作者：新思科技Mike Borza, Vincent van der Leest

安全討論往往聚焦于軟件，但軟件其實(shí)只是安全議題的一半；另一半是常被忽視的硬件安全，其重要性絲毫不亞于軟件。硬件安全在硅片層面實(shí)現(xiàn)，涵蓋處理器、存儲(chǔ)組件、輸入/輸出接口及電源，與軟件安全各司其職，又優(yōu)勢(shì)互補(bǔ)。 唯有二者協(xié)同，才能為現(xiàn)代計(jì)算系統(tǒng)提供全面保護(hù)。

硬件安全的作用

硬件安全是安全系統(tǒng)的基石，提供基礎(chǔ)信任、物理防護(hù)與性能加速，并支撐軟件安全。若沒有安全的硬件，系統(tǒng)就像底部有洞的木桶，即便配備最先進(jìn)的軟件安全措施，敏感數(shù)據(jù)和加密密鑰也終將會(huì)泄露出去。

硬件安全的核心特性包括防篡改、安全啟動(dòng)、基于硬件的密鑰存儲(chǔ)，以及可信執(zhí)行環(huán)境（TEE）。這些特性確保系統(tǒng)從已知的安全狀態(tài)啟動(dòng)，保護(hù)敏感數(shù)據(jù)，并將關(guān)鍵操作與潛在威脅隔離。

缺乏這些硬件特性的系統(tǒng)天然是脆弱的。例如，若沒有硬件對(duì)安全啟動(dòng)的支持，惡意代碼可能在啟動(dòng)過(guò)程中侵入，在軟件開始運(yùn)行前就破壞系統(tǒng)安全性；同樣，未受硬件保護(hù)的加密密鑰，也容易被竊取。

硬件安全的優(yōu)勢(shì)

硬件安全增強(qiáng)了現(xiàn)代計(jì)算系統(tǒng)的整體防護(hù)能力和性能，提供了僅靠軟件難以或無(wú)法復(fù)制的多層防御。

首先，硬件安全有助于建立信任根（RoT），這對(duì)于驗(yàn)證和保護(hù)系統(tǒng)操作的完整性與真實(shí)性至關(guān)重要。在系統(tǒng)運(yùn)行過(guò)程中，安全啟動(dòng)功能可確保系統(tǒng)從 “已知安全狀態(tài)” 啟動(dòng)，防止惡意代碼在啟動(dòng)過(guò)程中破壞系統(tǒng)；基于硬件的密鑰存儲(chǔ)可保護(hù)加密密鑰，使其極難通過(guò)內(nèi)存轉(zhuǎn)儲(chǔ)或其他軟件攻擊手段被提取。

其次，硬件安全可實(shí)現(xiàn)物理防護(hù) —— 軟件無(wú)法抵御物理攻擊，但硬件安全外設(shè)提供了多種物理保護(hù)措施，

包括：

防篡改功能，例如物理不可克隆函數(shù)（PUF），可阻止攻擊者通過(guò)物理探測(cè)或篡改系統(tǒng)來(lái)繞過(guò)安全控制；

安全硬件會(huì)大幅提高對(duì)系統(tǒng)進(jìn)行逆向工程、發(fā)現(xiàn)漏洞及提取敏感信息的難度；

基于硬件的加密處理器可構(gòu)建針對(duì)側(cè)信道攻擊的防御措施，而這類防御若用軟件實(shí)現(xiàn)，往往需要在芯片性能和面積上做出巨大妥協(xié)，實(shí)際操作中并不現(xiàn)實(shí)；

調(diào)試端口（JTAG 等）的訪問可通過(guò) “密鑰” 或 “熔絲” 保護(hù)：密鑰方式提供靈活性，但必須確保每個(gè)設(shè)備的密鑰唯一；而熔絲則提供一種不可逆的一次性解決方案，一旦熔斷永久禁用調(diào)試訪問。

