RISC-V 芯片有多安全？

本文由半导体产业纵横（ID:ICVIEWS）编译自semiengineering
当 Meltdown 和 Spectre 漏洞于 2018 年首次被发现时，它们预示着整个行业对处理器安全性的看法发生了转变。正如 IBM X-Force 威胁情报指数在次年所说，“2018 年迎来了硬件安全挑战的新时代，迫使企业和安全社区重新思考他们处理硬件安全的方式。”,RISC-V正在那个新时代走向成熟，既受益于过去的经验教训，也受益于其开源社区的广泛贡献。
对于大多数攻击，威胁参与者并不关心他们可能针对哪个处理器。Codasip 的首席营销官Rupert Baines 说：“如果有人在进行鱼叉式网络钓鱼，它依赖于你点击 URL 。” “不管你运行的是英特尔处理器还是 Arm M2。如果你单击该链接，就会受到攻击。很多攻击都是这样的。”,对于旨在利用更微妙的漏洞的更复杂的攻击，处理器架构的细节可能会产生重大影响。Baines 说：“当你遇到旁路攻击、幽灵和熔断等问题时，架构和实施就会真正开始变得重要。”,这就是 RISC-V 可以带来一些独特优势的地方。
开放性带来的安全性
RISC-V 的开放式架构允许对其进行持续的仔细检查。Baines 以 2017 年普林斯顿大学的一项研究为例，该研究发现了 RISC-V 规范中的几个错误。虽然有些人认为这些发现是 RISC-V 弱点的迹象，但大多数人不同意。“我们从未能够为英特尔或 Arm 进行这项研究，”他说。“他们可能有同样的漏洞，但因为它是专有的，我们无法查看它。如果那是真的，那么 RISC-V 现在更安全了，因为确实有人看过它，而且它已经被修复了。”,OpenHW Group 总裁兼首席执行官 Rick O'Connor 表示，RISC-V 在应对最初出现的边信道攻击方面同样有用。“围绕这项工作的原始研究论文是使用 RISC-V 架构发表的，只是因为它是唯一开放的架构，”他说。“所以你可以拿到它，把它放在起重机上，拆除它，找出漏洞所在，开发算法来证明你的论点，然后克服它。”,O'Connor说，这种开放性最终使 RISC-V 更加安全。“这似乎有悖常理，但构建安全平台的最佳方式是让整个设计在公共领域开放并可供审查，”他说。“没有后门或隐藏渠道，整个社区都可以努力保护它。”,更重要的是，RISC-V 通过设计提供了一个从一开始就做到这一点的独特机会。“我们拥有干净的'画布'，”Crypto Quantique 首席执行官 Shahram Mossayebi 说。“我们可以以更适合生态系统演变方式的方式做正确的事，正确地构建事物。”,默默无闻的安全时代
互联安全系统 (CSS) 部门的杰出工程师 Peter Laackmann表示，这一切都归结为 Kerckhoffs 的原则——即使攻击者知道系统工作原理的一切，系统也应该保持安全。
“默默无闻的安全时代已经结束，”Laackmann说。“我们正在努力实现透明的安全性，我们会解释事情是如何运作的，而不是隐藏它们。”,Cycuity安全应用工程师 Anders Nordstrom 指出 AES 就是一个很好的例子。“即使你确切地知道 AES 是如何工作的，你也无法对其进行逆向工程并从加密数据中获取密钥。这是解决安全问题的正确方法，”他说。“在有人发现之前，试图隐藏一些东西是有效的。如果架构和安全功能是已知的，并且即使在已知的情况下也可以设计成安全的，那么你就有了更强大的防御。”,不过，Laackmann 表示，重要的是要记住，仅仅因为某些东西是开源的，它不一定经过检查。尽职调查仍然至关重要。“有很多软件包是开源的，每个人都认为有人已经深入研究过它。但随后，事实证明，20 年来没有人这样做——然后安全措施就失败了。所以即使你使用开源，你也必须检查它。”,为此，Nordstrom 表示，验证是关键，尤其是在开源生态系统中。“仅仅因为它是开源和 RISC-V，并不意味着它可以随时使用，”他说。“你必须意识到你得到了什么。如果你从 Arm 购买，你会得到一个黑盒子，但你有信心它已经通过了大量验证。”,开源硬件的风险
商业ISA的风险有着明显更长的跟踪记录，并且该跟踪记录具有先天优势。英特尔和 Arm 拥有更多的经验，他们在那里积累了更多的技术、解决方案和架构，而 RISC-V 社区尚未建立、标准化或推出。
较新的开源解决方案也可能带来其他挑战。Riscure的高级安全分析师 Nicole Fern指出，在设计中包含第三方 IP 始终需要为集成和测试付出努力和预算。但她表示，使用开源硬件时需要付出更大的努力，“尤其是与闭源版本相比缺乏成熟度的开源 IP。例如，Arm 内核已成功集成到 SoC 中并已流片多年。RISC-V 实现达到相同水平还需要一些时间。”,还存在故意引入威胁的风险。“因为任何人都可以发布开源 RISC-V 实现，不良行为者有更多机会发布具有已知漏洞或硬件木马的设计，”Fern 说。“对于有多个贡献者的开源项目，不受信任的实体有机会尝试将易受攻击的补丁或更新推送到其他值得信赖的开源项目中。”,提高安全性和可靠性
