PUF技术如何减轻未来的SunBurst型黑客攻击

2020年12月14日,向美国政府和私人企业提供网络监控软件的SolarWinds报告了历史上最大的网络攻击之一,突破了多达18,000个组织和公司的数据。一个可能仍受外国政府支持的未知团体所谓的“朝阳”攻击始于2020年3月,渗透到了美国情报和国防组织以及微软和思科等公司。

由于Sunburst连续数月未被发现,因此网络安全专家仍在评估其影响以及攻击是否已得到完全遏制。 前美国国土安全顾问Thomas P. Bossert 警告说,将攻击者逐出美国网络可能需要花费数年时间,从而使他们在此期间仍可以继续监视,破坏或篡改数据。尽管很少有人尝试评估恢复成本,但是肯定会达到数十亿美元。美国参议员理查德·德宾(Richard Durbin)将这次袭击描述为宣战。

 

被利用的漏洞是什么?

黑客利用了SolarWinds宽松的安全性。利用的漏洞向量是FTP服务器的密码薄弱且可能已泄漏。

在SolarWinds中立足后,攻击者修改了Orion软件更新的源代码,以包含后门恶意软件,该恶意软件是通过现有软件补丁程序发行管理系统进行编译,签名和交付的。被利用的缺陷包括不受信任的开源和第三方软件,在恶意软件通过软件开发生命周期传递时的代码签名缺陷和不正确的代码完整性检查。

当用户安装SolarWinds Onion更新木马时,攻击者获得了进入目标网络的后门,渗透了Microsoft Office 365帐户,伪造了安全断言标记语言(SAML)令牌以伪装成合法用户并滥用联合单点登录(SSO)身份验证机制,以获取提升的特权以及对其他本地服务和云服务的非法访问。

避免类似Sunburst的黑客入侵的主要方法如下:

  • 通过防止利用软件分发漏洞来加强开发系统并更新服务器安全性
  • 通过禁止恶意软件访问攻击者的C2(命令和控制)渠道并限制凭据滥用,降低组织软件供应链风险。

PUF如何防御类似森伯斯特的攻击

信任根(RoT)是在硬件中实现的一组功能,这些功能始终受设备操作系统的信任。它包含用于加密功能的密钥,并启用安全的引导过程。可信平台模块(TPM)是RoT的一个示例。美国国防部(DoD)已要求其新计算机资产包括TPM 1.2版或更高版本。国防部的目标是使用TPM进行设备识别,身份验证,加密和设备完整性验证。

物理不可克隆功能(PUF)可以进一步增强RoT安全性。 PUF是物理定义的“指纹”,可作为半导体的唯一标识,并具有防篡改质量以进行安全认证。 RoT的最安全实现是在硬件中进行的,它可以免受恶意软件攻击。因此,基于芯片的PUF可以为安全性提供坚实的基础。

我们相信,由于PUF具有执行数字认证和身份认证的能力,因此它们在缓解类似Sunburst的黑客攻击方面将发挥关键作用。基于PUF的RoT可以通过以下方式发挥关键作用:

  • 防止未经授权访问软件开发系统和服务器。基于PUF的RoT解决方案可以与Microsoft身份验证协议(例如NetLogon)或另一种无密码的开放式身份验证标准(例如FIDO(快速身份在线))一起使用,并基于使用身份验证密钥对创建签名的方式,促进更强大的多因素身份验证。
  • 即使在开发人员平台中,也要确保源代码的完整性。黑客进入了SolarWinds的系统及其开发人员平台,将特洛伊木马程序嵌入其代码库中。如果已经部署了完整性检查以进行版本控制,则SolarWinds工程师可能会发现其代码已更改。 PUF密钥可以用代码标记,以创建散列摘要,以确保源代码的完整性。
  • 确保更新程序的机密性和完整性。一旦确保了代码库的完整性,就可以确保最终程序的完整性。然后,要通过OTA(在线信任体系结构)更新用户的程序,则需要对该程序进行加密和哈希处理,以便用户可以接收正确的程序。在启用了PUF的芯片的安全边界内的加密引擎可以生成密钥以执行加密和完整性功能。

我们可以防范未来的攻击吗?

很明显,传统的基于软件的安全解决方案在检测或缓解Sunburst攻击方面无效。我们提倡更有效的模式。

PUF可以为安全性基础提供功能,例如不可伪造的用户身份和凭证,健壮的身份验证以及用于代码签名的秘密密钥,以及安全启动,更新和访问控制。根据ENISA的IoT安全指南,建议将PUF作为一项关键技术。 PUF有望提供强大的RoT作为安全措施(例如,固件签名或安全启动)的基础,以及明确的设备标识/认证以确保给定的芯片/设备是真实的。我们PUFsecurity已将NeoPUF技术作为RoT解决方案提供,以确保IoT供应链的安全。在这个坚实的基础上,我们乐观地认为,针对软件供应链的增强型PUF解决方案可以抵御未来类似Sunburst的攻击。

我们希望SolarWinds的黑客行为会刺激基础性的改革。尽管Internet技术呈指数级增长,但是安全措施的开发通常是事后才想到的。我们提倡针对黑客的多层防御,其中包括更好的管理实践,改进的软件安全性以及在硬件级别上的重要防护措施。我们的公司PUFsecurity多年来一直专注于这些威胁,并提供可以结合到其他公司的芯片中的一系列知识产权。

参考:

  1. 高度逃避的攻击者利用SUNWINRST后门利用SolarWinds供应链来损害多个全球受害者|德州仪器TI.com.cn火眼公司
  2. SolarWinds Sunburst攻击:您需要了解什么以及如何保持受保护– Check Point软件
  3. 近期针对森伯斯特攻击的概述(trendmicro.com)
  4. SunBurst:更高级别的隐身性(reversinglabs.com)
  5. Hsu,Charles,“基于AI / IOT时代PUF的硬件安全必备”,The 30的主题演讲 VLSI设计/ CAD专题讨论会,2019年8月8日。
  6. PUF:人工智能和物联网的关键技术(design-reuse.com)
  7. 由芯片运行,由芯片保护– NeoPUF解决方案的硬件安全性(design-reuse.com)
  8. ENISA,“安全物联网指南:物联网安全供应链”,2020年11月

Albert Jeng 是以下机构的信息安全顾问 PUFsecurity。在他40年的职业生涯的大部分时间里,他一直在信息安全领域担任研究员,顾问和教育家的工作。除了持续从事顾问工作外,他最近还是台湾国立清华大学计算机科学与信息工程系的兼职正教授。

>>本文最初发布在我们的姊妹网站上, 电子工程 时报.


相关内容:

要获得更多嵌入式产品, 订阅嵌入式’的每周电子邮件通讯.

发表评论

该网站使用Akismet减少垃圾邮件。 了解如何处理您的评论数据.