您的伺服器固件安全嗎？資料中心面臨哪些風險？又有哪些對策？

您的伺服器固件安全嗎？最好确認一下！

在當今的數字世界中，資料為王。通過應用資料分析來為新産品或服務提供資訊，組織可以獲得顯著的競争優勢。此外，在5G和物聯網等技術的加持下，裝置可以比以往更輕松地連接配接到網際網路來共享資料。這引發了新資料的爆發狂潮；研究分析公司Statista預計，到2025年，全球創造的資料将達到180 ZB（澤位元組）。這些資料中捕獲到的豐富資訊（信用卡号、社保号、專有IP）使其成為對黑客有吸引力的目标，随着資料中心收集和存儲的資料量的增長，針對它們的網絡攻擊的創新性和複雜性也日益提高。

中央處理單元（CPU）、圖形處理單元（GPU）儲存設備和網絡卡中的固件是特别誘人的目标，因為作為電子系統的基本元素，如果它們遭到破壞，會更加難以檢測。長期以來，保護這些裝置中的資料免遭竊取至關重要。事實上，在最大的資料中心，這些裝置現在往往會受到良好的保護。

為了尋找其他潛在的漏洞，惡意黑客在試圖攻擊資料中心時，越來越多地以伺服器元件為目标。對于伺服器中的許多常見半導體元件（例如，控制引導順序、風扇控制和電池管理的嵌入式控制器），其固件可能會遭到破壞或被虛假固件替換，進而導緻黑客可以未經授權地通路伺服器上的資料或幹擾正常的伺服器操作。

固件攻擊的隐匿性非常強，因為伺服器元件固件在伺服器的作業系統運作和任何反惡意軟體功能生效之前加載。這也會使固件攻擊難以被發現，即使被發現，也很難消除。

然而，許多公司對于固件安全的重視并不夠。在由Microsoft委托對IT和安全決策者進行的一項調查中，受訪者認為固件漏洞幾乎與軟體或硬體漏洞一樣具有破壞性，但用于保護固件的安全預算不到三分之一。

圖表來源：Microsoft Security Signals，2021年3月

企業必須認真對待資料中心的固件安全，否則會自食其果。為此，在考慮固件安全時，IT和安全團隊應關注三個因素。

建立裝置真實性

伺服器的主機闆、工作負載加速器和購買後安裝的附加闆是由不同的供應商設計并在全球範圍内制造的。這些裝置的供應鍊容易受攻擊，非法固件或硬體可以在生産和測試的各個階段安裝到電路闆上，等待毫無戒心的客戶在伺服器中安裝已遭到破壞的裝置。IT團隊必須確定其添加到伺服器的任何硬體都可以驗證新硬體是否按規範運作。

建立代碼真實性

資料盜竊并非遭到破壞的固件造成的惟一問題；IP盜竊也可能影響元件制造商的盈利能力和聲譽。如前文所述，半導體通常在一個國家/地區制造，在另一個國家/地區封裝，最後在第三個國家/地區內建到系統中。

由于供應鍊中的接觸點如此之多，缺乏道德的承包商可以輕松複制供應商的固件，将其安裝在未經授權的晶片上，然後在灰色市場上銷售假冒的部件。這不僅會影響原始供應商的利潤，如果假冒裝置的性能低下，還可能損害他們的聲譽。

保護資料安全

加密是一種防止未經授權通路資料的成熟方法，但新的加密威脅正在引起網絡安全領域的關注。如果應用得當，量子計算甚至可以破解最複雜的加密技術。

如今，大多數企業都在使用128位和256位加密；對于使用傳統計算技術的最堅定攻擊者而言，這樣的措施已足以保護資料。但是，量子計算能夠以呈指數級增長的速度處理資料，對于使用傳統計算方法可能需要數十年才能破解的加密算法，量子計算可能隻需要幾天就能破解。

利用HRoT和穩健的加密技術保護您的固件

值得慶幸的是，2018年，美國國家标準及技術研究所（NIST）釋出了平台固件彈性的SP 800-193指南。據NIST稱，這些指南提供了“保護平台免受未經授權（固件）更改、檢測發生的未經授權更改，并快速安全地從攻擊中恢複的安全機制。包括原始裝置制造商（OEM）群組件/裝置供應商在内的實施者可以使用這些指南在平台内建構更強大的安全機制。系統管理者、安全專業人員和使用者可以使用這份文檔來指導未來系統的采購政策和優先事項。”

NIST SP 800-193标準推廣使用“硬體信任根”或HRoT，以確定在啟動過程中，加載到伺服器元件中的固件在激活之前驗證為合法。當伺服器啟動時，HRoT元件是第一個上電的元件，它包含了驗證其自身固件和在HRoT激活後上電的任何元件的固件所需的加密元件。通過在伺服器的嵌入式控制器中添加HRoT功能，企業不但可以在整個啟動過程中保護伺服器，甚至還可以在作業系統和反惡意軟體加載并運作之前保護伺服器。

NIST也在鼓勵企業采用更先進的加密算法。2016年，NIST在最優秀的密碼學家之間舉辦了一場比賽，以開發能夠抵禦基于量子計算的攻擊的算法。比賽于去年結束，NIST宣布了四種将包含在其即将推出的後量子加密标準化項目中的新加密算法。

網絡安全就像是一場軍備競賽，一方是緻力于保護計算機系統的守護者，另一方是打算破壞這些系統的攻擊者（包括犯罪分子和國家支援的黑客）。雙方都在不停地抵抗對方的進攻。固件已經成為這場持久鬥争的最新戰場，那些忽視在威脅評估和安全計劃中包含固件的企業将自擔風險。