一种嵌入式设备固件安全更新方案

针对嵌入式设备固件更新的安全问题,文中提出了一种基于哈希、对称、非对称加密算法的多重校验固件安全更新方案。通过主密钥对、临时密钥对、共享密钥以及哈希链等设计,从身份认证、数据加密、完整性校验等多个方面对固件更新进行安全防护,可以有效预防非法用户、固件篡改、固件数据泄露、重放攻击、固件回滚等攻击。文中对此安全更新方案进行了具体实现,实验结果显示该方案相较于无任何安全防护的ISP(In System Programming)和IAP(In Application Pragramming)技术,在时间成本方面分别增加约7%和11%的情况下实现了对固件更新的全流程安全防护,为嵌入式设备的固件更新提供了一种安全、可靠的更新方法。

智能IoT固件安全研究样本库的设计与实现

随着物联网设备的爆发式增长,人们对物联网设备的安全性也愈发重视,大量研究人员对物联网设备的安全性进行研究。为了给物联网固件安全研究提供分析和实验样本,本文广泛搜集、整理了主流物联网厂商的设备固件,设计了固件信息分析与提取方法对收集的固件进行处理,最后使用Django开源Web应用框架实现了可视化的固件样本管理系统,为相关物联网固件安全研究提供有力支撑。

物联网设备的固件安全检测平台设计与建设

分析了物联网的发展及物联网设备安全形势,研究了物联网固件安全检测技术,明确了固件安全检测平台建设目标,对平台功能进行了设计与研究,以期为物联网固件安全检测工作奠定基础。

物联网固件安全缺陷检测研究进展

固件是物联网设备的基础使能软件,其中存在的安全缺陷是物联网设备遭受攻击的根本原因之一。由于物联网设备资源受限,难以部署完善的安全防护机制,身处不安全的网络环境中,其固件缺陷一旦被恶意利用,轻则使设备宕机,重则威胁安全攸关领域基础设施,造成巨大的生命财产损失。因此,有效的固件安全缺陷检测已然成为保障物联网设备安全的关键,也成为学术界和工业界研究的热点。面对物联网设备数量的高速增长、固件自身规模和复杂性的不断攀升、固件类型的日益多样化、固件缺陷的持续增多,现有的物联网固件安全缺陷检测研究面临挑战。本文归纳了典型物联网固件实现缺陷类型,分析了典型缺陷产生机理,从静态分析、符号执行、模糊测试、程序验证、基于机器学习的方法等角度综述了现有固件缺陷检测方法。通过对不同方法优势与不足的分析,为进一步提升固件安全缺陷检测方法的智能化、精准化、自动化、有效性、可扩展性提供指导。在此基础上,本文展望了未来可以开展的研究工作。

固件安全需要端到端供应链保护

固件安全是当前联网设备面临的最严峻的安全隐患之一。对此,莱迪思发布的Sentry解决方案集合与SupplyGuard服务提供了具有动态信任的端到端供应链保护。万物互联时代,联网设备所带来的安全风险已成为令人担忧的问题,首当其冲的是固件安全风险。Gartner在2019年7月的数据显示,截至2022年,约有70%未执行固件升级计划的组织由于固件漏洞而遭到入侵。

基于国产化IT基础设施的通用固件安全模型研究

随着国内IT基础设施产业的不断发展,国产芯片、操作系统和应用系统得到了大范围应用。固件作为底层硬件设备与操作系统之间的纽带,其安全性直接影响国产化IT基础设施产业链的长久发展。分析国产化IT基础设施固件安全的现状,针对固件安全存在的威胁提出通用固件安全模型。基于该模型,用户可实现国产化IT基础设施产业固件的安全评估,了解固件面临的安全威胁和安全风险;针对威胁和风险,搭建固件安全防护体系,补齐短板;制定固件安全标准,推动固件安全领域的持续健康发展。

