嵌入式系统安全

本书提供了一个关于安全法则、安全薄弱环节以及相关可用技术的概述。通过对真实的系统漏洞案例和出于安全需要的开发实例的讲解，给出了抵消安全风险的有效技术及建议。领域涉及数据保护协议、新兴的嵌入式系统、网络、密码系统、系统体系结构、操作系统和存储技术。本书提供给大家使嵌入式系统更可靠、更安全、更有保障的终极建议；本书展示了对安全法则、安全担忧及相关技术的深刻理解；本书介绍了高效开发安全可靠嵌入式软件的成熟技术；当设计安全可靠的嵌入式系统时，系统架构、操作系统、管理程序、网络、存储以及加密，这些都必须被作为研究课题。这是嵌入式系统和安全从业人员必读的一本书，无论是新手还是专家。

推荐序
译者序
序
前言
第1章嵌入式系统安全绪论 1
¨什么是安全 l
1.2什么是嵌入式系统 1
1.3嵌入式安全趋势 3
1.3.1嵌入式系统的复杂度 4
1.3.2网络连接 9
1.3.3关键性基础架构对嵌入式
系统的依赖 一11
1.3.4复杂的攻击者 12
1.3.5处理器整合 13
1.4安全策略 14
1.4.1绝对安全 14
1.4.2保密性、完整性和实用性 15
1.4.3隔离 15
1.4.4信息流控制 16
1.4.5物理安全策略 16
1.4.6特定应用软件的安全策略 16
1.5安全威胁 17
1.6总结 18
参考文献 18
第2章 系统软件的安全考量 19
2.1操作系统角色 19
2.2多重独立安全等级 19
2.2.1信息流20
2.2.2数据隔离 20
2.2.3损害控制 20
2.2.4周期性处理 20
2.2.5 -直激活 21
2.2.6防篡改 21
2.2.7可评估 21
2.3微内核与单内核 23
2.4嵌入式操作系统核心安全要求 25
2.4.1内存保护 25
2.4.2虚拟内存 25
2.4.3故障恢复 27
2.4.4资源保护 27
2.4.5虚拟设备驱动 30
2.4.6确定性影响 30
2.4.7安全调度 33
2.5访问控制与访问能力 34
2.5.1案例分析：安全Web
浏览器 35
2.5.2访问控制的粒度与简化 36
2.5.3 白名单与黑名单 38
2.5.4职责混淆问题 39
2.5.5能力与访问控制表 39
2.5.6能力约束与收回 43
2.5.7使用能力系统的安全设计 44
2.6系统管理程序与系统虚拟化 46
2.6.1系统虚拟化介绍 48
2.6.2系统虚拟化应用 48
2.6.3环境沙箱 49
2.6.4虚拟安全设施 49
2.6.5系统管理程序架构 49
2.6.6半虚拟化 52
2.6.7充分利用硬件辅助实现
虚拟化 52
2.6.8系统管理程序的安全性 54
2.7 110虚拟化 56
2.7.1共享I/O的需求 56
2.7.2仿真技术 56
2.7.3直通技术 56
2.7.4共享IOMMU 58
2.7.5 IOMMU与虚拟设备驱动 58
2.7.6微内核中的安全I/O虚拟化 59
2.8远程管理 60
2.9确保TCB的完整性 62
2.9.1可信硬件和供应链 62
2.9.2安全引导 62
2.9.3静态可信根与动态可信根 63
2.9.4远程认证 64
参考文献 65
第3章安全嵌入式软件开发 67
3.1 PHASE的介绍 67
3.2最少实现 68
3.3组件架构 68
3.3.1运行时组件化 69
3.3.2进程与线程 70
3.4最小化权限 71
3.5安全开发过程 71
3.5.1变更管理 -72
3.5.2同行评审 72
3.5.3开发工具的安全性 74
3.5.4安全编码 76
3.5.5软件测试与验证 107
3.5.6开发过程效率 -112
3.6独立专家验证 113
3.6.1通用标准 114
3.6.2案例分析：操作系统保护
准则 116
3.7案例分析：HAWS l19
3.7.1最少实现 120
3.7.2组件架构 121
