安全計—在設計的初始階段檢測威脅,在設計安全解決方案的時候,首先必須做的就是定義一個威脅模型,然后再創建安全策略。一旦評估完成,就能安心地選擇具體的技術來實現安全對策。威脅決定應對策略,策略決定設計。
許多設計師都會犯同一個錯誤,在設計安全系統時沒有首先明確和了解可能遇到的真正威脅,以及這些威脅會給他們的終端產品帶來的重大風險。相反,他們教條地把各類安全技術堆在一起,并希望能獲得很高的安全性。這樣做代價高昂,沒有系統能防御所有的安全威脅,在設計中囊括那些沒有必要的技術和防御沒有實際威脅的風險毫無意義。
威脅建模—價值意味著風險,對于資源受限的設備,嵌入式系統必須在存儲容量、功耗、處理能力、上市時間及成本等參數和安全需求之間獲取一種平衡。盡管存在資源不足的挑戰,通過仔細考慮威脅模型并設計系統使其工作在能滿足該模型的可用計算能力限制之內,仍有可能開發出使產品在開放環境中有效工作的系統。
對系統設計師來說,考慮“威脅建?!钡脑矸浅S杏谩M{建模是基于一種假設,即每個系統都有值得保護的固有價值。然而,因為這些系統是有價值的,他們對內部或外部威脅也是開放的,這些威脅能夠且經常給終端產品帶來損害。設計完成后的安全漏洞常常是無法修正的,且危及投入的資金和開發資源,因此需要在設計周期的初始階段增強對安全評估的需求,并在整個設計周期進行監測和重復修正。
本質上,我們可以把威脅模型定義為:“識別一組可能的攻擊,以便考慮配合一套徹底的風險評估策略?!庇辛送{模型,我們就能評估攻擊的概率、潛在危害和優先級。
當正確完成威脅建模時,真正的威脅就被確定下來了。然而,如果弄錯了可能存在的威脅的話,其代價將是高昂的。設計師弄錯威脅的一個案例是DVD的保護措施。盡管DVD碟片被加密,密鑰也放在播放機里,只要播放機里包含抗篡改硬件,這種保護方式是沒有問題的。但引入軟件播放器時,密鑰會曝露出來,通過逆向工程就能恢復密鑰,也使任何人都能隨便復制和散布任何DVD內容。