如果你是嚴(yán)重過敏體質(zhì)，就不能隨便吃任何食物。在進(jìn)食前，你首先得清楚食物的成分，不知道成分的食物不應(yīng)該被你進(jìn)食。DwCesmc

無論是個人消費(fèi)者，還是企業(yè)消費(fèi)者，他們對電子產(chǎn)品的態(tài)度基本一致——他們在購買汽車、醫(yī)療設(shè)備、關(guān)鍵基礎(chǔ)設(shè)施等電子產(chǎn)品時，很少有人/組織清楚所購買產(chǎn)品的組成部分，更不用說知曉這些產(chǎn)品是否存在安全風(fēng)險。DwCesmc

我們經(jīng)常會忘記所有軟件都是在硬件上運(yùn)行的，Marc Andreessen是最早意識到“軟件正在吞噬世界”的人之一。硬件復(fù)雜性的增長速度與軟件代碼規(guī)模的增長速度相似。如今，半導(dǎo)體制造商開發(fā)出非常多的定制芯片，很多這類芯片內(nèi)置了硬件安全支持功能，從而也帶來了更多的安全風(fēng)險。DwCesmc

歸根結(jié)底，產(chǎn)品的安全性取決于它最薄弱的組件，如果不了解產(chǎn)品基本功能之外的成分細(xì)節(jié)，組織就無法承擔(dān)集成技術(shù)的成本。雖然這些成分可能無害，但它們也可能為攻擊者打開“大門”。我們需要像關(guān)心食物一樣關(guān)注電子產(chǎn)品，要了解它由什么組成以及它的成分有多安全。DwCesmc

硬件芯片漏洞也能被遠(yuǎn)程利用

對于食物，消費(fèi)者已經(jīng)養(yǎng)成了閱讀配料表或詢問食物成分的習(xí)慣。這當(dāng)然不是一個完美的世界，但配料表的透明度引導(dǎo)消費(fèi)者選擇適合自己的產(chǎn)品，問責(zé)制則推動更好的質(zhì)量體系。DwCesmc

同樣地，在制造業(yè)中，“物料清單(BOM)”是一個眾所周知的概念，它提供了構(gòu)建產(chǎn)品所需的原材料、組件和零部件的清單和數(shù)量信息。在軟件方面，以“軟件物料清單(SBOM)”的形式對該清單進(jìn)行了安全細(xì)節(jié)補(bǔ)充(SBOM是指包含構(gòu)建軟件中使用的各種組件的詳細(xì)信息和供應(yīng)鏈關(guān)系的正式記錄)。DwCesmc

有時候，90%-95%的軟件應(yīng)用程序是由用戶從未意識到的開源組件構(gòu)建的。SBOM不僅會告訴您軟件應(yīng)用程序中有哪些組件，還會告訴您這些組件是否是最新版本，以及其中是否存在已知的安全漏洞，這可能使整個應(yīng)用程序容易受到網(wǎng)絡(luò)攻擊。DwCesmc

去年，美國聯(lián)邦政府出臺《關(guān)于改善國家網(wǎng)絡(luò)安全的行政命令》后，SBOM獲得了更多的支持。它要求所有軟件供應(yīng)商向聯(lián)邦政府提供SBOM信息，以便政府機(jī)構(gòu)清楚他們所使用軟件的各種組件詳細(xì)信息和供應(yīng)鏈關(guān)系。一旦出現(xiàn)新的安全問題，例如遠(yuǎn)程攻擊的漏洞，政府機(jī)構(gòu)可以通過SBOM快速做出反應(yīng)。DwCesmc

與軟件不同的是，自2017年發(fā)現(xiàn)“幽靈(Spectre) ”和“熔毀(Meltdown) ”漏洞后，直到最近硬件安全問題才得到更多關(guān)注。在此之前，人們普遍認(rèn)為，如果沒有物理訪問權(quán)限，黑客是無法攻擊芯片的。現(xiàn)在我們知道，硬件的安全設(shè)計缺陷，有時也能被遠(yuǎn)程利用。DwCesmc