基于N-Gram算法的智能家居设备固件安全检测方案

本文提出基于N-Gram的智能家居设备固件安全检测方案。该方案主要采用N-Gram算法提取设备固件中可以代表智能家居设备固件的特征子序列,将单个设备固件特征向量化,在向量空间里将安全的设备固件与存在漏洞的设备固件进行特征比对,从而实现了利用智能家居市场上已知漏洞去检测其它智能家居设备的相似漏洞的功能,同时提高了安全工程师对设备固件的漏洞发现效率。

电力物联网设备安全检测系统设计与应用分析

随着设备日益复杂和互联化,电力物联网设备安全威胁日益增加,如何确保电力物联网设备的安全运行成为了亟待解决的问题。因此,有必要研发一种电力物联网设备安全检测系统,以从漏洞、配置和固件安全性等多个角度对设备进行综合安全分析,实现设备安全性的检测。

物联网固件漏洞安全检测综述

随着万物互联时代的到来,物联网的安全问题越来越突出,尤其是物联网中由于固件漏洞引起的安全隐患或攻击行为导致的经济损失越来越大.高效的固件漏洞检测技术越来越成为保障物联网设备安全的关键,因此研究物联网中固件漏洞安全检测相关方法与技术具有重要的理论意义和实用价值.分析了物联网固件安全问题频发的原因,归纳了物联网固件面临的主要安全威胁,针对固件漏洞分析所面临的挑战,综述了现有固件漏洞检测方法.通过对不同方法优势与不足的分析,为进一步提升固件安全缺陷检测方法的智能化、精准化、自动化、有效性、可扩展性提供指导.最后,对物联网固件漏洞安全检测进行了展望.

固件安全检测技术概述

本文归纳了影响固件安全的常见问题以及固件安全检测技术面临的挑战。在此基础上,介绍了利用漏洞分析与风险评估系统(VARAS)对固件进行安全检测的技术架构,并重点就其中用于静态审计固件自研代码漏洞,以及检测固件代码复用引入的漏洞的技术方案做以阐述。

电子后视镜安全风险分析及对策

电子后视镜相对于传统后视镜在智能网联汽车上的优势使其逐渐替代传统后视镜。同时,电子后视镜的出现也意味着在其网络通信、系统安全、数据安全等方面实施攻击的可能性也变大了。以电子后视镜安全测试为例,从功能安全测试、模糊测试和渗透测试等方面进行评估,分析其存在的安全问题并提出对应防御措施,旨在为电子后视镜的设计和安全测试提供参考,推动智能网联汽车智能化安全发展。

UEFI固件存储系统分析

为解析和提取UEFI固件中的固件模块,研究UEFI固件的逻辑结构和存储结构,对组成固件的固件卷、固件文件、固件段结构进行分析并给出解析流程;对UEFI固件存储中的加密模块涉及的压缩算法原理进行分析。实验中,按分析出的结构和原理,编写一个可用于解析和提取UEFI固件中各个模块的程序原型,对实际的UEFI固件进行实验,实验结果表明,其可以正确解析和提取固件中各模块。

基于硬件模块访问的固件异常分析

固件作为一种固化在芯片内部,不可随意更改的特殊软件,与底层硬件紧密相连。同一般软件一样,固件同样存在漏洞、木马、后门等各种恶意行为。但是针对固件中可能存在的恶意行为,传统的程序恶意行为描述方法并不适用。以ARM为研究对象,结合ARM指令体系的结构和特点,本文提出基于底层硬件模块访问检测的异常行为判定方法,并以U-Boot为实例,对该方法进行了实验验证。

基于软硬件协同形式验证的固件漏洞分析技术

为了系统高效地分析固件中潜在的安全隐患,提出了一种基于行为时序逻辑TLA的软硬件协同形式验证方法。通过对固件工作过程中的软硬件交互机制进行形式建模分析,在动态调整攻击模型的基础上,发现了固件更新过程中存在的安全漏洞,并通过实验证实了该漏洞的存在,从而证明了形式验证方法的可靠性。

