固件安全之几大盲区
发布时间：2022-07-18 09:04:29 所属栏目：安全 来源：互联网
导读：5G、物联网、工业互联网、智能制造、智能家居当下信息技术革命几大热门领域，都在显著扩大一个攻击面：固件安全。 简而言之，许多人(包括很多安全专家)不知道当前存在哪些固件安全隐患。以下，我们列举了每个企业都应考虑解决的三个固件安全盲点，以提高整体
|
5G、物联网、工业互联网、智能制造、智能家居…当下信息技术革命几大热门领域，都在显著扩大一个攻击面：固件安全。 简而言之，许多人(包括很多安全专家)不知道当前存在哪些固件安全隐患。以下，我们列举了每个企业都应考虑解决的三个固件安全盲点，以提高整体安全性： 1. 固件安全意识 固件无处不在，我们每天使用的设备上几乎都运行着固件，其安全性已成为整个安全界研究人员的新焦点。由于太多设备运行着五花八门的固件，因此固件安全问题往往让人感到无处下手，不知所措。对于企业安全主管来说，第一步工作是将固件识别为组织威胁模型中的一项资产，并建立针对机密性、完整性和可用性(CIA)的安全性目标。以下是CIA模型与固件安全的映射： 机密性：固件中可能包含需要保护的秘密。例如，BIOS密码可以使攻击者能够访问固件内容，从而绕过攻击者的身份验证。 完整性：确保系统上运行的固件是正确的固件，并且没有被破坏或修改。安全启动和可信硬件等功能支持对正在运行的固件进行测量和验证。 可用性：确保设备可以访问其固件并正常运行是企业的头等大事。攻击者可能会通过永久拒绝服务(PDoS)攻击的形式来破坏固件安全，这将需要手动刷新系统组件(有时是昂贵且麻烦的解决方案)。 总之，增强固件安全性的第一步是充分意识到固件作为资产在企业威胁模型中的重要性，以及固件安全的 CIA(机密性、完整性和可用性)三要素的定义。  2. 固件更新 底层技术安全研究的兴起，意味着更多的漏洞被发现和修补，从而有助于产品/平台弹性的逐步提高。产品供应商通常通过其漏洞赏金计划，内部研究团队与安全研究人员合作，并在世界各地的会议上介绍他们的工作，以协调披露固件安全漏洞。该行业在实现协作，实现流程和加快响应时间方面朝着一个共同的目标走了很长的路要走：改善计算机系统的整体健康状况和弹性。 固件更新过程可能很复杂且很耗时，涉及多方参与者，包括研究人员、设备制造商、OEM等等。例如，一旦UEFI的EDK II源代码更新了补丁，供应商就必须采用并将更改推送给最终客户。供应商发行固件更新的原因有很多，但是一些最重要的补丁往往是“计划外”的，为了应对突发的严重漏洞。 （编辑：云计算网_泰州站长网） 【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容! |
浙公网安备 33038102330476号