例如，遠(yuǎn)程執(zhí)行的非特權(quán)軟件應(yīng)用程序，可以利用特定的硬件漏洞，來提取機(jī)密或劫持系統(tǒng)的控制權(quán)。此外，這類攻擊可以自動進(jìn)行，并可能針對包括易受攻擊的硬件在內(nèi)的所有產(chǎn)品，使攻擊更具可擴(kuò)展性和影響力。更糟糕的是，芯片一旦被部署，就不可能或很難修復(fù)硬件漏洞。DwCesmc

可遠(yuǎn)程利用的硬件漏洞最近才受到更多關(guān)注，它并沒有像軟件漏洞那樣受到重視。隨著越來越多公司意識到風(fēng)險，我們?nèi)栽诤艽蟪潭壬咸幱趯W(xué)習(xí)階段。DwCesmc

硬件材料清單(HBOM)提供了關(guān)于硬件組件安全的詳細(xì)信息，包括其安全性驗證，可以補(bǔ)充SBOM，揭示任何電子產(chǎn)品的安全性狀況。SBOM和HBOM的結(jié)合，可以提供產(chǎn)品的整體視圖，允許組織在其生命周期內(nèi)跟蹤成分，并在硬件或軟件中發(fā)現(xiàn)漏洞時支持更快的行動。DwCesmc

硬件BOM需要顯示的安全信息

HBOM的基礎(chǔ)是相當(dāng)于采用SBOM的方法，來記錄和跟蹤硬件安全漏洞，例如最近發(fā)現(xiàn)的蘋果M1芯片中的Augury漏洞。了解哪些硅版本易受攻擊，了解哪些產(chǎn)品使用受影響的芯片，可以更好地指導(dǎo)如何評估業(yè)務(wù)風(fēng)險，以及了解哪些產(chǎn)品需要安全更新。DwCesmc

然而，我們應(yīng)該進(jìn)一步研究HBOM的內(nèi)容，并包括演示在規(guī)劃、開發(fā)和驗證硬件組件期間如何考慮安全性的構(gòu)件。披露的信息越多，HBOM在判斷產(chǎn)品安全性和發(fā)現(xiàn)漏洞時的驅(qū)動行為方面就越有價值。示例包括：DwCesmc

• 安全特性和驗證要求記錄了產(chǎn)品規(guī)劃階段的安全意圖；
• 設(shè)計中考慮的威脅模型，包括潛在攻擊向量和假想攻擊者的能力；
• 集成的安全設(shè)計組件和保護(hù)機(jī)制，以應(yīng)對潛在的攻擊；
• 第三方和內(nèi)部開發(fā)的IP塊及其安全態(tài)勢；
• 應(yīng)用安全驗證方法并詳細(xì)記錄結(jié)果；
• 應(yīng)用標(biāo)準(zhǔn)編制，如通用弱點(diǎn)列舉(CWE™)或ISO標(biāo)準(zhǔn)，如ISO/SAE 21434(道路車輛網(wǎng)絡(luò)安全工程)、ISO/IEC 19790(密碼模塊的安全要求)或ISO/IEC 15408(通用標(biāo)準(zhǔn))；
• 任何應(yīng)用的安全認(rèn)證及其文檔。

當(dāng)然，HBOM可能不是一個絕佳的妙計。但它們可以建立一種透明度，允許在產(chǎn)品設(shè)計、支持和維護(hù)期間做出明智的決策，并對任何安全事件作出響應(yīng)。結(jié)合采用新興的產(chǎn)品安全標(biāo)準(zhǔn)，HBOM可以幫助我們實現(xiàn)更高級別的可見性、保障和安全性。DwCesmc

本文翻譯自國際電子商情姊妹刊EE times us，原文標(biāo)題：Hardware Bill of Materials: Essential in Electronics as Ingredients are to FoodDwCesmc