广告

IC制造生命周期关键阶段之安全性入门

2022-07-11 16:04:52 Silicon Labs 阅读:
本文包括两部分,我们主要探讨芯片供应商和OEM之间的相互关系,以及他们为何必须携手合作以完成各个制造阶段的漏洞保护。第一部分指出了IC制造生命周期每个阶段中存在的威胁,并说明了如何解决这些威胁。第二部分着重说明了OEM所特有的安全风险,并指出了最终产品制造商和芯片供应商如何承担各自的责任。

供应链安全是时下人们讨论的热门话题。由于芯片供应商(如Silicon Labs)所提供的IoT元器件最易受信息提取和信息处理的影响,因此他们对此更加关注。了解芯片供应商供应链中存在的风险以及这些风险如何影响其最终产品关系到原始设备制造商(OEM)的利益。因此,尽管产品开发的双方都受到安全威胁,但OEM生命周期阶段特有的风险也是一个问题。awnednc

本文包括两部分,我们主要探讨芯片供应商和OEM之间的相互关系,以及他们为何必须携手合作以完成各个制造阶段的漏洞保护。第一部分指出了IC制造生命周期每个阶段中存在的威胁,并说明了如何解决这些威胁。第二部分着重说明了OEM所特有的安全风险,并指出了最终产品制造商和芯片供应商如何承担各自的责任。这些内容将围绕以下问题进行阐释,即OEM和芯片供应商对各自生产阶段的风险各负其责,以此来阻止大多数安全攻击。awnednc

IC生命周期各阶段存在的安全威胁

无论是由于晶圆代工厂的刻意行为还是恶意人士的入侵,IC生命周期的每个阶段都存在多种威胁,而这些威胁可能使最终产品面临风险。awnednc

制造生命周期包含以下阶段,如图1所示。awnednc

  1. 制造
  2. 探针测试
  3. 封装组装
  4. 封装测试
  5. 电路板组装(OEM拥有和控制)
  6. 电路板测试(OEM拥有和控制)

awnednc

图1-上述概要展示了IC生命周期开发的六个关键阶段awnednc

图片来源:Silicon Labsawnednc

IC开发始于制造阶段,在此阶段器件在晶圆代工厂开始实质性的制造。此时,IC的ROM已编程,但所有其他存储器(OTP、闪存和RAM)均未编程。下一步是探针测试,IC在从硅晶圆上切下之前先进行功能测试。在该阶段,并未安装永久配置,且制造过程中插入的任何数据都会被删除,因为测试过程会涉及到数据删除。awnednc

在封装组装阶段,将单个晶粒放入封装中。该阶段完全是属于机械操作,不进行编程或测试。一旦进入封装,IC就会进行封装测试,芯片供应商通常称其为“最终测试”,因为这是芯片供应商进行的最后测试。awnednc

该测试有多个目的——查找组装过程中的缺陷、检查器件是否存在参数问题(例如功耗过大或存在偏差)。此外,该测试会对带有芯片供应商数据的器件进行初始化。然后将这些器件出售给OEM,OEM负责电路板组装,并将这些器件安装到系统中。接下来,在电路板测试中,IC完成最终测试、配置和编程。awnednc

通过对IC生命周期各个阶段的基本了解,我们现在可以深入了解各个阶段中存在的威胁。在讨论这些阶段时,我们将使用Silicon Labs的制造生命周期作为IC开发模型。其他芯片供应商也基本相似,因此本篇综述对于大多数供应商都应适用。awnednc

制造

针对此阶段的攻击几乎不可能发生,因为针对该阶段进行攻击需要高昂的花费,并且需要生成至少一个新的掩模组、对器件的深入分析以及高度的专业知识。此外,针对该阶段的任何攻击都不能轻易攻击到特定的最终产品,因为晶圆代工厂生产多个晶圆,每个晶圆上都有数千个器件,攻击者无从知晓哪些器件最终会用于哪一个最终产品。此外,在此开发阶段对设计进行任何修改都会影响该器件的每个副本,从而更容易检测到这些修改。但是,此阶段的漏洞确实会带来安全风险,对此将在以下小节进行说明。awnednc

数据提取

对晶圆代工厂而言,可能的攻击途径之一是访问机密信息,而这将使最终产品面临风险。例如,如果IC在ROM(或被硬编码到寄存器等其他硬件中)中具有对称密钥或专用密钥,晶圆代工厂则可以轻松提取密钥信息。同样重要的是,可以从设计中轻松提取的任何数据也可以通过逆向工程技术从器件副本中获得,这一点要牢记。例如,一些实验室对ROM数据进行反处理和提取,所花费用还不到1万美元,这可能比从晶圆代工厂获取设计图的费用更低廉。为避免此问题,精心设计的产品绝不应包含机密信息。awnednc

