TCP/IP是當今絕大多數(shù)網(wǎng)絡(luò)的核心。它不僅靈活,而且具有強大的功能,很好地滿足了十年來網(wǎng)絡(luò)發(fā)展的需要。此外,它還易于使用和理解,這促成了聯(lián)網(wǎng)產(chǎn)品的爆炸性增長。現(xiàn)在,自動售賣機、工業(yè)和樓宇控制設(shè)備以及POS終端等傳統(tǒng)產(chǎn)品都可以通過以太網(wǎng)和TCP/IP互聯(lián)。

隨著這種趨勢的蔓延,更多系統(tǒng)正在連接到互聯(lián)網(wǎng)上,相應(yīng)地,對網(wǎng)絡(luò)安全性的要求也將提高。隨著更多交易轉(zhuǎn)到網(wǎng)絡(luò)上處理,以及公眾對電子威脅(身份竊取、黑客攻擊和計算機病毒)的認知程度增加,對安全性的需求也將增長。為此,嵌入式系統(tǒng)將越來越多地采用網(wǎng)絡(luò)安全技術(shù)。但由于需要計算密集型加密算法和大量的存儲器空間,這些安全技術(shù)會降低設(shè)備的性能。為了克服這類障礙,業(yè)界正在專門為嵌入式系統(tǒng)設(shè)計軟件協(xié)議,并開發(fā)硬件加速技術(shù),使處理器能快速執(zhí)行這些加密算法。

IP網(wǎng)絡(luò)的公開特性和IP分組路由機制使得TCP/IP網(wǎng)絡(luò)容易產(chǎn)生安全漏洞。IP分組路由機制不是為了安全目的而設(shè)計的,其目標旨在盡可能簡單地實現(xiàn)路由,并方便日后擴展網(wǎng)絡(luò)。這些特性允許TCP/IP被迅速采用并廣泛普及。但它們也引發(fā)了安全問題:IP的路由過程會將數(shù)據(jù)包暴露給沿其路由線路的任何人,使他們看到包的內(nèi)容或源地址及目的地址。此外,由于數(shù)據(jù)包到其目的地的路由線路并不固定,在互聯(lián)網(wǎng)上傳送的包有可能被連接到網(wǎng)絡(luò)上的任何人截取、重新路由或復(fù)制。VSPACE=12 HSPACE=12 ALT="圖1:一個樓宇安全系統(tǒng)的各單元之間通過建筑物的以太網(wǎng)LAN進行通信,并由IPSec協(xié)議確保安全。">

這些問題限制了使用大型IP網(wǎng)絡(luò)進行敏感的通信。為了解決TCP/IP易受攻擊的問題,人們開發(fā)了幾種協(xié)議。最常見的是IP安全協(xié)議(IPsec)和安全套接層(SSL),它們已經(jīng)被廣泛應(yīng)用在個人電腦、高端網(wǎng)絡(luò)服務(wù)器、路由設(shè)備以及其它系統(tǒng)中。

隨著聯(lián)網(wǎng)的嵌入式設(shè)備繼續(xù)增多,我們有必要為這些非傳統(tǒng)的連網(wǎng)系統(tǒng)增加安全功能。對于制造樓宇控制系統(tǒng)、遠程監(jiān)視站和POS終端等產(chǎn)品的公司來說,TCP/IP的優(yōu)勢顯而易見。它允許用戶通過網(wǎng)絡(luò)控制這些系統(tǒng),或者從遠程設(shè)備向它們發(fā)送即時信息,從而提高這些系統(tǒng)的效率。然而,外部人員也有可能訪問這些聯(lián)網(wǎng)設(shè)備。為了降低風險,需要引入IPsec和SSL等原本用于網(wǎng)絡(luò)設(shè)備領(lǐng)域的安全協(xié)議,但它們在嵌入系統(tǒng)中的應(yīng)用受到限制。這些協(xié)議的實現(xiàn)方式需要為低功耗、存儲器有限的嵌入式設(shè)備而特別設(shè)計。

為嵌入式系統(tǒng)設(shè)計安全方案面臨諸多困難。特別地,兩個關(guān)鍵挑戰(zhàn)是性能問題和存儲器問題。IPsec 和 SSL等網(wǎng)絡(luò)安全協(xié)議涉及復(fù)雜的加密和驗證算法,如數(shù)據(jù)加密標準(DES)、高級加密標準(AES)和安全散列算法(SHA)。這些算法用于保護數(shù)據(jù)的完整性和機密性,并確認數(shù)據(jù)創(chuàng)建者的身份。但因為這些加密算法需要密集型計算,它們會嚴重影響在低功耗嵌入式處理器上運行的應(yīng)用程序的性能。

為了解決性能問題,ARC等供應(yīng)商正在將硬件指令集成到他們的嵌入式處理器內(nèi)核中,從而加快算法的執(zhí)行速度。類似地,摩托羅拉已經(jīng)發(fā)布新系列的PowerQuicc處理器,它集成了針對加密和認證算法的片上硬件加速單元。

與安全有關(guān)的第二個問題是嵌入式系統(tǒng)的存儲器容量。簡單來說,嵌入式系統(tǒng)需要添加的軟件越多,它需要的存儲容量就越大。安全軟件最初是為PC和高端網(wǎng)絡(luò)設(shè)備,而不是為低耗能、存儲器有限的嵌入式系統(tǒng)設(shè)計的。對于嵌入系統(tǒng)的開發(fā)者而言,這些軟件的規(guī)模龐大,而且包含太多他們不需要的內(nèi)容。盡管我們有可能把高端安全軟件移植到嵌入式處理器中,并縮減它們的代碼規(guī)模和功能集,但這個過程非常耗時而且難度很大。

因此,用于IPsec和SSL等協(xié)議的軟件棧適時出現(xiàn)了,它們設(shè)計用于把需要使用的存儲器容量維持在最低水平。這種軟件還被設(shè)計成可擴展的,允許開發(fā)者為特定應(yīng)用選擇他們需要的功能集,而且根據(jù)應(yīng)用的特定需求,還支持僅限于客戶端或僅限于服務(wù)器端的設(shè)置。

為嵌入式系統(tǒng)設(shè)計的網(wǎng)絡(luò)安全協(xié)議棧以及集成到嵌入處理器內(nèi)核中的硬件加速單元為嵌入式系統(tǒng)開發(fā)者提供了一個能將安全特性引入到聯(lián)網(wǎng)應(yīng)用中的環(huán)境。硬件加速器提供了額外的性能來處理加密算法,從而可以在不顯著影響處理器性能的前提下,使連網(wǎng)性能維持在一個合理的水平。為嵌入系統(tǒng)設(shè)計的安全協(xié)議棧能滿足嵌入式軟件應(yīng)用的小規(guī)模和可伸縮需求。

以前,嵌入式系統(tǒng)開發(fā)者為了實現(xiàn)網(wǎng)絡(luò)安全同時維持性能的唯一選擇是使用更快、更昂貴、存儲器容量更大的處理器,盡管這在多數(shù)情況下并不具有可行性。針對嵌入式處理器的片上硬件加速器和網(wǎng)絡(luò)安全軟件包使得開發(fā)者可以為接入邊緣網(wǎng)絡(luò)的嵌入式設(shè)備增加網(wǎng)絡(luò)安全功能。

作者:Graham Morphew