保障企业服务器固件安全的方案设计

根据新的NIST SP 800 193标准、在硬件上使用基于FPGA的可信根器件来实现平台硬件保护和恢复（PFR）， 可让服务器固件免受网络攻击，保护性能更上一层楼。莱迪思全新PFR开发工具套件能够简单快速实现基于FPGA的PFR解决方案。
概述
典型的企业服务器包含多个处理组件，每个组件使用各自的非易失性SPI Flash缓存来保存其固件（即上电后处理组件立即启动所需的软件）。尽管使用闪存很方便现场升级和修复问题，但同时也容易遭受恶意攻击。黑客可以未经授权就访问固件，在组件的闪存中植入恶意代码。这些代码能够轻易躲过标准的系统检测手段，即便是进行更新或更换硬盘也无法解决，从而对系统造成永久性破坏。
为解决这一问题，一些处理组件采用集成在芯片上的硬件电路来检测未经授权的固件修改。然而，电路板上其他未采用此种方案的处理组件还是缺乏有效保护，整个服务器仍然易受攻击。美国国家标准与技术研究所（NIST）最近发布了2018年NISTSP800193标准，定义了一种标准的安全机制，称为平台固件保护恢复（PFR）， 它主要基于以下三个指导原则：

PFR功能主要依赖外部的硬件（芯片）带有“可信根”（RoT）的器件。使用基于FPGA的RoT器件实现PFR解决方案比使用基于MCU的可信根器件更安全、扩展性更好、系统可靠性更高。莱迪思推出的全新PFR开发套件能让服务器的原始设备制造商快速为其现有设计增加PFR功能，并充分利用这一强大的安全技术带来的优势。系统架构师和系统集成商如今可以更为方便地设计、实现和维护符合PFR标准的FPGA RoT器件，而无需拥有专门的安全专业知识。预计到2021年，网络攻击犯罪造成的损失将达到6万亿美元1。网络黑客不断寻找规避安全措施的新方法，旨在：

• 偷看或窃取存储在服务器上的专有数据（信用卡号、公司知识产权等）
• 绕过服务器偷看或窃取数据
• 劫持服务器，对其他目标进行DDoS攻击
• 通过让服务器的一个或多个硬件组件无法运行，从而对其造成破坏（称之为“变砖头”）

由于操作系统和应用会定期更新，以便加入新功能或修复漏洞，它们很容易成为黑客入侵服务器的最大目标。于是，组织的安防资源和战略一般会倾向于保护操作系统和应用软件。然而，入侵服务器还有另外一个较少为人所知的攻击载体：固件。

固件是指服务器组件（即CPU、网络控制器，片上RAID解决方案等）率先上电后立即执行的第一个启动代码。组件的处理器假定固件为一个有效可靠的起点，从中启动并根据服务器的配置使用它来分阶段验证和加载更高级别的功能。在某些情况下，处理组件在其整个运行周期内使用固件执行所需的功能。
国际信息系统审计协会（ISACA）2016年的一份调查显示，在那些声称将硬件安全视作组织头等大事的受访者中，超过半数“报告了至少一起受恶意软件影响的固件被引入公司系统的事件”，并且17%的受访者表示“这些事件造成了实质性影响。2”
固件安全状态
服务器固件可能在供应链的各个不同阶段遭到入侵，包括：
• 在原始设备制造商处：在生产过程中操作人员恶意植入受感染的固件
• 在系统集成商处：在根据客户要求配置服务器时安装未经授权的固件
• 转运到客户的过程中：黑客可以打开服务器包装，通过线缆下载未经授权的固件，将恶意代码植入组件的SPI存储器中
• 现场运行过程中：黑客可以利用固件的自动更新，将可绕过任何现有保护机制的伪造固件替代正常的更新典型的服务器主板目前都使用至少两种标准的固件实例：统一可扩展固件接口（UEFI）和基板管理控制器（BMC）。尽管这些接口能对固件起到一定的保护作用，但也非常有限。
统一可扩展固件接口（UEFI）
UEFI(之前称为BIOS）是负责将服务器固件载入操作系统的软件程序。UEFI在生产过程中就已经安装就绪，用于检查服务器有哪些硬件组件、唤醒这些组件并将其交给操作系统3。这一标准通过一种称之为安全启动的过程检测未经授权的固件，如果检测到未经授权的固件，该安全机制就会阻止硬件组件启动4。然而，安全启动的实现和支持因组件和供应商而异，这会导致组件安全性能出现漏洞，从而被黑客利用。此外，如果非法固件设法绕过了安全启动，UEFI就无法将组件的固件恢复到上一个经授权的版本并继续运行。
基板管理控制器
基板管理控制器是母板上的一种专用微控制器（MCU），通过独立的连接与系统管理员通信以及使用传感器来监控“计算机、网络服务器或其他硬件设备5”。许多BMC会筛查各自的固件安装情况以确保固件的合法性，但是对于其他的服务器固件则无能为力。BMC无法阻止恶意代码攻击电路板上的其他固件。例如，如果恶意代码被植入组件的SPI存储器未使用的分区，那么BMC则无法阻止代码进入服务器的整个代码流。
 

图 1：统一可扩展固件接口和基板管理控制器接口只能提供有限的固件保护

平台固件保护恢复（NIST SP 800 193标准）

为解决当前固件标准的安全问题，美国国家标准技术研究所（NIST）于2018年5月发布了一项新标准，为包括UEFI和BMC在内的所有固件提供全面保护。这一被称为PFR的NIST SP 800新标准旨在“提供技术指导和建议， 支持平台固件和数据的恢复，预防潜在的破坏性入侵。6”它提供了一种保护系统中所有固件的统一方法，并且可以配置为对正常系统操作不具有侵入性。一旦确定未经授权的固件正在尝试安装，它则会停止任何相关组件。并且PFR还相对于各个组件可能支持的任何安全功能独立运行。