3.7.3最小化权限 122
3.7.4安全开发过程 122
3.7.5独立专家验证 122
3.8模型驱动设计 122
3.8.1 MDD概述 123
3.8.2可执行模型 126
3.8.3建模语言 128
3.8.4 MDD平台类型 132
3.8.5案例分析：数字病理
扫描仪 132
3.8.6 MDD平台选择 138
3.8.7在安全关键系统中
使用MDD 145
参考文献 146
第4章嵌入式加密 150
4.1简介 150
4.2美国联邦政府加密指南 151
4.3-次性密码本 152
4.4加密模式 160
4.4.1输出反馈 160
4.4.2加密反馈 160
4.4.3带有CFB保护的0FB 161
4.4.4通信流安全 162
4.4.5计数器模式 162
4.5块加密 163
4.6认证加密 165
4.6.1 CCM 166
4.6.2伽罗瓦计数器模式 166
4.7公钥加密 166
4.7.1 RSA 168
4.7.2等效密钥强度 169
4.7.3陷门构建 l69
4.8密钥协商 170
4.9公钥认证 172
4.10椭圆曲线加密 174
4.10.1椭圆盐线数字签名 175
4.10.2椭圆曲线匿名密钥协商 175
4.11加密散列 175
4.11.1安全散列算法 176
4.11.2 MM0 176
4.12消息认证码 177
4.13随机数生成 ‘177
4.13.1真随机数生成 178
4.13.2伪随机数生成 181
4.14嵌入式系统的密钥管理 183
4.14.1密钥管理——通用模型 183
4.14.2密钥管理案例分析 l88
4.15加密认证 ‘l97
4.15.1 FIPS 140-2认证 ‘197
4.15.2 NSA认证199
参考文献 202
第5章嵌入式系统数据保护
协议 205
5.1简介 205
5.2动态数据协议 205
5.2.1广义模式 205
5.2.2选择安全的网络层 209
5.2.3以太网安全协议 210
5.2.4网络层安全协议与安全
5.2.5套接层协议 ‘213
5.2.6网络层安全协议 一214
5.2.7安全套接层协议／传输层
安全协议 ‘219
嵌入式虚拟专用网络
客户端 222
5.2.8数据包安全传输协议 一223
5.2.9安全外壳协议 一224
5 .2.10 自定义网络安全协议 ‘225
5.2.11 网络安全协议加密实现 ‘227
5 .2.12安全多媒体协议 227
5.2.13广播安全 231
5.3静态数据协议 一 一236
5.3.1安全存储层的选择 一237
5.3.2对称加密算法的选择 一238
5.3.3存储加密密钥的管理 一241
5.3.4对数据加密解决方案的
高端威胁 243
参考文献 245
第6章新兴应用技术．249
6.1嵌入式网络交易 249
?6.1.1剖析网络交易 一250
6.1.2不安全状态 250
6.1.3网络交易的威胁 251
6.1.4提高网络交易安全的
前沿尝试 253
6.1.5可信赖嵌入式交易体系
结构 258
6.2汽车安全 260
6.3安卓系统安全 263
6.3.1安卓系统安全回顾 263
6.3.2安卓设备Rooting 264
6.3.3手机数据保护：深度防护的
一个实例研究 一265
6.3.4安卓沙箱处理方法 一267
6.4下一代软件定义无线电 271
6.4.1红黑分离 271
6.4.2软件定义无线电体系结构 271
6.4.3进入Li肌x 272
6.4.4多域无线电 273
参考文献 274

