开源和虚拟化为无线路由提供了强有力的支持

2015年3月，美国联邦通信委员会(FCC)发布了工作在U-NII频段的无线设备安全规定。FCC是美国的一个政府机构，负责管理美国的州际通信。本质上，FCC期望针对无线传输设备，为所有的路由器和其他网络设备制造商提供一套严格规定的访问路径。不幸的是，FCC的规定很可能会导致OEM厂商锁定他们的路由器固件，从而使消费者无法安装他们所选择的开源系统或软件（比如OpenWrt或SS-WRT）。

OpenWrt是一个针对网络、IoT以及嵌入式设备的流行GNU/Linux操作系统

许多开发人员在开源社区上反对这一举措，要求FCC不限制他们在网络设备上使用其他操作系统和相关软件。

为了得到一个折中，一个解决方案就是将无线软件从其他基础软件中分离出来。这将允许由FCC授权的实体（如运营商）对无线设置进行必要的修改和升级。

在过去的一年，PRPL基金会一直在努力提供这种可行的解决方案，即让网络设备运行开源的固件，同时又遵守FCC关于Wi-Fi的相关规定。

下面的演示来自PRPL的安全工作小组，这个小组由PRPL基金会创建，目的是指引未来连接设备的安全性需求（你可以从这篇白皮书找到更多关于安全性的建议）。他们的工作成果是prplSecurity，prplSecurity是一个开放的框架，利用嵌入在MIPS Warrior CPU中的硬件虚拟化技术，创建多个受信任的环境，软件可以在这个受信任的环境中运行。

为了说明他在实际中是如何工作的，我们使用Baikal专门为网络和嵌入式应用而设计的开发板来创建WLAN路由器。

该开发板具有如下的特性：
? 处理器：双核MIPS P5600 CPU，时钟频率1GHz
? 通信：基于MIPS的Realtek RTL8192 Wi-Fi适配器，他可以通过USB接口或网口
? 扩展IO：一个UART串口连接，用于Linux调试

路由器通过Wi-Fi向其他设备提供以太网的连接

在路由器上进行了OpenWrt的演示，下图给出了我们通过WAN或者WLAN的https连接OpenWrt的WebUI。

OpenWrt和Wi-Fi运行在不同的可信任环境中。

这个演示利用了MIPS Warrior CPU的独特功能：多领域、安全的硬件虚拟化。这项技术允许开发者创建系统范围的，硬件执行的可信任环境，相比于现阶段的解决方案它稳定。在去年的一个演示中，我们已经展示了将这个特性应用于面向IoT和嵌入式应用的微控制器以提供更高的安全性和稳定性。

今天，我们将把目光投向利用MIPS Warrior P级和应用处理器设计网络芯片组上。上面的平台在高端的P级高端MIPS CPU中运行了虚拟机（VMs），下图简要介绍软件架构。

? 开源的L4Re管理程序由Kernkonzept开发和维护：所述L4Re系统包括L4微内核，他可以运行可信任的本地应用程序并可以为操作系统提供的可信任的管理程序。

? 针对OpenWrt的开源虚拟机：第一个虚拟机运行了OpenWrt并为路由器提供了主要的接口。

? 面向Wi-Fi驱动的独立虚拟机：第二个虚拟机运行了Wi-Fi驱动程序；只有通过虚拟网络连接才可以直接访问驱动程序。在我们的例子中，连接使用了三个端口，HTTP使用了端口85，HTTPS使用了端口449，SSH使用了端口29。

针对第三方应用程序的专用虚拟机：第三个虚拟机扮演了一个沙盘的角色，在这个沙盘里可以运行第三方应用程序，以提供更丰富的功能（如控制智能家居）。

MIPS P级CPU中运行了三个虚拟机，在不同的可信任环境中运行了不同的软件程序

该演示系统可以在终端中（如台式电脑）通过UART对其进行访问。在本演示中，我们创建了一个未受保护的访问路径（在实际产品中，这个可以很容易地进行改变）。在UART接口上设置了一个多路选择器，这可以让我们访问的三个虚拟机的串行接口。

在下面的视频中，我们故意级联了第三方的虚拟机，以此来演示其他的虚拟机是如何工作的（WLAN和路由器也同时在工作）。

通过采用MIPS最新的Warrior CPU，网路制造商可以保证他们的无线驱动程序符合FCC的安全性规定，同时也满足了开源社区中的要求。此外，路由器可以通过开放多个虚拟机，通过在可信的，独立的环境中运行新的软件，以获取额外的功能。

如果你想更多的了解Kernkonzept的开源hypervisor，请点击这个网站。更多的关于prpl基金会以及他的安全项目小组，可以访问这个网站。