PUF 技术如何减轻未来的 SunBurst 型黑客攻击

2020 年 12 月 14 日，向美国政府和私营企业提供网络监控软件的 SolarWinds 报告了历史上最大的网络攻击之一，破坏了多达 18,000 个组织和公司的数据。由一个可能由外国政府支持的未知组织发起的所谓“Sunburst”攻击始于 2020 年 3 月，并渗透到美国情报和国防组织以及微软和思科系统等公司。

由于 Sunburst 这么多月都未被发现，网络安全专家仍在评估其影响以及攻击是否已被完全遏制。前美国国土安全顾问 Thomas P. Bossert警告说，将攻击者从美国网络中驱逐可能需要数年时间，同时允许他们继续监控、破坏或篡改数据。虽然很少有人尝试评估恢复成本，但肯定会达到数十亿美元。美国参议员理查德·德宾将这次袭击描述为宣战。

被利用的漏洞是什么？

黑客利用了 SolarWinds 松懈的安全性。利用的漏洞向量是 FTP 服务器的弱密码且可能已泄露。

在 SolarWinds 站稳脚跟后，攻击者修改了 Orion 软件更新的源代码，以包含后门恶意软件，该恶意软件通过现有的软件补丁发布管理系统进行编译、签名和交付。被利用的缺陷包括不受信任的开源和第三方软件、代码签名的弱点以及恶意软件通过软件开发生命周期时不正确的代码完整性检查。

随着用户安装 SolarWinds Onion 更新木马，攻击者获得了一个后门来进入目标网络、渗透 Microsoft Office 365 帐户、伪造安全断言标记语言 (SAML) 令牌以伪装成合法用户并滥用单点登录 (SSO) 联合身份验证机制，以获取升级权限和非法访问其他本地服务以及云服务。

避免类似 Sunburst 的黑客入侵的主要方法如下：

通过防止利用软件分发漏洞加强开发系统和更新服务器安全

通过禁止恶意软件访问攻击者的 C2（命令和控制）渠道并限制凭据滥用来降低组织软件供应链风险。

PUF 如何防止类似 Sunburst 的攻击

信任根 (RoT) 是在硬件中实现的一组功能，始终受设备操作系统的信任。它包含用于加密功能的密钥并启用安全启动过程。可信平台模块 (TPM) 是 RoT 的一个示例。美国国防部 (DoD) 要求其新的计算机资产包括 TPM 1.2 或更高版本。DoD 旨在使用 TPM 进行设备识别、身份验证、加密和设备完整性验证。

物理不可克隆功能 (PUF) 可以进一步增强 RoT 安全性。PUF 是一种物理定义的“指纹”，用作半导体的唯一身份，具有防篡改特性，可用于安全认证。RoT 最安全的实现是在硬件中，它可以免受恶意软件攻击。因此，基于芯片的PUF可以为安全提供坚实的基础。

我们相信，PUF 将在减轻类似 Sunburst 的黑客攻击方面发挥关键作用，这要归功于它们执行数字认证和身份认证的能力。基于 PUF 的 RoT 可以通过以下方式发挥关键作用：

防止未经授权访问软件开发系统和服务器。基于 PUF 的 RoT 解决方案可以与 Microsoft 身份验证协议（例如 NetLogon）或其他无密码开放身份验证标准（如 FIDO（快速在线身份验证））一起使用，并促进基于使用身份验证密钥对的签名创建的更强大的多因素身份验证。

即使在开发人员的平台上也能确保源代码的完整性。黑客进入 SolarWinds 的系统及其开发者平台，将木马嵌入到其代码库中。如果为版本控制部署了完整性检查，SolarWinds 工程师可能会发现他们的代码已被更改。可以用代码标记 PUF 密钥以创建散列摘要以确保源代码的完整性。

确保更新程序的机密性和完整性。一旦保证了代码库的完整性，就保证了最终程序的完整性。然后，通过OTA（online-trust-architecture）更新用户的程序，需要对程序进行加密和哈希处理，以便用户接收到正确的程序。启用 PUF 的芯片安全边界内的加密引擎可以生成密钥以执行加密和完整性功能。

我们可以防范未来的攻击吗？

很明显，传统的基于软件的安全解决方案在检测或缓解 Sunburst 攻击方面是无效的。我们提倡更有效的模式。

PUF 可以为安全基础提供不可伪造的用户身份和凭证、强大的身份验证和用于代码签名的密钥，以及安全启动、更新和访问控制等功能。根据 ENISA 的物联网安全指南，PUF 被推荐为一项关键技术。PUF 预计将提供强大的 RoT 作为安全措施（例如，固件签名或安全启动）的基础，以及明确的设备识别/身份验证以确保给定芯片/设备是真实的。PUFsecurity 提供了我们的 NeoPUF 技术作为 RoT 解决方案，以保护 IoT 供应链。在这个坚实的基础上，我们乐观地认为，软件供应链的增强型 PUF 解决方案可以抵御未来类似 Sunburst 的攻击。

我们希望 SolarWinds 黑客攻击能够推动根本性改革。尽管互联网技术呈指数级增长，但安全措施的发展通常是事后才考虑的。我们提倡对黑客进行多层次的防御，包括更好的管理实践、改进的软件安全性和硬件级别的重要保护措施。我们公司 PUFsecurity 多年来一直专注于这些威胁，并提供了一系列可以整合到其他公司芯片中的知识产权。

参考：

高度规避的攻击者利用 SolarWinds 供应链通过 SUNBURST 后门危害多个全球受害者 火眼公司

SolarWinds Sunburst 攻击：您需要知道什么以及如何保持保护 – Check Point 软件

近期 Sunburst 目标攻击概述 (trendmicro.com)

SunBurst：下一个级别的隐身 (reversinglabs.com)

Hsu, Charles，“A Must for AI/IOT Era PUF based Hardware Security”，第 30届VLSI Design/CAD Symposium的主题演讲，2019 年 8 月 8 日。

PUF：人工智能和物联网的关键技术（design-reuse.com）

由芯片运行，由芯片保护 – NeoPUF 解决方案的硬件安全 (design-reuse.com)

ENISA，“物联网安全指南：物联网安全供应链”，2020 年 11 月

审核编辑 黄昊宇