Какво представлява хардуерната сигурност?

Хардуерната сигурност е защита от уязвимости под формата на физическо устройство, а не на софтуер, който е инсталиран на хардуера на компютърната система.

Хардуерната сигурност може да се отнася до устройство, използвано за сканиране на системата или за наблюдение на мрежовия трафик. Често срещаните примери включват хардуерни защитни стени и прокси сървъри. По-рядко срещаните примери включват хардуерни модули за сигурност, които осигуряват криптографски ключове за критични функции като криптиране, декриптиране и удостоверяване за различни системи. Хардуерните системи могат да осигурят по-силна сигурност от софтуера и могат да включват допълнително ниво на сигурност за критични за мисията системи.

Терминът „хардуерна сигурност“ се отнася и до защитата на физическите системи от увреждане. Атаките за унищожаване на оборудване, например, се фокусират върху компютърни устройства и свързани в мрежа некомпютърни устройства, като например тези, които се намират в средите „машина-машина“ или „интернет на нещата“ (IoT). Тези среди осигуряват свързаност и комуникация на голям брой хардуерни устройства, които трябва да бъдат защитени чрез хардуерна или софтуерна защита.

Как да оценим сигурността на хардуерно устройство

Хардуерната сигурност е също толкова важна, колкото и софтуерната. За да се оцени сигурността на едно хардуерно устройство, е необходимо да се разгледат уязвимостите, съществуващи при производството му, както и други потенциални източници, като например изпълняващ се код и въвеждане/извеждане на данни от устройството, или I/O, в мрежата. Въпреки че всяко устройство трябва да бъде защитено, ако се свързва дори непряко с интернет, строгостта на тази защита трябва да съответства на необходимостта. Например система, контролираща цвета и интензивността на светлините в Wi-Fi LED за жилище, може да не изисква голяма защита.

В случай на по-значителен хардуер и по-критични функции допълнителната надеждност и по-малкият брой уязвимости, свързани с хардуерно базираната защита, може да я направят препоръчителна. Критичната инфраструктура включва системи, мрежи и активи, чието непрекъснато функциониране се счита за необходимо, за да се гарантира сигурността на дадена нация, нейната икономика, както и здравето и безопасността на населението. Сигурността на критичната инфраструктура е все по-обезпокоителна област в целия свят.

Видове хардуерни атаки

Получаването на достъп до физически устройства не е толкова лесно, колкото извършването на софтуерни атаки – като зловреден софтуер, фишинг или хакерски атаки – но с течение на времето киберпрестъпниците са намерили начини да атакуват хардуера. Въпреки че използването на парола по подразбиране за множество устройства, остарелият фърмуер и липсата на криптиране са най-големите заплахи за хардуерната сигурност, други адаптирани атаки са също толкова опасни.

По-долу са представени често срещани видове хардуерни атаки и какво включват те:

