物聯(lián)網(wǎng) （IoT） 繼續(xù)成為現(xiàn)實(shí)，每天有數(shù)百萬(wàn)設(shè)備連接到互聯(lián)網(wǎng)。盡管這可能令人興奮，但隨著許多創(chuàng)新機(jī)會(huì)的開(kāi)放，物聯(lián)網(wǎng)設(shè)備和系統(tǒng)的開(kāi)發(fā)人員面臨著許多挑戰(zhàn)，其中最關(guān)鍵的是保護(hù)他們的設(shè)備并確保最終用戶的隱私。值得慶幸的是，新的微控制器 （MCU） 不斷涌現(xiàn)，大大簡(jiǎn)化了安全任務(wù)，但這些功能與開(kāi)發(fā)人員使用它們的能力一樣好。

　　對(duì)于許多開(kāi)發(fā)人員來(lái)說(shuō)，安全性一直是并且仍然是事后的想法，這有點(diǎn)令人驚訝。這是一個(gè)錯(cuò)誤，因?yàn)樗狗课荨④囕v、制造、零售和關(guān)鍵基礎(chǔ)設(shè)施容易受到攻擊。然而，盡管歷史上不愿解決安全問(wèn)題，但物聯(lián)網(wǎng)現(xiàn)在正迫使設(shè)計(jì)人員在開(kāi)發(fā)嵌入式系統(tǒng)時(shí)更加認(rèn)真地考慮安全問(wèn)題，幸運(yùn)的是，他們發(fā)現(xiàn)并不是唯一一個(gè)解決安全問(wèn)題的人。

　　微控制器的制造商和供應(yīng)商是眾多物聯(lián)網(wǎng)系統(tǒng)和設(shè)備的基本元素，現(xiàn)在也認(rèn)識(shí)到安全性的重要性，并在他們的硬件和軟件庫(kù)中構(gòu)建掛鉤，以簡(jiǎn)化開(kāi)發(fā)并減輕開(kāi)發(fā)人員的安全負(fù)擔(dān)。

　　一個(gè)典型的例子是瑞薩電子美國(guó)公司的 Synergy 平臺(tái)。這不僅包括一系列基于 ARM? 的微控制器，例如S1、S3和S7系列，還包括一個(gè)完整的軟件包，旨在通過(guò)提供驅(qū)動(dòng)程序、RTOS、中間件、框架和庫(kù)來(lái)為開(kāi)發(fā)人員提供快速入門。盒子。

　　Synergy 軟件包 （SSP） 中包含一個(gè)安全和加密模塊，開(kāi)發(fā)人員可以利用它來(lái)正確保護(hù)他們的設(shè)備。雖然擁有這些軟件組件是件好事，但開(kāi)發(fā)人員仍然需要了解如何將這些資源應(yīng)用于嵌入式安全的三個(gè)主要元素：身份驗(yàn)證、完整性和可用性。

　　圖 1：Renesas Synergy 平臺(tái)的 Synergy 軟件包 （SSP） 包括平臺(tái)中包含的驅(qū)動(dòng)程序、RTOS、中間件、框架、庫(kù)和開(kāi)發(fā)工具。可以在此處查看平臺(tái)中包含的所有不同軟件組件。（來(lái)源：瑞薩電子美國(guó)）

　　身份驗(yàn)證和加密是一項(xiàng)棘手的業(yè)務(wù)

　　身份驗(yàn)證最關(guān)注安全性，這是正確的。身份驗(yàn)證是系統(tǒng)驗(yàn)證固件更新和通信是否來(lái)自合法來(lái)源的能力，而不是試圖混淆或覆蓋默認(rèn)系統(tǒng)行為。開(kāi)發(fā)人員可以在他們的設(shè)計(jì)中使用的常見(jiàn)技術(shù)可以在任何微控制器上工作，從最簡(jiǎn)單和資源限制最少的開(kāi)始，包括：

• 　　密碼
• 　　握手
• 　　數(shù)字簽名
• 　　校驗(yàn)和
• 　　循環(huán)冗余校驗(yàn) （CRC）

　　CRC 應(yīng)包含在重要數(shù)據(jù)中，例如存儲(chǔ)在閃存中的應(yīng)用程序映像和通過(guò)網(wǎng)絡(luò)或通信接口進(jìn)行通信的數(shù)據(jù)包。微控制器上的 CRC 可能是一項(xiàng)棘手的工作，尤其是在沒(méi)有浮點(diǎn)硬件單元的情況下。對(duì)于開(kāi)發(fā)人員來(lái)說(shuō)，一個(gè)很棒的技巧是使用類似于 fletcher16 算法的校驗(yàn)和。

　　fletcher16 算法檢測(cè)數(shù)據(jù)流中是否有任何數(shù)據(jù)被更改。它通過(guò)本質(zhì)上將數(shù)據(jù)流分解為 8 位塊，然后將這些塊相加以生成兩個(gè)唯一的 8 位值，這些值重新組合成 16 位校驗(yàn)和。fletcher16 算法被限制為不大于 255 的模數(shù)，因此插入到數(shù)據(jù)流中的隨機(jī)數(shù)有 1/255 的機(jī)會(huì)未被檢測(cè)到。Fletcher16 的有效性與最低的 CRC 相當(dāng)。