关于本书本书的目的是希望帮助嵌入式开发人员，提高产品的安全性和可靠性。虽然有些图书涉及了嵌入式系统安全，但内容的主题相当狭窄，几乎完全专注于硬件相关问题，或网络安全协议及其底层加密。相比之下，本书旨在实现一种全面的、系统层面的安全：硬件、平台软件（例如操作系统和系统管理程序）、软件开发流程、数据保护协议（网络和存储）以及加密。 虽然没有哪个标题能够实际涵盖嵌入式系统安全的每一个话题，但本书尝试解决构建当代嵌入式系统中主要与安全相关的组块。 读者会获得一种对关键系统软件和硬件问题的深刻理解，这些问题是设计安全嵌入式系统必须要考虑的。大多数嵌入式系统开发人员并不会去写他们自己的操作系统和网络协议，也不用设计他们自己的微处理器。因此，精通与这些平台组件安全相关的知识，对做出正确的嵌入式设计选择，特别是在某个特定操作环境下满足安全目标至关重要。 读者将学习一种有效地开发安全嵌入式软件的方法。除了合理地应用平台组件之外，嵌入式开发人员必须设计自己的软件，并且保证以最高可用安全级别的方式集成整个系统。因此，本书的一个重要目标是讨论用于开发安全软件行之有效的实用技术。我们也尝试拆穿这样的“神话”，即为了大大提升软件安全，不可能不投入与之相当的开发时间和成本。书中提出的方法源自行业标准和实际经验的结合。我们相信，嵌入式系统开发人员在这方面严重缺乏高质量的指导。我们的目标是填补这个空白。 读者对象本书主要面向参与嵌入式系统开发的工程专业人员。硬件、软件和系统工程师，以及架构师多多少少都会涉及嵌入式系统安全。 计算机安全最重要的原则之一是，若系统的最初设计未考虑计算机安全，则改造系统的?安全能力是困难且不明智的，而且常常在经济上或技术上都是不可行的。因此，为了提高嵌入式系统领域的安全性，唯一的希望是指导开发人员，必须学会像思考功能、内存占用和调试一样思考安全问题。 本书还为专业人士提供了一个重要的参考，即关于嵌入式系统的测试和质量保证。这些工程师必须学会测试安全强度，但这方面的挑战要比测试某个功能规范要困难得多。因为即使可能的话，完全列举潜在的安全威胁通常也是很困难的。安全测试需要巨大的创造力和决心。但是，质量控制工程师拥有很多工具可以解决这个问题，而且本书的一个重点是提供此工具箱相关的实用指导。 对于构建安全嵌入式系统的关注必须渗入到组织中。开发人员的培训必须包括阅读像本书一样的教材，参加有安全指导的技术会议，从项目的关键硬件和软件供应商得到的训练，以及经常性地接触相关的时事。因此，本书面向负责确保开发人员设计的安全性的管理团队。管理必须要了解嵌入式安全问题，而且必须成为这种培训的卖点。在汽车的示例中，本书提及的管理要负责单个组件，例如一个信息娱乐系统和这些组件的集成（例如，主要的一级供应商和汽车制造商），以及产品整体的集成。事实上，汽车、飞机、火车、工业控制系统，或任何其他类型的电子产品，都有着大量的嵌入式系统，负责制造这些产品的企业的副总裁、总经理和管理者将因阅读本书受益，并会放在书架上以供参考。 除了与安全相关的专业人士之外，本书也为对可靠性要求较高的嵌入式系统开发人员提供指导，这些系统包括生死攸关的医疗设备、航空电子设备和其他运输系统、通信系统，甚至像智能手机这样大容量、复杂的消费类设备。对于构建安全、可靠的嵌入式系统存在巨大的共性需求。 最后，本书中的很多安全概念，特别是软件开发实践，是与工程专业相关的，但是已经超出了嵌入式系统领域。例如，本书教导Web应用程序开发人员，不仅要关心脚本和数据库的漏洞，还要全面了解Web服务器可能对操作系统、其他应用程序以及底层的计算机硬件的安全的影响（反之亦然）。 相对资深的工程师和架构师阅读本书也有帮助。但对于入门级的程序员，以及大多数经验丰富却相对缺乏安全问题相关经验的开发人员，这本书对他们是相当有用的。甚至有大量安全背景和知识的工程师可能会发现，本书也有助于完善他们的“知识库”。 虽然本书并没有写成教科书的风格，但对于计算机科学或工程学科中教授或学习嵌入式系统的在校教师和学生也会有帮助。在全球技术学院中，嵌入式系统开发是一门极缺乏的学科，而且几乎没有嵌入式安全的指导。 ?本书内容安排我们建议所有读者从头至尾按顺序阅读所有章节。