逻辑更改

更现实的威胁可能是晶圆代工厂去修改器件、植入漏洞并加以利用。这种修改可能包括修改ROM内容或逻辑以改变器件运行或引入其它功能。尽管此类修改不容易进行,且花费高昂,但攻击者完全有能力进行这些基本操作,而这些会使晶圆代工厂处于风险之中。awnednc

针对这种攻击的好对策是进行抽样测试,以随机验证成品器件的功能。例如,Silicon Labs每年都随机抽取一些样本进行测试以验证ROM内容、验证逻辑以及测试其他功能。如果晶圆代工厂进行了更改,测试将失败。虽然可能会引入此测试无法捕捉到的逻辑更改,但此类更改的效果会大打折扣,甚至会丝毫不起作用。在可信站点(例如公司总部)进行样本测试,可以极大地降低晶圆代工厂对硬件进行更改并成功破坏这种检测测试的风险。awnednc

在篡改检测方面,将来会得到改进,例如基于机器学习的图像分析,这会进一步防止对晶粒进行未经授权的修改,但当下还不能使用这些方法。awnednc

器件复制

在这种类型的攻击中,晶圆代工厂可以过量生产器件,并将其合法出售。例如,攻击者避开旨在拦截此类做法的测试,利用修改过的ROM过量生产部件,并将其合法出售给OEM。这种方法可以让攻击者直接面向OEM,因为这些器件不再流经供应商的供应链。awnednc

防止过量生产的最佳方法是在封装测试时提供加密凭证。这样OEM就可以检查这些凭证,以确保接收到了供应商的正品器件。尽管晶圆代工厂可以生产出物理上完全相同的器件,但无法生成有效的器件凭证,而且OEM会检测到假冒产品。awnednc

解决这一问题需要有标准的解锁器件安全地保存密钥。Silicon Labs的Vault-High EFR产品就具有这种功能。OEM使用安全级别较低的器件(例如Vault-Mid器件而非Vault-High器件),尽管保护级别较低,但也可以达到相似的效果,方法是使用像Silicon Labs的定制化元件制造服务(CPMS)这样的定制编程服务。在这种情况下,对器件内容的访问在发货之前就被锁定,因此密钥可以秘密存储在非易失性存储器(NVM)中。awnednc

器件分析

器件分析是晶圆代工厂加工中最现实的威胁。在不安全的解锁状态下制造器件,为访问逻辑和系统提供了可乘之机,而这种访问在成品器件中则无法进行。虽然访问空白的开放部件不会直接造成安全威胁,但攻击者可以利用这个机会分析器件并在配置和锁定的部件上寻找可利用的漏洞。awnednc

这种威胁不仅存在于制造过程中,更有可能出现在组装阶段,下面将对此进行更详细的讨论。awnednc

探针测试

利用探针测试阶段的漏洞,其费用要低于在晶圆代工厂进行修改的费用,这是因为在探针测试阶段,仅需破坏测试程序或测试仪即可。然而,与针对制造阶段的攻击一样,针对探针测试的攻击具有系统性,不能简单地指向某个具体的最终产品或OEM。awnednc

恶意代码注入

攻击者可能会在探针测试期间尝试将恶意代码注入器件。但是,在此阶段注入的所有内容要么在封装测试时被擦除,要么在供应商无法对正确的内容编程时造成封装测试失败。此外,一旦在封装测试中启用安全启动,就会阻止安装一切未经授权的代码。对于实施良好的产品和制造生命周期而言,这不会造成实际的威胁。awnednc

器件分析

理论上,在探针测试中控制测试仪的攻击者可以执行器件分析,该分析类似于对晶圆代工厂过量生产所造成的后果的分析。但是,攻击者更有可能在组装阶段尝试获得此访问权限。awnednc

封装组装

在封装组装阶段,供应商将器件置入最终产品之中,因此封装组装阶段是攻击者最有可能窃取空白、开放的器件以伺机进行复制和分析。awnednc

awnednc

图2 - 芯片制造商必须确保降低与开放样品相关的风险。图片来源:Silicon Labsawnednc

窃取行为

窃取空白器件的目的是获取开放样本,并以对攻击者有利的方式对其进行配置,然后将这些器件披着合法的外衣交付给目标OEM。这种策略面向具体的OEM或产品,并避开了供应商的最终测试,否则修改会被覆盖掉或检测到。awnednc

