커뮤니티 기반 리소스는 하드웨어 설계 보안 취약점을 추적합니다.

컴퓨터 시스템은 오늘날보다 더 발전되고 복잡해졌습니다. 마찬가지로 현대 사이버 공격에서 볼 수 있는 정교함과 보급 수준은 놀라운 속도로 증가하고 있습니다. 해커는 초점도 바꿉니다. 업계는 수년 동안 소프트웨어 계층을 강화하기 위해 열심히 노력했지만 해커는 하드웨어 계층으로 초점을 옮기기 시작했습니다.

사실, 산업 및 학계 연구는 하드웨어를 통해 시스템에 침투하기 위해 지속적으로 개선되고 있는 고급 방법을 입증했습니다. 때로는 하이브리드 하드웨어-소프트웨어 취약점을 통해. 해커는 공개 영역에서 사용할 수 있는 다양한 학습 및 기술을 활용하여 큰 이점을 누리고 있습니다.

반면에 하드웨어 디자이너에게 유리한 상황은 아닌 것 같습니다. 업계는 지난 20년 동안 소프트웨어에 대해 잘 확립된 하드웨어 약점에 대한 동일한 수준의 공통 분류 및 공유 분류가 부족했습니다. 결과적으로 하드웨어 설계자는 관련 공격에 대한 제품의 복원력을 개선하려고 시도하는 동안 공유된 지식과 리소스의 가용성으로 인해 어려움을 겪습니다.

Common Weakness Scoring System(CWSS)(출처:Mitre)

수년 동안 Mitre의 커뮤니티에서 개발한 CWE(Common Weakness Enumeration) 시스템과 CVE(Common Vulnerabilities and Exposures) 시스템은 범주 및 알려진 취약점 인스턴스별로 소프트웨어 약점을 추적하기 위한 주요 리소스 역할을 했습니다. 소프트웨어 설계자와 개발자는 이러한 도구를 사용하여 소프트웨어 제품에 보안 문제가 발생하지 않도록 하고, 연구원과 공급업체는 새로 발견된 취약점을 감지하고 추가하여 소프트웨어 보안 문제를 근절하기 위해 계속 증가하는 집합적 참조를 구축하려고 합니다.

해커가 하드웨어를 계속 사용함에 따라 업계에서는 실무자가 다음을 포함한 중요한 보안 문제를 해결할 수 있도록 하드웨어 설계 약점을 분류하고 추적하기 위해 동일한 유형의 광범위한 리소스를 개발해야 합니다.

• 내 디자인에서 관련 하드웨어 진입점은 어디에 있습니까?
• 디자이너가 주의를 기울여야 하는 일반적인 약점은 무엇입니까?
• 온도, 전압 또는 전류가 작동 범위를 벗어날 때 가장 큰 영향을 받는 물리적 장치 속성은 무엇입니까? 어떻게 해커가 내 디자인의 보안 견고성을 훼손할 수 있습니까?
• 하드웨어 장치, 상위에서 실행되는 소프트웨어 스택 및 전체 통합 시스템에 대한 성공적인 공격의 결과는 무엇입니까?
• 최근에 발생한 문제의 예는 무엇입니까?
• 검증 팀이 제품 개발 수명 주기 초기에 취약점을 감지하여 수정 비용을 최소화하려면 어떻게 해야 합니까?
• 사용 가능한 완화 옵션의 범위는 무엇입니까? 비용과 효율성 사이의 절충점은 무엇입니까?

업계는 일반적인 하드웨어 보안 문제에 대한 이러한 수준의 통찰력에 대한 표준화된 공개 액세스를 필요로 합니다. 주요 학습 내용과 모범 사례를 서로 효과적으로 공유하기 위해 연구원과 공급업체가 사용할 수 있는 공통 언어가 필요합니다.