对于那些时间紧迫的人，我们进行了以下梳理，根据工作职能对内容进行了主次之分。 第1章讨论了在嵌入式系统中提升安全性的发展趋势，接着介绍了威胁的基本定义以及对抗这些威胁所采取的保护策略。在本质上，我们采用了不同的安全和嵌入式系统观念，并且总结了它们在现代嵌入式系统中的交集。第1章还提供了在一些最激动人心、发展迅速而且重要的新型嵌入式系统技术领域中安全概念和指导的示例应用，包括智能手机、智能电网，并展望了嵌入式安全趋势。这一章强烈推荐给所有读者。 第2章全面地讨论了安全问题以及与平台软件相关的最佳推荐的应用，包括操作系统、超级管理程序和多重独立安全等级( MILS)架构。该章还讨论了与整个系统安全架构相关的关键安全问题和最佳推荐实践，以及对可用的硬件功能的影响，如MMU、IOMMU和虚拟化加速。该章对于工程师、架构师和技术经理最为重要。 第3章旨在最大限度地保证嵌入式软件的安全。关键性的原则和指导贯穿了整个章节，因此该章对于软件开发人员以及技术经理最为关键。 第4章概述了大多数重要的加密算法、密钥管理和美国政府面向嵌入式系统的相关指导。除了涵盖这些基本内容之外，我们还讨论了嵌入式系统环境下的加密概念以及特有的制约和要求。如果读者没有扎实的密码学基础，都应该阅读该章。即使当前项目没有用到加密功能，但是在将来的项目中也很有可能用到。加密和验证构成了所有数据保密与网络访问保护的基石。 第5章涵盖了最重要、最广泛的网络安全协议，例如IPSec和传输层安全(TLS)以及存储加密方法，并且强调了在资源有限的嵌入式系统中的实现问题。该章为专业人士在最新安全协议标准及其修订版本方面提供一种介绍或补充。该章核心目的之一是帮助开发人员为涉及安全的相关系统层（网络和存储）制定正确的决策。该章还包括了一些高级议题，例如网络时间信道，有兴趣的读者以此可以了解确保重要资源的机密性。 第6章提供了扩展案例的分析，这些都建立在前面章节内容的基础上并加以了应用。该章涵盖了少数新型应用和环境中的安全问题及示例性解决方案架构。第6章推荐给所有读者。 致谢感谢Guy Broadfoot，感谢他为第3章的模型驱动开发部分所做的贡献。 感谢Jack Ganssle，感谢他为本书写的序言以及他给出的审阅和反馈意见。 ? 感谢Michael Barr，感谢他的审阅和反馈， 以及Netrino对《Embedded C CodingStandard》所做的贡献，第3章把该书当作一个案例分析进行了讨论。 感谢Thomas Cantrell、Jack Greenbaum、Dan Hettena和Philippa Hopcroft，感谢他们深思熟虑的审阅和反馈。 感谢Elsevier公司的编辑Tim Pitts和Charlotte Kent，感谢他们对整个项目的支持。 感谢本书的插图设计者Tamara Kleidermacher，他煞费苦心地为这本书制作了各种插图。 添加可视化手段以辅助技术讨论的能力相当关键，而且Tamara对于视觉风格和统一很有天分，大大改善了本书。 Mike要感谢他的儿子Dave，感谢他的邀请使其成为这项工作的合作者。 Mike要感谢Ellwood (Chip) McGrogan，正是他“教会了我所知道的密码学知识”。 David要感谢他的家人-Tamara、Hannah和Aaron-在编写本书的很多夜晚和周末，感谢他们一如既往的支持和非凡的耐心。 David要感谢他的哥哥Paul，作为自己一生的榜样，感谢他坚定不移的鼓励、支持和真诚的忠告。 David要感谢Dan O'Dowd和Mike Kleidermacher，感谢他们几十年来慷慨地分享和传递他们的知识与激情。 David要感谢美国格林希尔软件(Green Hill Software)公司曾经的和现在的员工，感谢他们多年来的支持。这个才华横溢的团队让整个世界变得更加美好，更加安全，与他们共事是我的荣耀。