FPGA 芯片被曝严重的 Starbleed 漏洞，影响数据中心IoT工业设备等

 聚焦源代码安全，网罗国内外最新资讯！

编译：奇安信代码卫士团队

学术研究团队表示，他们在世界行业巨头 Xilinx 生产的 FPGA (Field Programmable Gate Arrays) 芯片集中发现了一个新型安全漏洞 “Starbleed”，可导致具有物理或远程访问权限的攻击者提取并篡改 FGPA 比特流（配置文件）以恶意代码重新编写芯片。

FPGA 是什么？

FPGA 是可以添加到计算机系统（如常规台式机、高性能服务器）中的附加卡，也可用作独立系统。FPGAs 是一种旨在运行非常特定的代码的小型的集成电路板，这些特定的代码由设备所有者根据自己的需求在 FPGA 内部编写而成。

虽然曾经被视作计算机编程的一个业余分支，但由于使用量增加，FPGAs 如今已占据巨大的市场。当前，FPGAs 用于通过在 FPGA 而非主 CPU 上运行某些操作的方式优化性能，随后将结果返回给 CPU。

另外，FPGAs 也可被用作独立的片上系统 (SoC)，为智能设备或关键基础设施供电。

波鸿大学 Horst Görtz IT 安全研究所和 Max Planck 安全隐私研究所的学术人员上周在新闻稿中指出，“当前 FPGA 芯片现身于很多安全关键应用中，从云数据中心和移动手机基站到加密 USB 及工控系统等等不一而足。”研究人员指出，“和具有固定功能的常规硬件芯片相比，它们的绝对优势在于其可重新编程性。”这种“可重新编程性”是指用户可以加载 FPGA 能够执行的自身的配置（操作套件）。这种配置被称为“比特流”，通常以加密方式从外部介质（如 SRAM 非易失性存储器）或外部微控制器的固件中进行存储和加载。

Starbleed 漏洞

上周，学术人员发表研究论文指出，当前 FPGA 市场领导者美国公司 Xilinx 出售的 FPGA 芯片集中存在一个安全缺陷。

Xilinx FPGA 如7系列（Spartan、Artix、Kintex 和 Virtex 家族）和6系列 (Virtex) 均易受攻击。研究人员表示，该漏洞可导致攻击者破解比特流加密机制并篡改存储在比特流中的操作，导致攻击者在易受攻击设备上加载自己的恶意代码。他们指出，“在这些设备上，比特流加密算法通过使用基于 SHA-256 的HMAC 提供真实性，同时使用 CBC-AES-256 加密算法提供机密性。我们的攻击能够规避比特流加密算法并完全解密所有 Xilinx 7 系列设备上和部分解密 Virtex-6 设备上的假定安全的比特流。”

研究人员表示，Starbleed 攻击要求物理访问 FPGA 的 JTAG 端口；然而，如果 FPGA 比特流是从微控制器或另外一个网络源加载的，那么攻击者可针对比特流的加载位置远程执行攻击，这个位置可能是网络或互联网，与 FPGAs 本身不同。

无需昂贵设备即可实施攻击

研究人员表示，Starbleed 攻击和此前发现的 exploit 不同，“针对 Xilinx 7系列设备的比特流加密的已知攻击本质上都是物理攻击（侧信道分析、光纤非接触探测），且从设备、事件和技术专业角度来讲基本成本高昂。另外，他们需要具有 FPGA 物理访问权限。而与之相反，我们的攻击只需要求对 JTAG 或 SelectMAP 接口具有访问权限，通常可通过 JTAG 接口的调试本质甚至是远程信道获得这种权限。”

虽然窃取或篡改 FPGA 比特流看似过分或浪费时间，但研究人员认为这些设备的安全性至关重要。Max Planck 隐私安全研究所的一名教授 Christof Paar 指出，“比特流中包含的知识产权可被窃取。也有可能通过操纵比特流的方式将硬件木马插入 FPGA中。”他表示，“尽管要求具有具体指示，但攻击最终可通过远程执行，而攻击者甚至无需物理访问 FPGA。”

或需替换芯片

Parr 和同事认为除了整个替代 FPGA 芯片集外，不存在修复这些问题的方法，因为加密和比特流机制旨在在硬件层面工作且需要重新设计硅芯片。

研究团队表示去年9月就将 Starbleed 漏洞问题告知 Xilinx 公司，后者在漏洞报告提交过程中予以积极回应，同意将危险告知客户。Xilinx 公司通过邮件声明表示，Starbleed 攻击是可能发生的，单其危险性并没有那么大。该公司指出，已通知客户采取措施确保威胁行动者无法访问 FPGA 组件及其调试/配置端口。

Xilinx 公司指出，“我们已经阅读该论文并向客户发布安全公告说明解决方案。执行所谓的‘Starbleed’攻击的唯一已证实方法是对系统具有紧密的物理访问权限。同时，应该意识到当对手具有对系统的紧密的物理访问权限时，也需要考虑其它威胁。我们建议所有客户应当在设计系统时将篡改防护考虑进去，从而难以实现这种紧密的物理访问权限。”

虽然某些 Xilinx FPGA 可防御物理访问权限，或者防御比特流可远程访问的场景，但并非所有设备都可受到保护。如果设备运行着关键系统，那么就需要将其替换为为比特流配置使用更加高级的加密机制设备。

好在新一代 Xilinx UltraScale 板并不受该攻击影响，研究人员因此建议设备所有人可以替换为这个版本。

研究论文可见：

https://www.usenix.org/system/files/sec20fall_ender_prepub.pdf

推荐阅读

原文链接

https://www.zdnet.com/article/starbleed-bug-impacts-fpga-chips-used-in-data-centers-iot-devices-industrial-equipment/

题图：Pixabay License

本文由奇安信代码卫士编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 www.codesafe.cn”。

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的

    点个 “在看” ，为我加油鸭~