좋은 소식은 이제 우리가 성배에 한 걸음 더 다가섰다는 것입니다. 지난 여름부터 Intel과 Miter는 파트너가 되어 많은 기대를 모은 프레임워크를 도입하기 위해 끊임없이 노력했습니다. 2020년 2월 Miter는 기존 소프트웨어 지향 제품을 하드웨어 대응 제품을 포함하도록 확장한 CWE 버전 4.0의 릴리스를 발표했습니다. Mitre의 초기 발표에 따르면 이 업데이트는 "하드웨어 설계자가 IP 설계의 특정 영역에서 발생할 수 있는 잠재적인 실수를 더 잘 이해하도록 돕고 교육자가 미래의 전문가에게 다음과 같은 실수 유형에 대해 가르칠 수 있도록 지원합니다. 일반적으로 하드웨어 설계에서 만들어집니다.”

새로운 CWE 하드웨어 디자인 보기에는 하드웨어 디자이너가 종종 간과하는 30가지 하드웨어 문제가 이미 포함되어 있습니다. 이러한 문제는 제조 및 수명 주기 관리 문제, 보안 흐름 문제, 권한 분리 및 액세스 제어 문제, 일반 회로 및 논리 설계 문제, 코어 및 컴퓨팅 문제, 메모리 및 스토리지 문제, 보안 기본 요소 및 암호화와 같은 상위 수준 범주로 그룹화됩니다. 문제 등.

이 최근의 발전은 올바른 방향으로 가는 중요한 단계이지만 아직 해야 할 일이 많이 있습니다. 컬렉션은 커뮤니티 기고가 더 많은 항목과 예제를 도입함에 따라 시간이 지남에 따라 진화할 것으로 예상됩니다. 연구 커뮤니티와 업계, 학계 및 정부 전반의 당사자가 함께 모여 이 표준화된 누적 하드웨어 CWE를 구축하는 데 참여하고 기여해야 합니다. 그리고 이러한 노력을 통해 얻을 수 있는 광범위한 혜택과 함께 그렇게 하려는 많은 동기가 있습니다.

강력한 하드웨어 CWE를 통해 설계자는 다양한 진입점에서 해커가 시작한 공격을 방지하기 위해 제품에 효과적인 완화 방법을 배우고 배포할 수 있습니다. 설계자는 설계에 따른 보안 모범 사례를 최신 상태로 유지하고 신제품을 만들 때 일반적인 하드웨어 보안 함정을 피합니다. 검증 엔지니어는 다양한 유형의 하드웨어 약점에 훨씬 더 익숙하므로 개발 프로세스 전반에 걸쳐 취약점을 제거하는 데 더 효과적입니다. 보안 연구원은 시스템 하드웨어 보안 문제를 정확히 찾아 해결하고 위험을 제거하고 공격자를 방해하는 수정 사항을 개발할 수 있는 더 나은 장비를 갖추게 될 것입니다. 이 분야에 뛰어들고자 하는 연구원들은 리소스와 공통 분류법을 활용하여 서로 배우고, 협력하고, 학습 내용을 교환할 수 있습니다. 하드웨어 산업은 현재의 최첨단 기술을 다음 영역으로 이끄는 데 도움이 되는 다른 연구 영역의 명석한 인재들이 합류한 보다 다양한 커뮤니티의 혜택을 받을 수 있습니다. 이는 업계가 개방형 누적 하드웨어 CWE 프레임워크를 구축함에 따라 우리가 보게 될 많은 이점 중 일부일 뿐입니다.

너무 오랫동안 많은 사람들이 하드웨어 약점, 근본 원인 및 완화 전략을 식별하고 분류하는 것이 끝없는 힘든 싸움이라고 생각했습니다. 하드웨어는 계속해서 해커의 주요 표적이 되기 때문에 소프트웨어 위협에 대해 갖고 있는 것과 동일한 긴급성과 범위로 하드웨어 약점을 적절하게 분류하고 평가하는 데 필요한 연구, 도구 및 리소스에 투자해야 합니다. 새로운 CWE 4.0은 업계가 지지하고 구축할 수 있는 환상적인 초기 단계로, 전 세계 사람들이 매일 의존하는 하드웨어 제품의 보안 견고성을 지속적으로 개선하면서 실무자들이 동일한 언어를 사용할 수 있도록 합니다.

>> 이 기사는 원래 다음 날짜에 게시되었습니다. 자매 사이트인 EE Times.