第三，硬件安全支持可信執(zhí)行環(huán)境與硬件強(qiáng)制訪問控制，確保敏感操作和數(shù)據(jù)得到安全隔離。其核心目標(biāo)是防止惡意軟件或已被攻破的軟件訪問關(guān)鍵數(shù)據(jù)；此外，硬件安全特性還能阻止攻擊者利用共享資源（如內(nèi)存、中央處理器）收集并竊取敏感數(shù)據(jù)。 最后，硬件安全也有性能優(yōu)勢(shì)。專用硬件安全模塊在速度及能效上遠(yuǎn)勝軟件實(shí)現(xiàn)，尤其適用于高帶寬場(chǎng)景。例如，硬件加密處理器可承載 x8、x16 PCIe 全線速加解密，這是純軟件方案因速率要求過(guò)高而無(wú)法企及的。

軟件安全的作用

當(dāng)然，軟件安全也有其獨(dú)特優(yōu)勢(shì)，它能支持復(fù)雜且廣泛部署的安全策略，還可通過(guò)持續(xù)更新與補(bǔ)丁修復(fù)，確保系統(tǒng)在新漏洞出現(xiàn)時(shí)仍具備抵御能力，同時(shí)能快速響應(yīng)新型攻擊手段。這些特性使其成為所有全面安全策略中不可或缺的組成部分。

例如，軟件安全具有更高的靈活性，可以隨時(shí)更新和重新配置，以應(yīng)對(duì)新的威脅，而無(wú)需更改底層硬件；基于軟件的解決方案可部署于各種設(shè)備和系統(tǒng)中，具有極高的通用性和適應(yīng)性；此外，軟件安全在實(shí)現(xiàn)高級(jí)應(yīng)用層特性方面也至關(guān)重要，例如威脅檢測(cè)與響應(yīng)，軟件工具可提供實(shí)時(shí)監(jiān)測(cè)與風(fēng)險(xiǎn)緩解，確保系統(tǒng)迅速適應(yīng)新興攻擊手段。

不過(guò)，盡管軟件安全的適應(yīng)性極強(qiáng)，但只有建立在安全硬件的基礎(chǔ)上，其效用才能最大化。二者結(jié)合，可構(gòu)建起強(qiáng)大的防御體系，有效抵御已知威脅與新型威脅。

建立完整的安全戰(zhàn)略

綜上所述，硬件安全與軟件安全并非彼此獨(dú)立，而是完整安全策略中互補(bǔ)的兩極：硬件提供軟件所依賴的信任根、物理防護(hù)與性能加速；軟件則賦予應(yīng)對(duì)不斷演變威脅所需的靈活性與適應(yīng)性。二者協(xié)同，才能形成 “整體大于部分之和” 的高韌性安全壁壘。

例如，基于硬件的密鑰存儲(chǔ)可確保加密密鑰的安全性，而軟件則在應(yīng)用層身份驗(yàn)證流程中管理這些密鑰的使用；同樣，基于硬件的可信執(zhí)行環(huán)境可隔離敏感操作，而軟件則負(fù)責(zé)監(jiān)控潛在的安全漏洞。

因此，面對(duì)持續(xù)演進(jìn)的安全威脅，僅靠硬件或軟件安全都無(wú)法獨(dú)立勝任。只有二者結(jié)合，才能形成統(tǒng)一的防御體系，確保系統(tǒng)不僅安全，而且具備韌性與適應(yīng)能力。通過(guò)同時(shí)部署強(qiáng)大的硬件和軟件安全，企業(yè)能夠構(gòu)建一座經(jīng)得起時(shí)間考驗(yàn)的數(shù)字堡壘。

新思科技（Synopsys）經(jīng)認(rèn)證的安全 IP 解決方案，為片上系統(tǒng)（SoC）設(shè)計(jì)提供全面的安全保障。通過(guò)閱讀新思科技《安全 IP 產(chǎn)品手冊(cè)》，設(shè)計(jì)人員可快速學(xué)習(xí)如何保護(hù) SoC 免受現(xiàn)代安全威脅，獲得從獨(dú)立IP組件到完整可信執(zhí)行環(huán)境的一站式方案，還可了解抗量子密碼學(xué)相關(guān)內(nèi)容，保護(hù)數(shù)據(jù)免受未來(lái)量子計(jì)算帶來(lái)的安全威脅?，F(xiàn)在就去新思科技官網(wǎng)下載吧。