　　為了保護(hù)嵌入式系統(tǒng)，開(kāi)發(fā)人員可能需要采用多種技術(shù)組合，其中還包括加密。如果您沒(méi)有選擇正確的設(shè)備，MCU 上的加密可能會(huì)是一項(xiàng)艱巨的任務(wù)。每個(gè)應(yīng)用程序都需要自己獨(dú)特的加密需求，但您至少應(yīng)該在 MCU 上尋找?guī)追N硬件資源：

• 　　唯一的設(shè)備標(biāo)識(shí)符
• 　　有限的 JTAG 訪問(wèn)
• 　　真正的隨機(jī)數(shù)生成器 （TRNG）
• 　　對(duì)稱密碼加速器

　　請(qǐng)?zhí)貏e注意使用 TRNG 的微控制器的數(shù)據(jù)表。所有的 TRNG 都不是平等的，如果它們沒(méi)有通過(guò) NIST SP 800-90（最新和最偉大的熵規(guī)范）的認(rèn)證，那么潛在的黑客就有可能通過(guò)影響系統(tǒng)熵來(lái)操縱生成器，然后生成可預(yù)測(cè)的熵結(jié)果。

　　熵是系統(tǒng)中存在的隨機(jī)性或混沌性的量度。TRNG 通常會(huì)使用熵來(lái)計(jì)算隨機(jī)數(shù)。如果黑客能夠控制系統(tǒng)的熵，例如操縱時(shí)間或溫度（偽隨機(jī)數(shù)生成器使用的屬性），那么隨機(jī)數(shù)就變得可預(yù)測(cè)了。一個(gè)可預(yù)測(cè)的數(shù)字允許黑客做出有根據(jù)的猜測(cè)，最終破壞系統(tǒng)安全性并將其打開(kāi)以進(jìn)行攻擊。

　　Renesas Synergy MCU 具有上述所有硬件資源，使用 Synergy 工具鏈訪問(wèn) TRNG 幾乎是微不足道的。只需進(jìn)入 Synergy 配置文件，然后從線程選項(xiàng)卡中添加 TRNG 組件。該組件完全通過(guò)可視化界面添加，必要的步驟如圖 2 所示。在此示例中，使用了Renesas S1 開(kāi)發(fā)套件來(lái)部署 TRNG。添加 TRNG 驅(qū)動(dòng)程序后，以下 API 調(diào)用將生成隨機(jī)數(shù)：

　　R_SCE_TRNG_Read （ trng_ctrl_t *const p_ctrl ， uint32_t *const p_dest ，uint32_t nwords ）

　　圖 2：要將真隨機(jī)數(shù)生成器 （TRNG） 驅(qū)動(dòng)程序組件添加到 Synergy 項(xiàng)目，只需選擇添加，然后按照從右上角到左下角的菜單查找 TRNG 驅(qū)動(dòng)程序。（來(lái)源：瑞薩電子美國(guó)，E2 Studio Synergy Project）

　　高級(jí)應(yīng)用程序需要的不僅僅是簡(jiǎn)單的 TRNG 或?qū)ΨQ密碼加速器。為了利用最新的加密技術(shù)，開(kāi)發(fā)人員應(yīng)該在他們的微控制器中尋找額外的硬件，例如：

• 　　非對(duì)稱密碼加速器
• 　　哈希加速器
• 　　非對(duì)稱密鑰生成器
• 　　安全密鑰存儲(chǔ)

　　如果沒(méi)有這些關(guān)鍵組件，開(kāi)發(fā)人員會(huì)發(fā)現(xiàn)他們的系統(tǒng)很容易受到攻擊，并且可能在現(xiàn)場(chǎng)受到損害。事實(shí)上，最終用戶可能會(huì)發(fā)現(xiàn)他們的隱私受到侵犯。隱私是最終用戶的數(shù)據(jù)被隱藏而不對(duì)其他人可見(jiàn)的能力。缺乏良好加密方法的系統(tǒng)將導(dǎo)致用戶甚至可能不知道的隱私侵犯，或者可能導(dǎo)致身份盜用等網(wǎng)絡(luò)犯罪。上面列出的高級(jí)功能有助于保護(hù)隱私，但可能并不包含在每個(gè)微控制器中。例如，您不會(huì)在 Renesas S1 設(shè)備上找到 HASH 加速器，但您會(huì)在 Renesas S7 上找到一個(gè)。