制造阶段不涉及输入量,而组装现场与此不同,组装现场接收并生产已知数量的IC,因此通过比较这些数字应该很容易检测到比较明显的窃取行为。awnednc

与制造阶段一样,可以通过在封装测试中对加密凭证进行编程,以防止被窃取的开放器件被误认为是正品。例如,出于此目的将所有EFR Vault-High产品都配备了加密凭证,并且提供了CPMS以便在没有Vault-High功能集的器件上配置凭证。awnednc

器件分析

攻击者在安全引擎(SE)被编程和锁定之前窃取器件,并利用该访问权限获取邮箱工作机制和SE硬件功能,这可能是此阶段器件分析最明显的示例。从理论上讲,这种访问可以让攻击者找出一个弱点,并将其转化为针对锁定SE的漏洞加以利用。awnednc

器件分析只需从组装现场获取少量器件。尽管限制访问开放样本是理想的防御措施,但也应该考虑到攻击者在某个时候获得对开放样本的访问权限时的应对策略。IC的设计不应造成难以应付的风险或者是破坏系统的安全性。awnednc

Silicon Labs采取了一些措施来降低与开放样品相关的风险,包括审核组装承包商的流程和程序、跟踪用于内部开发的开放器件、以及在无需开放样品时将其予以销毁。此外,产品的设计旨在保证安全,即使是针对使用开放样本及能够完全访问设计的攻击者。最后,内部和第三方渗透测试均由掌握开放样本、全面设计知识和高度专业知识的个人执行。awnednc

硬件改造

如今,通过更改或附加元器件修改封装所带来的风险非常小。这种攻击途径并不具备较高风险,原因如下。首先,组装距离终端系统足够远,因此很难锁定特定的终端设备(如门锁)。此外,由于空间限制,很难在IC上隐藏其它元器件。最后,抽样测试可以通过对一些单元进行X射线检测以识别出人们预料之外的元器件,从而检测出大规模攻击。awnednc

封装测试

有许多方法可以让封装测试阶段的漏洞难以被利用,比如限制对测试站点的访问权限和维护日志记录控制等。首先,应遵守网络和PC的正常安全操作。例如,测试系统不应直接连接到互联网,也不应使用可通信的登录信息。供应商应定期检查这些流程和系统,以确保其未被更改、利用。这些简单的操作会让攻击者难以访问测试系统。awnednc

awnednc

图3 - 在封装测试站点,拥有不受其他供应商影响的可信机器至关重要。图片来源:Silicon Labsawnednc

Silicon Labs采用多种技术以提高测试站点的安全性。例如,Silicon Labs启用了不与其他供应商共享的安全强化测试仪。此外,Silicon Labs为测试站点提供受信任的机器,该机器不受测试站点的影响,且可监控测试仪并为其提供支持。该机器位于服务器机房中,没有本地接口,并且包含能够抵御物理攻击的硬件。awnednc

恶意代码注入

该阶段最明显的攻击方法是注入恶意代码来控制器件的运行。芯片供应商在该阶段提供的代码,例如SE固件,不会被电路板测试覆盖;但是,如果代码被更改,交付的器件可能已受损。awnednc

这种风险可以通过在ROM中使用带有公共密匙的安全启动来避免,从而确保只有正确签名的代码才能运行。如果攻击者试图修改程序代码,代码将无法正确签名,并且器件会停止运行。因为用于签名的密钥存储在硬件安全模块(HSM)中受到严格管控,并且在生产环境中不可用,因此攻击者生成正确的签名并篡改代码映像几乎是不可能发生的。awnednc

出于测试需要,固件编程后需启用安全启动。尽管这一流程很复杂,但攻击者却可能会在该流程中破坏封装测试,从而对恶意代码映像进行编程并禁用安全启动。awnednc

为了彻底消除这种风险,IC应能使OEM在不受编程代码影响的情况下验证器件状态。例如,Silicon Labs器件配有硬件寄存器,用于指示SE子系统是否被锁定,且支持OEM应用程序或测试程序验证器件配置是否正确。通过适当验证,OEM可以检测到任何封装测试更改或恶意代码,并丢弃这些被更改的器件。awnednc

提取机密信息

如果在封装测试期间对机密信息进行了编程,攻击者可能会破坏测试系统以寻找访问权限。对于标准的嵌入式产品来说,唯一的机密信息是与凭证相关联的密钥。对于在电路板上生成密钥的器件而言,密钥将无法提取;但是,如果测试系统注入了密钥,那么攻击者就能获得所需的访问权限,以在编程时查看密钥信息。awnednc

带有机密信息和OEM专用信息的定制器件特别容易受到此类攻击的威胁。但是,如果芯片供应商遵循本系列文章中的建议,就可确保达到或超过大多数电路板测试设施的安全级别。始终建议OEM与芯片供应商合作,以确定器件编程的最佳解决方案。awnednc