电力物联网智能终端安全检测应用研究

随着物联网技术与电力行业生产结合日益紧密,越来越多的电力物联网智能终端在电力生产中发挥重要作用。但鉴于物联网安全领域专业性,公司用户无法全面了解电力物联网智能终端的安全风险和漏洞,无法满足大量的安全性评估需求。基于电力物联网智能终端的主要安全风险,对其固件进行安全测试、分析,实现了对常规漏洞、硬编码口令、潜在安全风险等方面的检测;利用模糊测试、远程扫描等策略实现了对电力物联网智能终端在线设备的漏洞挖掘测试。实验结果表明,进行的研究可以有效检测电力物联网智能终端设备固件安全性并对在线设备进行漏洞挖掘测试,满足公司对电力物联网智能终端的安全要求。

我国汽车紧固件的现状及发展

2013年度中国汽车总销量已经超越2000万辆,美好的汽车销售前景极大地促进了汽车紧固件企业的发展,汽车企业数量较上年增长20%。针对汽车紧固件发展的良好契机,本文立足于汽车紧固件的应用现状和安全因素,从其热处理装备及热处理工艺出发,阐述了紧固件热处理技术及配套装备的发展和创新,以促进国内汽车紧固件行业的持续稳定发展。

电力物联网设备安全检测系统设计与应用

电力物联网设备正在越来越多的应用于电力系统,由于设备类型多样、复杂,因此目前尚未有对其进行安全检测的成熟解决方案。为解决这一现状,设计研发一种电力物联网设备安全检测系统,基于设备指纹识别、网络协议识别和固件安全性分析等关键技术,对电力物联网设备从漏洞情况、配置安全性和固件安全性角度进行综合安全分析,实现对设备安全性检测,自动化的系统设计大大提高了用户开展安全检测工作的效率。目前,该系统已积累了品牌库23 613条,固件库11条,协议库22条,漏洞库159 763条,威胁特征库1 028条。利用电力物联网设备安全检测系统对电力5G终端、5G CPE、5G边缘网关等六款设备进行安全检测,累计挖掘终端密钥泄露、配置错误、不安全的组件等安全风险274个。将研发的平台与业内知名漏洞扫描工具进行了对比分析,电力物联网设备安全检测系统具有较高的准确率和覆盖率。同时,将系统在3个典型电力业务场景进行试点验证,累计挖掘各类安全漏洞590个,有力保障了电力物联网终端本体安全性。

基于网络监听的嵌入式系统固件获取方法

由于嵌入式系统通常连接控制着各种物理设备,嵌入式系统的安全已不仅是信息空间的安全问题,而且已涉及到物理世界的生命财产安全问题,从而越来越被研究人员所重视。嵌入式系统固件是嵌入式设备安全分析的主要目标,固件获取是进行固件安全分析的前提,论文针对无法直接通过网络下载获取固件的设备问题,设计实现了一款基于网络监听获取固件的工具,实验证明该工具能够有效获取隐蔽的固件更新下载接口。

网络协议模糊测试综述

模糊测试作为最有效的漏洞挖掘方法,在网络协议安全检测领域应用广泛,并且诞生了大量的研究成果。目前还没有工作对协议模糊测试技术进行全面的总结和分析。首先回顾了协议模糊测试的发展历程,按照其工作流程(预处理,种子生成,执行过程监测以及结果分析)总结现有协议模糊测试所做的工作以及不足;之后,分析了不同环境下协议模糊测试技术的挑战以及解决方法;最后讨论了当前协议测试方法存在的局限性,以及未来的发展方向。

BIOS采样分析系统的设计与实现

通过研究BIOS镜像文件中遵循的SMBIOS规范、EPSON表结构及高端物理内存映射方法,提出一种通用的BIOS镜像文件采样及分析技术手段,建立BIOS镜像文件安全检测模型。实验证明,该方案能对多种厂商的BIOS镜像文件进行采样及格式处理,解决BIOS安全风险分析检测系统中存在的技术难点,为固件层的安全分析提供有效保障。