• Атака по страничен канал. Тази атака е известна с това, че краде информация непряко или по странични канали. Като се възползват от моделите на информация, тези атаки анализират електрическите емисии от монитора или твърдия диск на компютъра, за да проверят за несъответствия в нормалните емисии. Тези несъответствия могат да включват вида на информацията, показвана на монитора, или различните количества енергия, които различните хардуерни компоненти използват за извършване на процеси. Обикновено атаката се опитва да ексфилтрира чувствителна информация, като например криптографски ключове, чрез измерване на съвпадащи хардуерни емисии. Атаката по страничен канал е известна също като  атака по внедряване.
• Атака тип „Rowhammer“. При тази кибератака се използва грешка в модулите за динамична оперативна памет (DRAM), произведени през 2010 г. и по-късно. Многократният достъп до клетките на паметта в DRAM освобождава електрически заряд, който преобръща съседните битове от нули в единици и обратно. Това позволява на ненадеждни приложения да получат пълни привилегии за сигурност на системата и дори да заобиколят пясъчниците за сигурност, които се използват за ограничаване на навлизането на зловреден код и заразяването на ресурсите на операционната система.
• Времева атака. Тази атака по странични канали за киберсигурност е насочена към криптосистеми. Киберпрестъпниците се опитват да компрометират дадена криптосистема, като анализират времето, което е необходимо, за да се реагира на различни входни данни и да се изпълнят криптографски функции и алгоритми.
• Атака на Evil maid. Терминът „злобна камериерка“ е въведен от компютърния изследовател Йоанна Рутковска през 2009 г., за да обозначи концепцията за злонамерена камериерка, която се опитва да се добере до електронни устройства, оставени в хотелска стая. Тази атака предполага физически достъп до оставени без надзор хардуерни устройства, които престъпниците могат да променят по незабележим начин, за да получат достъп до чувствителни данни на жертвата. Например престъпникът може да вкара USB устройство, инсталирано със софтуер за модифициране на устройства, в изключен компютър или да инсталира кийлогър, който да записва всяко натискане на клавиш от жертвата.
• Атака на модификацията. Киберпрестъпниците нахлуват в нормалните операции на хардуерно устройство, като отменят ограниченията на това устройство, за да извършат атака тип „човек по средата“. Като инжектират хардуерния компонент със злонамерен софтуер или използват съществуващи уязвимости, престъпниците са в състояние да получават и променят пакетите с данни, преди да се изпратят на предвидените получатели.
• Атака за подслушване. Тази изтънчена атака за прихващане на данни се извършва, когато чувствителна информация, като например данни за кредитни карти и пароли, се прехвърля от едно устройство на друго. Атаките за подслушване могат да бъдат успешни, тъй като по време на транзакции през незащитени мрежи не се генерират сигнали. Съществуват много видове атаки за подслушване; един често срещан вид включва скимиращо устройство за карти, поставено в банкомат или терминал в точката на продажба, при което нападателят получава достъп до устройството от време на време, за да получи копие от информацията му.
• Атака за задействане на грешка. Тази атака обикновено се извършва от нападатели, които предизвикват неизправности в хардуера, за да променят нормалното поведение на устройството. Основната предпоставка за тази атака е да бъде насочена към сигурността на системно ниво.
• Атака с фалшив хардуер. Това е вид атака по веригата на доставки, при която на организациите се продават неоторизирани или фалшиви устройства, което създава възможности за киберпрестъпниците да проникнат в тези устройства през задната врата. Например Cisco издаде полево известие, в което съветва клиентите да обновят софтуера на своите комутатори Catalyst 2960-X и 2960-XR, за да се уверят, че устройствата не са фалшиви.

Най-добри практики за сигурност на хардуера

Всеки тип хардуер – от остарели компютри до съвременни IoT устройства – може да създаде сериозни проблеми, ако организациите не спазват най-добрите практики за сигурност. По-долу са изброени някои техники за намаляване на риска и контрамерки, които трябва да имате предвид, когато настройвате и инсталирате хардуер:

