嵌入式系統為我們身邊的許多技術提供了支持，從微波爐到飛機。典型的現代汽車包含大約100個控制單元，它們是一組嵌入式設備。嵌入式系統也是黑客攻擊的熱門目標，因為它們為黑客提供了對其生成、處理和傳輸的所有數據的訪問權限。

[[343207]]

然而，由于嵌入式系統的諸多局限性，保護嵌入式系統是一個相當大的挑戰。為了為此類系統創建有效和安全的軟件，開發人員需要對嵌入式解決方案有深入的了解和豐富的經驗。

在本文中，我們分析了用于攻擊嵌入式系統的十二種最常見的技術以及緩解這些攻擊的方法。我們還提供11種優秀實踐，以提高嵌入式系統的整體安全性。

什么是嵌入式系統?

嵌入式系統由硬件和軟件組成，是能夠獨立進行運作的器件。其軟件內容只包括軟件運行環境及其操作系統。硬件內容包括信號處理器、存儲器、通信模塊等在內的多方面的內容。相比于一般的計算機處理系統而言，嵌入式系統存在較大的差異性， 它不能實現大容量的存儲功能，因為沒有與之相匹配的大容量介質，大部分采用的存儲介質有E-PROM、EEPROM DENG等， 軟件部分以API編程接口作為開發平臺的核心。

嵌入式系統是位于大型機構內的嵌入式設備的組合。這樣的一個系統專門用來執行一個特定的任務，這使得它與其他任何設備系統不同。例如，一臺筆記本電腦有許多控制其性能的嵌入式系統，但它本身并不是一個嵌入式系統，因為筆記本電腦可以執行各種任務。

一般來說，嵌入式系統由CPU、存儲器和外圍設備組成。在現代系統中，它們被組合成一個微控制器(所有三個組件都在同一個芯片上)或微處理器(使用外部存儲器和外部外圍設備來節省成本和降低功耗)。設備的組合和容量取決于每個系統的用途。

嵌入式系統由確定嵌入式設備行為的集成軟件控制。通常，開發人員可以通過用戶界面與嵌入式軟件進行交互，但是具有嚴格限制的系統可能不支持此功能。

嵌入式系統的體系結構

嵌入式系統的主要好處是它們具有實時工作能力，幾乎沒有延遲的完成任務。這種性能是通過優化系統資源和硬件以執行一項活動來實現的。由于進行了這種優化，因此與構建更復雜的設備相比，使用嵌入式系統更便宜，功耗更低。

借助正確的軟件，嵌入式系統可以在任何環境下正常運行并發揮出色的性能。這些系統對于硬件工程師來說也很方便，因為嵌入式設備很小，幾乎不需要外部連接。

嵌入式系統的缺點還源于其緊湊性和對單個任務的專注。首先，有限的計算能力和內存使開發人員處于一個具有挑戰性的位置。他們需要特定的技能和經驗來創建使嵌入式系統性能、穩定和安全的軟件。

其次，嵌入式系統實際上無法擴展，因為它們通常僅具有足以滿足當前負載的計算能力。

最后一點是，功率限制，對性能的強調以及嵌入式系統的本質可能會造成安全漏洞。我們將在下面調查這些漏洞的根本原因和類型。

嵌入式系統的優缺點

嵌入式系統的安全挑戰

嵌入式系統安全性漏洞可以使黑客有機會獲得機密信息，這是個潛在威脅，將嵌入式系統用作執行進一步攻擊的平臺，甚至對設備造成物理損壞，有可能導致人身傷害。考慮到嵌入式系統是極其昂貴和有價值的計算機的組成部分，因此入侵這些系統的可能性會吸引許多黑客。這就是為什么說保護嵌入式系統是極其重要的。

然而，在嵌入式系統中實施安全措施面臨諸多挑戰：

• 電源和內存限制限制了嵌入式系統可以運行的網絡安全應用程序的數量。
• 在開發嵌入式軟件和設計硬件時要考慮安全性，因此需要開發專家。
• 網絡連接和較差的訪問控制在嵌入式系統中很常見。
• 物理暴露使黑客可以根據需要研究系統。

對嵌入式系統安全性的攻擊可能會產生嚴重的后果。讓我們看幾個例子。

嵌入式系統利用的后果是什么?

嵌入式系統漏洞利用的最常見示例是諸如GPS設備，視頻卡，Wi-Fi路由器和游戲設備之類的消費電子產品的黑客行為。這些黑客攻擊通常是有可能的，因為制造商不保護他們的固件。因此，幾乎任何一個稍有技術知識的人都可以獲得高級功能或超頻設備。

在2018年，白帽子發現Meltdown和Spectre硬件漏洞會影響所有Intel x86和某些AMD處理器。這兩個漏洞破壞了用戶應用程序之間的隔離，使應用程序可以訪問敏感數據并擴大攻擊面。Linux和Windows開發人員都已為其操作系統發布了補丁，以部分保護設備免受Meltdown和Spectre的侵害。但是，在易受攻擊的處理器上運行的許多設備(尤其是舊設備)仍未受到保護。

正如我們上面提到的，任何大小和復雜程度的機器都可能因為不安全的嵌入式系統而變得脆弱。例如，波音787的機組信息系統/維護系統和機載網絡系統的固件容易受到緩沖區溢出、內存損壞、堆棧溢出和拒絕服務攻擊的攻擊。如果攻擊成功，黑客可以獲取飛行員的個人信息或破壞航空電子網絡。

軍事裝備也會受到嵌入式系統的攻擊。例如，黑客可以關閉 F-15戰斗機上的“可信飛機信息下載站”。該嵌入式設備在飛行過程中從攝像機和傳感器收集數據，為飛行員提供導航數據。

嵌入式系統是植入醫療設備的重要基礎。這些設備必須小巧耐用，并且必須實時運行。但是他們也很容易受到黑客的攻擊，這是由一群研究Medtronic生產的設備的白帽黑客發現的。他們在Medtronic胰島素泵和起搏器中發現的漏洞可能會中斷或停止設備，或者讓黑客控制它們。

考慮到這一點，我們將在下篇文章中討論對嵌入式軟件，網絡和設備的最常見攻擊以及可能的保護措施。

本文翻譯自：https://www.apriorit.com/dev-blog/690-embedded-systems-attacks