美国芯片"后门"泛滥， 发展我国安全 CPU 才可躲此一劫！(转载)
信息安全是关系到国家安危、国计民生、社会安定等诸多方面的一个重大问
题。随着信息化时代的到来，我国的政治安全和经济安全越来越依赖于网络和信
息的安全运行。
美国很早就认识到了信息安全与国家利益的紧密联系，采取了一系列措施来
加强其信息产业在全球的垄断地位。美国主要是通过 NSA（国家安全局）对信息
产业实行严格的控制，NSA 派出既懂密码、电子侦察业务，又懂半导体技术的专
家驻在各大公司，其任务就是对销往全球的信息产品进行监控，甚至在大规模集
成电路芯片等关键部件内安装“后门”。这些“后门”可以通过特殊手段启动，
发回芯片所处理的各种数据，也可使该芯片失去工作能力。
这绝不是危言耸听。中国国家信息安全测评认证中心曾测试确认，美国某公
司的产品存在“后门”——即该公司的产品在客户不知情的情况下，定期向美国
回传 200K 字节的加密数据，经有关部门解密后得知其中包括重要客户信息，对
用户构成极大的潜在安全危险。最让人担心的是，在今天的技术条件下，将一块
芯片中可能安放的所有“后门”都排除掉几乎是不可能的。
和美国的做法相比，我国政府采购的“开放性”值得我们认真反思，尤其在
IT 领域，我们采购的几乎全部是美国产品，而且没有设置任何障碍，更为严重
的是还允许 DELL 等公司进行直销，使得他们可以掌握到每一台机器的用户信息。
这种信息安全方面的隐患给政府采购提出了一个要求，那就是政府采购应尽可能
采购国货，尤其是敏感部门使用的产品，绝不能给信息安全留一道“后门”。
国家信息安全基础设施的建设是不能建立在从美国进口的 CPU 产品上的。安
全 CPU 是信息安全领域的核心技术，发展我国安全 CPU 必将给我国信息安全建设
提供十分可靠的保障，还将带动一系列相关安全产品的发展，启动我国信息安全
的大市场，成为我国经济发展新的增长点。
从长远的眼光看，我国信息安全产业必须立足在一个完整的体系上，不受国
际垄断集团控制，防止国际敌对势力对信息安全领域的渗透，关键是要立足于自
主研发，研制适应各种信息安全需要的 CPU 芯片和专门芯片，这样安全性高而且
成本比进口低很多。
采购国货 把牢信息安全后门！
Page 2
研究人员发现存在后门的电脑芯片
英国的两位安全研究人员发表了一篇研究报告[PDF 格式]草稿，该文阐述
了他们所谓的微型芯片上预留的“真实世界检测到的第一个真正的后门”，该微
型芯片是一个允许恶意攻击者监视或者改变芯片上信息的通路。英国剑桥大学研
究员谢尔盖•斯科罗博加托夫和库欧•瓦迪斯实验室（Quo Vadis Labs）研究员克
里斯•伍兹指出黑客可能利用这个漏洞改编安全内存的内容，获得芯片内部逻辑
信息。我在 2010 年 8 月份的《科学美国人》杂志的“你硬件上的黑客”一文中讨
论过这种类型的硬件后门。
这种安全漏洞所涉及的芯片类型决定了它必将受到重大的关注。这种芯片是
ProASIC3 A3P250，它是现场可编程门阵列（FPGA）。这些芯片有很多用途，
包括网络通信系统，金融市场，工业控制系统以及一系列的军工系统。每个客户
安装 FPGA 来实现一个唯一的（经常是高度私有化的）逻辑操作集。例如，一个
金融市场的客户可能安装 FPGA 来做出快速交易决策。一个航空业的客户可能用
FPGA来控制航线。任何对FPGA的非法侵入都会有知识产权被盗的风险。此外，
芯片上的指令和数据可能会被恶意篡改。
假设这两个研究员的主张是成立的，那么至少有两个重要的问题需要解答。
第一，这个漏洞怎么修正？第二，这意味着什么？
从后门的源码上看，中文源码会遭到一些人的指责。但是来自 Errata
Security 的罗伯特格雷厄姆在一篇题为“虚假故事：军工芯片中没有中文后门”的
博客中说到，这是一种推卸责任的做法：
...必须要说明的是，这两个研究员确实找到了后门，但是他们只提供了推测，并没有提供
后门源码的证据。
Page 3
格雷厄姆同时指出，“军工芯片”这个术语比较狭隘，因为这些芯片业被广泛
的用在其他的方面，他们中很多都与军工无关。
这个后门可能是某个国家特意插入到芯片上的，也可能是由于疏忽产生，不
是恶意的。可能某个设计者为了测试而植入后门，但他并没有意识到这个后门以
后会被发现，公开甚至出版。
撇开后门源码不管，单就后门的存在就足够引起我们对硬件安全的重视了。
网络安全是人们最关心的问题。然而大多数网络漏洞都涉及到软件，软件就是芯
片或系统里面描述一个任务如何被执行的指令集。软件可以替换，更新，修改，
从网上下载。相比之下，硬件漏洞是建立在芯片的电路中的。因此，如果不替换
掉芯片，这种漏洞是很难定位的。
这种硬件安全漏洞被标识肯定不会是最后一次。随着芯片越来越复杂，硬件
的安全漏洞——不管是恶意的还是无意识的——会成为网络安全的一部分。我们
要首先采取措施来最小化这种风险。 |
发表于 2017-5-15 19:37
QQ好友和群
QQ空间
腾讯微博
腾讯朋友
收藏