• Проучване на продавачите и доставчиците. Рискът за сигурността на хардуера започва от самото му създаване. Производството на дефектни хардуерни компоненти може да изложи уязвимите устройства на външни заплахи. За да сведете до минимум риска от фалшифициране на устройства, е важно да проучите задълбочено доставчиците на хардуер, преди да ги изберете. Това може да включва проверка на доставчиците на продавача и проучване на страните, отговорни за производството и интегрирането на отделните части. Извършването на подробни проверки по отношение на видовете мерки за сигурност, прилагани от доставчиците по време на всички етапи на разработване на хардуера, също е от решаващо значение.
• Криптиране на всички устройства. Важно е да се криптират всички хардуерни устройства, включително външните флаш памети и DRAM интерфейси. Хардуерното криптиране е особено важно за преносими устройства – преносими компютри или USB флаш памети – при защитата на чувствителни данни, съхранявани в тях. Повечето съвременни процесори са снабдени с вградени компоненти за улесняване на хардуерното криптиране и декриптиране с малко натоварване на централния процесор, но винаги е добре да се провери. Тъй като криптирането предлага няколко нива на сигурност, дори ако нападателите се доберат до криптиран хардуер, например твърд диск, те няма да могат да получат достъп до него, без да разполагат с идентификационните данни.
• Намалете до минимум повърхността на атаката. Безопасното и правилно извеждане от експлоатация на неизползван хардуер може да помогне за предотвратяване на нежелани хардуерни атаки. Целият изведен от експлоатация хардуер и компоненти, като например портове за отстраняване на грешки, трябва да бъдат деактивирани и изхвърлени правилно. Това може да включва деактивиране на всички универсални асинхронни приемници/предаватели, които не са използвани в процеса на окончателното проектиране на хардуера, неизползвани Ethernet портове, интерфейси за програмиране и отстраняване на грешки, като например JTAG портове, и неизползвани безжични интерфейси; JTAG е промишлен стандарт, който е разработен от инженерите на Joint Test Action Group за проверка на проекти и тестване на печатни платки след тяхното производство. За тези компоненти, които не могат да бъдат отстранени, компаниите трябва да обмислят налагането на ограничения въз основа на контрола на достъпа до медиите, или MAC, адреси или други предизвикателства, за да смекчат атаките.
• Осигурете силна физическа сигурност. Компаниите трябва да прилагат строги политики за контрол на достъпа в зоните, където се намират хардуерът и физическото оборудване. Хардуерните устройства и периферните устройства не трябва да се оставят без надзор на открити места, а служителите трябва да предприемат мерки за защита на своите устройства. За физическа защита на подвижни хардуерни компоненти, като например лаптопи, могат да се използват защитни кабели с комбинирани ключалки, тъй като тези кабели прикрепят устройството към неподвижен обект. Компютрите могат да бъдат защитени и чрез слотовете на кабелите за сигурност, които позволяват закрепването на налично в търговската мрежа устройство против кражба. Трябва да се обмисли и дизайнът на корпуса против подправяне, който затруднява отварянето на устройството без повреда.
• Използвайте електронна защита. Цялостният план за хардуерна сигурност е непълен без наличието на подходяща електронна защита. Това може да включва използването на защитена зона за съхранение на главния ключ, за да се избегнат манипулации и извличане на ключове. Свързаните устройства трябва да бъдат защитени и чрез използване на устройства за удостоверяване, които разрешават само взаимно удостоверяване въз основа на силна криптография, за да се намали рискът от фалшив хардуер. Компаниите трябва също така да обмислят използването на превключватели за подправяне и задействане и мониторинг на околната среда за хардуер, който е склонен към подправяне. Например главният ключ, качен на статичен RAM модул, захранван с батерия, ще бъде изтрит, ако се задейства превключвател за подправяне. Превключвателите за задействане могат също така да откриват светлина в тъмни устройства. Това помага за заключване на устройството при опит за отварянето му.
• Осигуряване на наблюдение в реално време. Екипите по сигурността трябва да обмислят създаването на мониторинг в реално време за хардуера и операционните системи. Това може да се извърши с помощта на базирани в облака инструменти за наблюдение в реално време, които уведомяват екипите по сигурността в отговор на събитие почти незабавно, като по този начин свеждат до минимум времето за реакция при инцидент. Интегрираните платформи и автоматизацията на IoT също могат да помогнат за осигуряването на обширен преглед на състоянието на компанията по отношение на хардуерната сигурност.
• Актуализиране на фърмуера и обновяване на стария хардуер. Хардуерните устройства трябва да бъдат обновени до най-новия фърмуер, за да могат да получават най-новите пачове за сигурност. Компаниите трябва да инвестират и в нов хардуер, тъй като по-старият хардуер невинаги има възможност да работи оптимално със съвременния софтуер и може да се сблъска с проблеми със съвместимостта, оставяйки отворена врата за проникване в сигурността.
• Редовен одит. Редовните проверки на хардуера могат да проследят всички нови промени в мрежата и да открият оперативни рискове. Дружествата трябва да извършват редовни оценки на уязвимостта и мониторинг на системите. Например, ако компанията забележи подозрителен модул, тя трябва да извърши електрически анализ на входовете и изходите след консултация с производителя и вътрешните експерти по сигурността.