其他测试功能。安全策略安全设计软件保护。确保整个软件体系结构受到保护，防止未经授权的更改。数据保护。确保未经授权的用户无法访问存储在设备中的信息。比如采取通过身份验证、强密码和与设备的加密连接等措施。设备保护。确保设备本身不遭受外部的物理破坏。可使用超强材料、电子锁、监控摄像头和其他外围设备等。现在，一些处理器或主板已具备检测设备外壳中物理入侵的能力。安全设计规范应用核安全隔离控制安全核硬件软件驱动安全TEE安全存储安全调试操作系统安全加解密算法引擎秘钥管理随机数物理环境监测安全启动安全升级协议安全接口安全网络连接安全普通应用安全应用普通世界安全世界可信执行环境应用核总线隔离控制安全核硬件内存隔离控制软件非安全世界安全世界非安全存储非安全外设普通应用普通应用普通操作系统及驱动安全应用安全应用安全操作系统及驱动安全存储安全外设Flash安全在线程序执行安全启动硬件安全嵌入式系统中的硬件安全可通过包括密钥管理、加密和硬件功能隔离等措施来实现。Maxim提供的DeepCover安全微控制器集成了先进的加密和物理保护机制，以最高安全等级应对侧道攻击、物理篡改和逆向工程。内部集成的安全NVSRAM，一旦检测到篡改事件，即刻擦除存储内容;专有的代码、数据实时加密技术，为外部存储器提供完备保护。复杂的入侵式攻击常常是为了从安全IC获取密钥，如果获得密钥，IC提供的安全性将彻底崩塌。Maxim独有的ChipDNA嵌入式安全PUF技术被其称作是物理不可克隆(PUF)的安全加密技术，能有效防御入侵式攻击，原理是这些密钥自始至终不会静态存储在存储器或其它静态空间，也不会离开IC的电路边界，因此黑客也就无法盗窃一个并不存在的密钥。硬件安全Infineon嵌入式安全解决方案：OPTIGATPMSLI9670是一款经过质量强化的可信平台模块(TrustedPlatformModule：TPM)，专门用于汽车应用，基于采用先进硬件安全技术的防篡改安全微控制器，在防篡改和认证环境中提供硬件信任、加密和解密，以保护OTA软件更新或存储密钥。苹果T2芯片：包括形成安全启动硬件信任根的BootROM、用于高效且安全加密和解密的专用AES引擎以及安全隔区。可以验证引导加载程序和操作系统是否已由Apple签名并批准，并且仅使用批准的驱动器来启动操作系统。安全的定义嵌入式安全趋势安全策略嵌入式系统加密（3861安全子系统）嵌入式系统加密嵌入式系统安全的重要组成部分是密码算法和硬件体系结构，并以此满足极低的内存和处理需求、可信平台模块和标准化安全协议。Hi3861内集成安全芯片，实现众多的加密算法的硬件化，大大提高加密算法的速度和抗破坏力。3861安全子系统安全子系统概述AES算子HASH算子KDF算子PKE算子TRNG算子安全模块概述Cipher安全模块包含随机数生成、哈希算法、对称加密算法和非对称加密算法模块，哈希算法保证了数据的完整性，对称加密算法保证了数据本身的保密性，非对称加密算法用于签名和验签，保证了数据传输过程中的安全性。对称加密算法又包含ECB、CBC、CTR、CCM、XTS模式，适配不同的密钥长度和加密需求。TRNG算子随机数是许多密码学的基础。通常利用振荡环电路进行采样，得到随机源，其本质是芯片内部的随机噪声。TRNG（真随机数发生器）是一个利用物理方法实现的随机数发生器（本模块随机数的源头），其主要作用是为密钥的生成产生随机数。接口开发流程开发实例接口开发流程hi_cipher_trng_get_random和hi_cipher_trng_get_random_bytes接口均是随机数获取接口，已经包含TRNG初始化，无须重新初始化，只需申请空间存放获取的随机数即可。开发实例#include<stdio.h>//c语言的标准库文件#include"ohos_init.h"//提供用于openharmony初始化和启动服务#include"hi_types.h"#include"hi_cipher.h"voidprintfbs(hi_u8par[],hi_u32j){hi_u32i;for(i=0;i<j;i++){printf("%u,",par[i]);}printf("\n");}voidprintfws(hi_u32par[],hi_u32j){hi_u32i;for(i=0;i<j;i++){printf("%u,",par[i]);}printf("\n");}voidHelloWorld(void){hi_s32ret;hi_u32i;hi_u8trng_bytes[32]={0};/*32*/hi_u32trng_word[16]={0};/*16*/ret=hi_cipher_trng_get_random_bytes(trng_bytes,sizeof(trng_bytes));if(ret!=0){printf("hi_cipher_trng_get_random_bytesfailed.\n");i=hi_cipher_init();returnret;}printf("trng_bytes:");printfbs(trng_bytes,sizeof(trng_bytes)/4);for(i=0;i<sizeof(trng_word)/4;i++){ret=hi_cipher_trng_get_random(&