安全与密码学2020usenix.org编辑精选
对 Xilinx 7 系列 FPGA 比特流加密的完整破解
A Full Break of the Bitstream Encryption of Xilinx 7-Series FPGAs
专业 · 约 80 分钟读完前置知识：FPGA 架构基础、分组密码与 CBC 模式、硬件安全威胁模型
导读
这篇论文研究 Xilinx 7 系列 FPGA 的 bitstream 加密机制，并展示了在可接触配置接口或具备物理访问条件时对其的完整破解，能够解密或提取受保护的 bitstream。结论说明，依赖 bitstream 加密来保护 FPGA 设计 IP 和 DRM 并不可靠；但 FPGA 上算法本身的安全以及私钥保护仍不能只靠 bitstream 加密。
HN 关注点：焦点不只是技术破解本身，而是物理接触威胁模型是否成立，以及打破 bitstream 加密对 IP/DRM 保护、用户自由和 right-to-repair 意味着什么。
后来怎么样
该论文公开了被称为 Starbleed 的漏洞：Xilinx 7 系列 FPGA 的 bitstream 加密可被完整破解且无法通过补丁修复，促使业界重新评估以 bitstream 加密保护设计 IP/DRM 的安全假设，并影响了后续 FPGA 供应链安全研究。
HN 评论精选
这几条评论里：支持 1 质疑 1 补充 1 亲历 1
亲历无限物理访问下防逆向几乎不可能，因此破解并不令人意外。
我曾在一个非常想保护固件中 IP 的地方工作。他们给我一个研究任务：评估攻击者在拥有对样本设备的无限物理访问权时，把固件提取成二进制会有多难。因为我能读写中文，我在中文网站上搜索，发现一家公司广告说他们就能做这件事……大约每单 1 万美元。他们列出了知道如何破解的芯片，但我雇主用的那颗不在名单上……我觉得，想阻止拥有无限物理访问权的对手逆向工程，是徒劳的。所以这次 Xilinx FPGA 被破解很有意思……但也只能耸耸肩。
alexdowad查看英文原文
Once I worked at a place which was very interested in protecting the IP inherent in their firmware. They gave me a research assignment to get an idea of how difficult it would be for an attacker to extract it as a binary given unlimited physical access to a sample device. Since I read and write Chinese, I did some searching on Chinese-language sites and found a company advertising their ability to do just that... for about $10,000 per job. They listed the chips they knew how to crack, but the one my employer was using was not on the list... I feel that trying to prevent reverse-engineering by adversaries with unlimited physical access is a fool's errand. So this break of Xilinx FPGAs is interesting... But kind of a shoulder shrug.
补充威胁模型已假设物理接触，真正价值在于用户能解锁自有硬件。
虽然这确实把代码（不含描述性文本）暴露给外部攻击，但我认为，一旦攻击者已经在你的安全设备的逻辑总线上放了逻辑分析仪或攻陷了微控制器，他就已经越过了最难关卡。我个人更感兴趣的是，这对那些想用它来打开自己硬件的“攻击者”意味着什么。这可能不符合 Xilinx 或 OEM 的目标，但对客户是好事！
LeifCarrotson查看英文原文
While this does open up the code (sans descriptive text) to external attacks, I rather feel that once you have a logic analyzer or compromised microcontroller on the logic bus of your secure device you've got the attacker on the wrong side of the airtight hatchway. I'm personally much more interested in what it means for 'attackers' who wish to use it to open up their own hardware. Perhaps that might not align with the goals of Xilinx or the OEM, but it's great for their customers!
支持破解有利于安全审计，受损的是依赖 DRM 的厂商。
这对“安全”或“安全微控制器”不是坏事。事实上对安全有好处。跑在这些 FPGA 上的设计现在可以被分析和检查，看是否有意外或故意的安全问题。请注意：安全问题无论你知不知道都存在。FPGA 实现的功能仍然可以（也应该）是安全的——因为其算法的安全性绝不应依赖算法保密。而要保护私钥材料，最终仍取决于物理安全。它坏的是依赖 DRM 保护资产的厂商。而 DRM 通常与用户自由完全对立。
eqvinox查看英文原文
This isn't bad for "security" or "secure microcontrollers." It is in fact good for security. Designs running on these FPGAs can now be analyzed and inspected for accidental or intentional security issues. Mind you: the security issues are there whether you know about them or not. The function that the FPGA implements can (and should) still be secure - since the security of its algorithms should never rely on the secrecy thereof. (And to protect secrecy of private key material, it comes down to physical security either way.) What it's bad for is vendors relying on DRM to protect their assets. Which is normally diametrically opposed to user freedom.
质疑质疑研究者为何普遍以负面框架描述 DRM 破解。
我想知道，所有做这类工作的人是不是都支持 DRM/反自由；因为我见过很多破解 DRM 的论文对研究结果持非常负面的看法（这篇也是），但我记不起有哪一篇采取相反立场，说这是自由和维修权（right-to-repair）的又一步。研究者真的认为这是坏事，还是因为怕别人不认同、论文被拒而不敢采取那个立场？
userbinator查看英文原文
I wonder if everyone who works on stuff like this is pro-DRM/anti-freedom, because while I've seen plenty of DRM-breaking papers which paint a very negative view of their findings (this one included), I can't recall seeing a single one which takes the opposite view that this is another step forward for freedom and right-to-repair. Are the researchers really believing that this is a bad thing, or is it because they're afraid of taking that position since others could disapprove and reject their paper?
相关资源
从这篇论文所有 HN 讨论帖的全部评论里整理出来的链接。
历次讨论
- 2020Hacker News 讨论帖277 分 · 89 评
同领域还值得读
如何入侵一台已关机的电脑：在 Intel ME 中运行未签名代码
How to hack a turned-off computer, or running unsigned code in Intel ME
这篇 Black Hat 2017 白皮书讨论 Intel Management Engine（ME）的安全问题：如何在 ME 中运行未签名代码，以及攻破处于关机状态的电脑的相关…
安全与密码学2017 · 543 分 · 107 评专业 · 约 40 分钟编辑精选比特币：一种点对点的电子现金系统（2008）
Bitcoin: A Peer-to-Peer Electronic Cash System (2008)
中本聪 2008 年发表的比特币白皮书，提出了无需可信第三方的点对点电子现金系统。
安全与密码学2017 · 536 分 · 394 评入门 · 约 45 分钟编辑精选GPRS 加密算法 GEA-1 的密码分析表明存在故意弱点
Cryptanalysis of GPRS Encryption Algorithms GEA-1 suggest intentional weakness
首次公开了对 GPRS 加密算法 GEA-1 和 GEA-2 的密码分析攻击。
安全与密码学2021 · 487 分 · 107 评专业 · 约 90 分钟编辑精选Signal 消息协议的形式化安全分析
A Formal Security Analysis of the Signal Messaging Protocol
用形式化方法分析 Signal 消息协议（TextSecure）的安全性：作者在多阶段密钥交换模型下，借助自动化证明工具对协议的密钥协商与 Double Ratchet 密钥更新…
安全与密码学2016 · 353 分 · 230 评专业 · 约 120 分钟编辑精选A2：模拟恶意硬件
A2: Analog Malicious Hardware
论文研究如何在芯片设计阶段植入模拟电路形式的恶意硬件后门，使其难以被常规检测发现。
安全与密码学2016 · 315 分 · 94 评专业 · 约 75 分钟编辑精选