从芯片组向上保护物联网

　　在本文中，我们将介绍正在采用的虚拟化技术，以及哪些特性和功能对于提高物联网端点的安全性很重要。

　　物联网系统的广度多种多样，导致传感器、网关和云环境中存在广泛的漏洞。由于企业云计算和应用程序的悠久历史，保护云系统已经非常成熟。然而，在传感器和边缘，安全性一直停滞不前。

　　随着物联网设备变得越来越复杂，智能边缘得到更广泛的部署，这些终端设备成为攻击和进入更大物联网系统的有吸引力的目标。

　　Qualcomm Technologies和Cog Systems最近发布了一个有趣的合作伙伴关系公告，Cog的安全和虚拟化软件将在Snapdragon计算平台上提供。在本文中，我们将介绍正在采用的虚拟化技术，以及哪些特性和功能对于提高物联网端点的安全性很重要。

　　嵌入式设备和实时操作系统根

　　物联网设备不是最近才出现的。这些设备是从已经存在了50多年的传统嵌入式系统演变而来的。嵌入式系统具有硬实时要求，通常采用某种实时操作系统（RTOS），尽管最近这些系统被拆分为Linux（非实时）环境和处理设备时间关键功能的RTOS。这些较新的嵌入式系统通常在芯片和Linux/RTOS环境之间使用虚拟化层，以便在一个物理设备上共享嵌入式资源。

　　最初，这些嵌入式系统并不认为安全性是高优先级的，因为它们是孤立的，没有连接。随着嵌入式系统的连接，人们越来越担心，但设备中嵌入的专有RTOS或“金属”软件使得攻击变得困难，如果实现漏洞，则没有多大价值，同时降低了与附加芯片组相关的BOM成本，以支持单独的RTOS。

　　如今，物联网设备泄露对财务和生命威胁具有深远的影响。鉴于物联网在汽车、医疗和工业领域的应用，威胁是真实的，必须认真对待。

　　安全虚拟化和物联网设备

　　Cog Systems成立于2014年，由Open Kernel Labs组成，其重点研究领域是微内核和基于低级软件的技术。这种嵌入式和移动设备的长期经验为这个支持物联网的新世界的安全风险提供了洞察力。

　　“Cog从嵌入式微内核和虚拟机管理程序开始，然后专注于使设备为物联网做好准备所需的安全性和强化方面，”Cog Systems首席执行官Dan Potts描述道。“我们看到，如果人们继续维持现状，如果你看看预测的增长趋势，就会发现由于规模的大规模增加，一个巨大的问题迫在眉睫。

　　部分问题在于许多嵌入式软件设计往往是单片系统。Cog 很早就认识到，更加模块化的设计对于识别和管理安全问题至关重要。

　　此外，Linux 攻击面可能很大，由于熟悉和开源访问，绕过安全机制并不困难。随着Cog开始与系统集成商合作，他们显着推进了其支持技术，以解决攻击面和安全问题。

　　“通过利用我们最初的经验，我们现在能够专注于为物联网设备开发提供更多现成的大众市场软件解决方案，”Potts说。“我们提供了一个SDK，帮助设备制造商整合基于安全虚拟化/虚拟机管理程序的设计。它使他们能够在 Type 1 虚拟机管理程序的支持下从单片转向模块化。

　　SDK 称为 D4 安全。虚拟机管理程序提供第一层。最重要的是，还有其他实用程序和模块可用于更轻松，更安全地构建安全的物联网设备。这些工具包括：

　　基于虚拟机管理程序的技术

　　具有策略和共享控制的虚拟驱动程序

　　无线更新的设备管理

　　一套安全模块：VPN、安全通信和身份验证

　　解决方案路线图还包括研究下一代虚拟机管理程序技术，以从大型嵌入式芯片组扩展到小型嵌入式芯片组。解决方案中的知识产权是关于最大限度地提高性能，同时仍提供虚拟化。

　　高通®骁龙™安全和D4安全

　　骁龙是一款高性能芯片，可从 200 系列扩展到 800 系列，应用范围广泛——从简单的传感器到智能手机、平板电脑、机器人和自动驾驶汽车。高通855的安全态势特别有吸引力，它具有许多与物联网和潜在5G连接相关的功能。

　　组合的解决方案堆栈从信任链和安全启动开始。芯片通过每个芯片的唯一密钥来支持这一点。此功能提供了信任的基础。

　　虚拟机管理程序层依赖于安全引导。启动后，虚拟机管理程序将接管以维护安全链。多阶段启动过程允许动态更新整个软件映像或单个模块（或虚拟机）。

　　还内置了完整性和多层安全性。例如，骁龙提供根密钥，但磁盘加密是分开的。这些应用程序还能够利用安全实用程序，但为独立安全性提供额外的密钥。

　　使用案例

　　消费者/伴侣机器人用例需要高性能的机器学习和视觉处理。通常这些东西包含在操作系统中。还可能存在涉及用于运动的电机控制器的遗留代码。虚拟化堆栈允许这些功能在单个芯片组上的单独 VM 上运行。好处是降低成本和占用空间，但模块化还允许采用“分而治之”的方法来实现安全功能和关键功能分离。

　　汽车应用是另一个可以更容易混合和匹配实时（动力传动系、驾驶员辅助/检测）和非实时（信息娱乐系统）系统的领域。

　　骁龙 X50 调制解调器支持 5G 网络，并以更低的延迟实现真正的边缘计算。

　　总结

　　物联网设备安全性已成为当今物联网的关键要求。利用新工具和开发工具包有助于缩短学习曲线和开发时间。

　　审核编辑：郭婷