尽管如此，随着竞争的加剧，整个 RISC-V 生态系统的安全性将稳步提高。Baines 表示，他预计汽车应用所需的安全级别将在未来 12 到 18 个月内成功。“不是每个人都想为认证付费，不是每个人都想要法律保证，但每个公司都应该有能力提供 ISO 26262 安全和 ISO 21434 安全，”他指出。
事实上，如果你在进行供应商选择，那么确保一家公司能够提供该级别的产品是值得的，无论这是否是真正需要的东西。Baines 说：“我想知道你们作为一个组织是否具备这些能力和理解力，因为这让我对你们进行所有工程设计的方式充满信心。”,对资产进行分类并进行威胁建模以评估需要保护的内容也很重要。“一旦你了解系统中的重要内容，你就需要开始编写安全要求，”Nordstrom 说。“这些安全要求表明，‘这是我的资产，这就是信息安全的方式。’”,Nordstrom 说，硬件安全所需要的与验证任何其他方面所需要的非常相似。“你需要一个计划，你需要确保你遵循这个计划。之后，你知道你可以要求什么，你知道你觉得你需要的是安全的。”,对于任何系统，无论是否开源，都是如此。“如果你从别人那里购买处理器或系统，问他们，'告诉我你做了什么来验证没有硬件安全漏洞，'”Nordstrom 说。
构建生态系统
更广泛地说，支持开放标准并努力全面提高质量符合每个公司的自身利益。“质量差会毒害到每个人，所以如果我们能帮助净化每个人，这有助于 RISC-V 生态系统，”Baines说。“这意味着有更多的软件开发人员，意味着有更多的库，意味着有更多的人使用它，这是一个良性循环。”,为此，Baines表示，更多公司支持 OpenHW Group 和 RISC-V International 等组织非常重要。“让我担心 RISC-V 的其中一件事是碎片化的可能性，”他说。“人们正在采用 RISC-V 架构并开发 RISC-V 内核，然后添加他们自己的专有内容，这实际上意味着它不再是可互操作的标准。”,想想移动解决方案，它只有通过共同关注标准和互操作性才能取得成功。“你可以使用带有诺基亚基站、爱立信基站或三星基站的苹果手机——诺基亚、爱立信和三星都在激烈竞争，但它们都可以在同一款苹果手机上使用，”Baines说。“我希望 RISC-V 也朝着同样的方向发展。”,RISC-V 安全性的未来
仅修补安全性不足以让 RISC-V 取得成功。但如果 RISC-V 要用于更主流的应用程序，安全性将是一个要求。
“我们将无法部署所有这些智能和智能的物联网边缘连接设备，如果你可以相信我的东西但你不能相信你的东西，那么这些设备具有我们正在谈论的人工智能和机器学习的所有好处东西，”OpenHW 的 O'Connor 说。“一旦有了这种更好的安全等级，那么作为一个集体，我们就会对社区造成伤害。”,根据 Riscure 的 Fern 的说法，好消息是 RISC-V 的开放性有可能大大提高安全性。“有很多机会从头开始创建具有安全属性的实现，例如提高对故障注入攻击的容忍度，并以比其他闭源商业选项更敏捷的方式整合研究社区的新想法和技术，“ 她说。
部分挑战在于简单地让各种规模的公司接受这个想法。“在每家公司内部，都有一些团体认为开源硬件作为一个概念已经准备就绪，现在是时候开始弄清楚工作流程将如何运作以及在公共领域就开源项目进行协作意味着什么了。” O'Connor说，“但与此同时，有一个同样强大的甚至可能更强大的队伍或阵营认为这完全是胡说八道。”,O'Connor说，应对这种情况的最佳方式是让作品自己说话。“对于持怀疑态度的硬件工程类型，实施和存在证明大有帮助，”他说。“从根本上说，这个行业的基础是证明你的设计有效，然后将其投入生产。作为硬件工程师，我们接受的培训是在我们说好之前先获得存在证明。”,这不可避免地需要时间。“Acorn，然后是 Arm，甚至就此而言是 x86，这些事情都不是一夜之间发生的，”O'Connor 说。“相对而言，RISC-V 架构的推出，以及与这些设备相关的体积，实际上发展得相当快。这不是一个四分之一或两个季度的问题，这是好几年的问题。”,尽管如此，Baines说，对于任何考虑 RISC-V 但不确定生态系统是否准备就绪的公司来说，总是会有延迟的理由。“如果你有一个工程项目将从 RISC-V 中受益，你现在就应该关注它，”他说。或者你可以等两三年，然后发现你的竞争对手在那段时间推出了两代项目。那会对你有什么影响呢？