Global Sources
電子工程專輯
 
電子工程專輯 > 嵌入式技術
 
 
嵌入式技術  

錯誤假設將導致安全性降低

上網時間: 2006年02月24日     打印版  Bookmark and Share  字型大小:  

關鍵字:透過隱匿來實現安全  security by obscurity  flash bank  數位版權管理  DRM 

安全問題更應歸咎於部份嵌入式系統開發商的錯誤假設,而不是軟體的安全性弱點。我注意到存在著普遍假設一這種模式,但也深信只要我們能夠稍稍改變一下我們在以下三方面的思維模式,一半以上的安全問題都會在一夜之間消失。

假設1):開發商認為嵌入式系統本身更安全

沒有什麼比這更遠離實際情況的了,但我明白為什麼開發商會這麼認為。因為沒有人擁有他們的原始程式碼,韌體甚至可能沒有商用的RTOS,同一個開發團隊的開發人員中,由一個人選擇快閃記憶體地址‘0x…’來儲存密鑰,而由另一個人決定把軟體版本號放在其它0x地址,彼此之間可能都不清楚對方做了什麼。在安全領域,我們把這稱作‘透過隱匿來實現安全(security by obscurity),’然而這個原則從來就行不通。真實情況是駭客已侵入你所用的相同除錯工具中。他們能夠讀取符號表,逐句破解匯程式式等。此外,還必須認知到許多攻擊甚至不需要程式碼知識。

圖1:儲存內容範例

例如,對於儲存了某首歌曲在快閃記憶體中播放次數的數位版權管理(DRM)系統的攻擊,可能就是簡單地拷貝整個快閃記憶體bank,並在再一次播放該歌曲之前不斷用儲存的拷貝覆蓋整個快閃圖像。這就使系統重置到先前的狀態,因而有效規避了播放計數器或序列號的問題。

再例如,圖1是嵌入式系統中管理若干個用戶登錄資訊的記憶體傾印(memory dump)。可能是透過連接一個除錯器獲得此一記憶體拷貝資訊的,或者它也可能是一個網路數據封包中的一小部份。

現在,你對它在執行什麼RTOS或什麼處理器一無所知,但你知道我的姓是‘Uner’。進一步的檢查顯示第一個32位元字包含了我的部份名字作為ASCII碼文本。它可能就是登錄名。接下來的也是ASCII碼。如果我是一名駭客,我會試著用‘snail’作為密碼。考慮到這種模式,我也可能會試試以‘lil…’作為用戶名,密碼設為‘zepp…’,因為它們期望在最低有效位元組中具有不同的用戶等級或一些其它的不同特性。這?沒有涉及原始程式碼檢查,或已知的安全脆弱性(vulnerability),僅僅是簡單的駭客技術而已。

假設2:用戶假設嵌入式系統更安全

若你購買了一個新的JTAG wriggler,或者是其它具有乙太網路埠的除錯設備,你會跑去告訴你的IT部門嗎?可能不會。但是你也許不會意識到這個小小的除錯器正執行嵌入式Linux,並已經成為網路上駭客的新目標。產品的用戶,包括我們自己,往往假設沒有監控器和鍵盤的東西是安全的。當任何事故產生時,例如由於嵌入式Linux攝影鏡頭響應了固定URL致使攝影鏡頭的圖像出現在搜尋引擎中,大多數開發商都會把造成事故的原因歸罪到用戶身上。

這是用戶沒有採取正確預防措施所引起的過錯,對嗎?如果開發商沒有向用戶解釋任何關於設備應該執行的環境(比如封閉式網路)的假設,那就不對。請記住,在這?‘解釋’不是指在使用手冊中註明,這類手冊用戶往往是隨手丟棄在包裝盒?的。它的意思是需要在設置時對此進行確認,或是把特性放在設備中以驗證它是否工作在一個預期的環境中。如一個網路控制器可能要求用戶為設備只設立一組對應的不可路由IP地址或MAC地址。這一數據可能是胡編出的數據,不過這種額外的配置步驟卻有助於向用戶傳達該控制器不應該被放在網際網路上的意圖。

假設3:安全要求與資產保護有絕對關聯

安全工作人員往往認為只要攻擊一個設備所需要的資源比設備試圖保護的資源還要寶貴,系統就是安全的。在安全領域,我們把值得保護的資源稱作‘資產’。資產存在著時間性以及簡單估價。如果一個設備所保護的數據在該設備被駭客攻擊時是沒有價值的,你可以認為這一設備是安全的。很明顯,你不會購買一個10萬美元的鈦製保險箱來存放你省下的零錢。

麻煩在於這些攻擊的影響會層層波及。在很多情況中,你並不知道你需要保護的數據或作業的價值何在。一個機械手開發商不可能總是提前預知攻擊造成設備故障的代價有多麼高昂,因為它可能部署在工廠的生產線上,而生產線的停工損失為每小時1萬美元或每分鐘1萬美元。而且,當駭客攻擊造成人身傷害甚至死亡時,又該如何運算損失呢?關於這一點,我不準備詳述,因為只有在你知道你在保護什麼數據,並且不管怎麼樣你都確實清楚資產的本身價值時,在運算破解加密演算法的資源過程中這種關於資產的假設才有意義。

作者:Eric Uner

新一代行動及嵌入式安全架構研究員

摩托羅拉實驗室




投票數:   加入我的最愛
我來評論 - 錯誤假設將導致安全性降低
評論:  
*  您還能輸入[0]個字
*驗證碼:
 
論壇熱門主題 熱門下載
 •   將邁入40歲的你...存款多少了  •  深入電容觸控技術就從這個問題開始
 •  我有一個數位電源的專利...  •  磷酸鋰鐵電池一問
 •   關於設備商公司的工程師(廠商)薪資前景  •  計算諧振轉換器的同步整流MOSFET功耗損失
 •   Touch sensor & MEMS controller  •  針對智慧電表PLC通訊應用的線路驅動器
 •   下週 深圳 llC 2012 關於PCB免費工具的研討會  •  邏輯閘的應用


EE人生人氣排行
 
返回頁首