　　確保系統(tǒng)完整性

　　開(kāi)發(fā)人員通常非常關(guān)注身份驗(yàn)證和加密，以至于很多時(shí)候他們沒(méi)有考慮系統(tǒng)完整性的重要性。完整性是衡量軟件可信度的指標(biāo)。許多開(kāi)發(fā)人員會(huì)在啟動(dòng)時(shí)假設(shè)應(yīng)用程序沒(méi)有損壞或被注入惡意軟件。對(duì)于不斷連接到 Internet 的設(shè)備，這是一個(gè)糟糕的假設(shè)。

　　開(kāi)發(fā)人員可以使用一些技術(shù)來(lái)驗(yàn)證其系統(tǒng)的完整性。首先，您可以將 CRC 或校驗(yàn)和添加到存儲(chǔ)在閃存中的應(yīng)用程序映像中。啟動(dòng)系統(tǒng)時(shí)，引導(dǎo)代碼會(huì)計(jì)算校驗(yàn)和或 CRC，并驗(yàn)證它是否仍與預(yù)期值匹配。或者，您可以使用 Renesas SSP 中包含的軟件組件，例如安全啟動(dòng)框架 （QSA）。它不僅提供安全啟動(dòng)功能，還提供受保護(hù)的內(nèi)存位置，防止惡意軟件或其他代碼訪問(wèn)整個(gè)系統(tǒng)。這使您可以為不同的應(yīng)用程序組件創(chuàng)建沙箱以確保它們的安全。

　　可用性

　　嵌入式系統(tǒng)應(yīng)該幾乎 100% 可用，但有時(shí)黑客可能會(huì)執(zhí)行分布式拒絕服務(wù) （DDoS） 攻擊，導(dǎo)致線程不足或內(nèi)存溢出，進(jìn)而導(dǎo)致系統(tǒng)停機(jī)。為了保護(hù)嵌入式系統(tǒng)并防止這種情況發(fā)生，但一定要使用能夠啟用內(nèi)存保護(hù)和管理應(yīng)用程序的 RTOS，以確保霸道的任務(wù)不會(huì)導(dǎo)致整個(gè)系統(tǒng)癱瘓。

　　安全入門

　　嵌入式安全可以被認(rèn)為是一個(gè)利基領(lǐng)域，因?yàn)樵谖锫?lián)網(wǎng)之前安全并不是一個(gè)問(wèn)題。設(shè)備曾經(jīng)被斷開(kāi)連接，這極大地限制了它們的攻擊區(qū)域。但是，連接的設(shè)備隨時(shí)可能在各種情況下受到攻擊。學(xué)習(xí)嵌入式安全的最佳方式是從板凳上開(kāi)始。有兩個(gè)開(kāi)發(fā)套件，即前面提到的瑞薩 S1 和瑞薩 S7，可用于快速啟動(dòng)安全工作。

　　圖 3：在縮??小硬件加密選擇范圍之前，瑞薩電子 SK-S7G2 開(kāi)發(fā)套件是開(kāi)始探索安全概念的最佳場(chǎng)所。（來(lái)源：瑞薩電子美國(guó)）

　　每個(gè)開(kāi)發(fā)套件都有 Arduino 接頭分線器，因此可以輕松地將藍(lán)牙模塊等硬件屏蔽添加到開(kāi)發(fā)套件中，以進(jìn)行定制設(shè)計(jì)工作。Renesas S7 包括一個(gè)以太網(wǎng)端口，當(dāng)與 SSP 結(jié)合使用時(shí)，您可以在短時(shí)間內(nèi)啟動(dòng)并運(yùn)行物聯(lián)網(wǎng)設(shè)備。

　　當(dāng)?shù)谝淮伍_(kāi)始探索安全概念時(shí)，您可能希望首先關(guān)注 S7，因?yàn)樗鼡碛兴械幕ɡ锖诓⑶夜δ茏顝?qiáng)大。一旦您了解了平臺(tái)的功能和終端系統(tǒng)的要求，那么考慮降低您的硬件加密功能才有意義。

　　結(jié)論

　　設(shè)計(jì)人員在保護(hù)其嵌入式系統(tǒng)方面面臨的挑戰(zhàn)，從身份驗(yàn)證到系統(tǒng)完整性和高可用性，乍一看似乎難以承受。然而，具有內(nèi)置功能、掛鉤和庫(kù)的微控制器正在興起，可幫助開(kāi)發(fā)人員應(yīng)對(duì)這些挑戰(zhàn)并簡(jiǎn)化流程。一個(gè)很好的例子是本文研究的 Renesas Synergy 微控制器及其相關(guān)評(píng)估平臺(tái)。