實現全面性資料安全不可少的「它」…

作者 : Gary Hilson,EE Times特約編輯

因為新冠病毒肺炎疫情導致遠端工作與連線需求激增,也意味著保衛資安變得更重要、甚至更具挑戰性,特別是包括5G在內的跨通訊基礎建設資料分享等新興使用案例。在此同時,安全性功能會為記憶體設計增添複雜度。

記憶體的安全功能並不是新概念,但因為新冠病毒肺炎疫情導致遠端工作與連線需求激增,也意味著保衛資安變得更重要、甚至更具挑戰性,特別是包括5G在內的跨通訊基礎建設資料分享等新興使用案例。在此同時,安全性功能會為記憶體設計增添複雜度。

甚至是在邊緣運算、物聯網(IoT)、連網車輛等市場大幅成長之前,記憶體內的安全功能就在逐漸增加。電氣可擦除可程式化唯讀記憶體(EEPROM)是信用卡、SIM卡與無鑰門禁系統的最愛;SD卡的「S」就是代表「安全」(secure);還有以快閃記憶體為基礎的固態硬碟(SSD),多年來已經內含加密功能。

安全性已經穩固地被嵌入分佈在運算系統與網路環境中的記憶體和連網裝置,但是這些基於記憶體的安全性還是得考量人為錯誤──對於使用者開啟了偽裝成附加檔案的病毒,或是路由器被錯誤配置的後果,資安專家仍需要因應。類似地,除非正確地配置、並與整個系統包括軟體相互協調,安全性記憶體的功能無法完全發揮。

你可以說,有兩種「SoC」──安全運作中心(security operations center)以及系統單晶片(systems on chip)正在融合。像是Rambus等公司提供的產品旨在保護每一個連結,以因應雲端與邊緣運算伺服器連結頻寬需求的增加。同時Infineon也擴展旗下Cypress的Semper NOR快閃記憶體,以因應每一個被連結系統必然會面臨駭客竄改快閃記憶體元件內容的問題。

 

Infineon旗下的Semper NOR快閃記憶體扮演硬體信任根的角色,同時也執行診斷與資料校正,以確保功能安全性。(資料來源:Infineon)

 

竄改可能會影響任何數量的不同運算平台,包括基本上就是有四個輪子之伺服器的自動駕駛車輛;此外還有透過5G連網而強化的工業、醫療,物聯網(IoT)應用情境。安全性不只需要被整合其中,也需要在不同裝置的整個生命週期中──其中部份具備嵌入式記憶體的可能長達十年──被管理。高記憶體成份的應用對駭客來說最具吸引力。

市場分析師Thomas Coughlin表示,加密金鑰管理仍然是保障系統安全的關鍵;隨著非揮發性記憶體激增,將安全性放進嵌入式系統越來越重要,這是因為即使裝置電源關閉,資料仍然會被永久保存。Coughlin指出,添加安全性功能不那麼具挑戰性,例如SSD上的資料可以加密;「問題在於使用者是否能輕鬆使用這些功能,因為最弱的連結通常就是人。」

因為生物辨識功能取代了傳統的密碼,智慧型手機成為一種身分驗證代理;但這種情境開啟了未加密資料意外被曝光的可能性。Coughlin指出,風險在於實作上的缺陷或是複雜度:「讓安全性簡單是關鍵,這比加密資料並將之放進硬體還要重要。」

SSD與記憶體供應商Virtium行銷副總裁Scott Phillips表示,加密SSD效果有限,需要多層、受管理的方法。他指出,像是Trusted Computing Group的Opal規格,能達到BIOS等級的開機前身份驗證(pre-boot authentication)、配置與集中化管理等在防堵駭客方面非常關鍵的功能;「但就算是有相當規模的公司,也無法實現全面、完善的安全性。」

隨著5G加速發展,人們正在努力實現橫跨整個資料中心以及資料中心之間的數據路徑保護;然而要充分發揮硬體安全性的優勢,挑戰仍然存在。

整合的需求

在工業應用市場,整併需要結合不同的系統;同時超大規模資料中心業者像是AWS與Microsoft Azure都在積極推動資料安全性。不過Phillips指出,這些防禦措施還是需要貫徹到終端使用者。而儘管有越來越多標準與要求,安全方案的互通性仍然是一個問題,供應商還是嘗試將它們的產品與服務定位為市場領導者。

「駭客總是會領先一步,」Phillips補充:「他們知道所有那些小漏洞在何處,這就是他們在訊找的東西;確實需要集中化、超級細心的IT人員或部門全面檢查並關閉這些漏洞。」

將安全性嵌入記憶體裝置而非用螺絲將之拴上的想法不同於軟體方案,「DevSecOp」(EETT編按:Development、Security與Operation三個字的結合)基本理念,是關於將安全性與隱私保護成為應用開發過程中不可或缺的一部份。

有一種被稱為「機密運算」(confidential computing)的新興框架,旨在透過將運算隔離於以硬體為基礎的可信任執行環境(trusted execution environment,TEE)中,來保護使用中的資料。在處理過程中,資料於記憶體中、還有CPU以外的其他地方會被加密。

Intel的SGX能實現可信任運算環境,也就是主記憶體的一個安全區域,確保載入之編碼與資料在機密與完整性上受到保護。

 

軟硬體業者都在推動機密運算,包括最近宣佈將之運用於容器工作負載(container workload)的Google;Intel也為雲端服務供應商如Microsoft Azure透過Intel Software Guard Extensions實現TEE。機密運算需要安全性責任的共同分擔,然而Intel Product Assurance and Security Architecture資深首席工程師Simon Johnson,人類仍然是其中最弱的一個環節。

Johnson表示,Intel支援開發人員透過執行程式碼來保全資料,同時機密運算運動源自企業對於保護各種來源資料的需求,包括敏感性的醫療保健資訊、財務紀錄以及智慧財產(IP)。他指出,平台的供應者應該不能看到資料,「你會想盡可能讓越多人遠離你的個資。」

Intel SGX包括以硬體為基礎的記憶體加密,能將特定應用程式碼與資料隔離於記憶體中,讓使用者層級程式碼能分配到專有「隔離區」,與執行在較高特權層級的處理程序隔開。這能實現更精細的控制與保護,防止諸如針對RAM的冷開機攻擊(cold boot attack)。該框架也被設計成能保護軟體攻擊,甚至是在作業系統、驅動程式、BIOS或虛擬機管理程式受損時。

機密運算能支援不屬於使用者之大型資料集分析等工作負載,以及讓加密金鑰在更接近工作負載的地方執行,以改善延遲。「目前我們真的只有提供保護的軟體,我們在那些種類的環境中缺少硬體保護方案;」Johnson指出,透過機密運算聯盟(Confidential Computing Consortium)授權的硬體與軟體生態系統,機密運算能保護資料或程式碼的處理。

Virtium的Philips指出,易用性一直是提高安全性的關鍵,因此實現「一觸即發」的記憶體加密會是一個目標:「全面性的安全將來自於其上的所有附加功能;」他指出,這個想法不僅是加密記憶體,還要保證完整的資料隔離以確保安全環境,「機密運算不只是加密記憶體而已。」

這也與包容一個異質整合世界有關;他表示:「當資料在使用中,你必須要提供一個存取控制層,並且能證明你在使用該軟體,資料是在一個特定區域;所有這些是以階梯式建構。」

 

編譯:Judith Cheng

(參考原文:Memory Only a Piece of the Security Puzzle,By Gary Hilson )

掃描或點擊QR Code立即加入 “EETimes技術論壇” Line 群組 !

 EET-Line技術論壇-QR

發表評論