供应链安全要有分层方法

安全性是系统层面的问题,供应商和OEM在开发互联产品时要相互信赖、共同努力。随着在物联网(IoT)构建方面取得的进展,对于OEM来说,芯片供应商如何成功地解决制造生命周期中的安全问题至关重要。在决定与哪家供应商合作时,OEM应考虑供应商所提供的信息是否透彻全面,还需考虑IC的成本和性能。awnednc

现在您可以与供应商相互探讨制造安全问题,确保您的最终产品安全可靠。awnednc

作者:Joshua Norem,Silicon Labs的高级系统工程师。awnednc

原文发表于EDN美国版,参考链接:A primer on security of key stages in IC manufacturing lifecycleawnednc

责编:Franklin
  • 微信扫一扫
    一键转发
  • 最前沿的电子设计资讯
    请关注“电子技术设计微信公众号”
  • 复旦大学研究人员发明晶圆级硅基二维互补叠层晶体管 复旦大学研究团队将新型二维原子晶体引入传统的硅基芯片制造流程,实现了晶圆级异质CFET技术。相比于硅材料,二维原子晶体的单原子层厚度使其在小尺寸器件中具有优越的短沟道控制能力。
  • 英特尔展示下一代半导体器件技术,计划2030年实现万亿级 日前,英特尔在IEDM上展示多项与半导体制造技术相关的研究成果:3D封装技术的新进展,可将密度再提升10倍;超越RibbonFET,用于2D晶体管微缩的新材料,包括仅三个原子厚的超薄材料;能效和存储的新可能,以实现更高性能的计算;量子计算的新进展。此外,英特尔表示,目标是在2030年实现在单个封装中集成一万亿个晶体管。
  • 上海特斯拉前员工:Model Y生产中降低某项重要工艺规格, 据EDN电子技术设计了解,12月8日上午,账号为Laniakea_1188的微博用户公开举报特斯拉,称上海特斯拉在Model Y车型生产过程中,降低某项重要工艺规格问题线索,并指出如果该项变化的风险评估、白车身验证、整车验证不充分,将不能排除影响承载式车身强度乃至整车安全性的可能。
  • 在美国企业抵制之下,美国将放宽联邦机构及承包商使用中 这议案被视为美国《国防授权法案》(NDAA)的一项修正案,遭到美国商会和其他贸易组织的抵制。这些组织在上个月的一封信中称,企业要确定大量电子产品中的芯片是否是中国企业制造的,成本将很高,难度也很大。
  • 台积电1nm制程工艺已实现技术突破,正谋划建1nm工艺工厂 近日有报道称台积电正积极推进1nm制程工艺,并们已在谋划1nm制程工艺工厂的建设事宜,以便按计划量产。早前EDN美国版曾报道台积电1nm制程工艺已实现技术突破,且逐渐成形。
  • 英特尔晶圆代工业务“阵前换将“,影响几何? 在英特尔积极推动的IDM 2.0计划中,最关键的在于重启该公司的代工业务,而今带领该公司晶圆代工业务的关键舵手Thakur即将离去,这将会对英特尔转型计划带来什么挑战?
  • 并购还是有机增长?在市场恐惧时中国芯企业/产业资本该 本文将讨论近期巴菲特在目前的金融市场环境中入手台积电,给企业资本和产业资本为整合资源和各地方政府建设半导体产业生态带来的启发。
  • FinFET交棒GAA?关于GAA制程技术必须知道的事 现在正是FinFET交棒给GAA,以协助半导体产业提升芯片微缩至下一阶段的时候了。这一转型道路上可能不会一帆风顺,因为要打造GAA设计比起FinFET或平面晶体管更复杂得多了...
  • 探访安森美高性能图像传感器新“芯”品 深圳2022高交会期间举办的深圳机器视觉展上,笔者前往展馆实地探访了安森美的一系列高性能新产品。这次安森美带来了XGS系列CMOS图像传感器,特别是基于旗舰产品XGS 45000(4470万像素8192x5460)、XGS 5000(530万像素 2592 x 2048)、XGS12000(1200万像素4096x3072)、XGS 16000(1600万像素4000x4000)等的参考设计。
  • 华为公开EUV光刻新专利,解决相干光无法匀光问题 华为日前公布了一项新专利,展示了一种《反射镜、光刻装置及其控制方法》, 专利申请号为CN202110524685.X,据介绍,这种方法便能够解决相干光因形成固定的干涉图样而无法匀光的问题,在极紫外光的光刻装置基础上进行了优化,进而达到匀光的目的。值得注意的是,光刻机作为半导体制造过程中最核心的设备,同时也是研发难度最高的设备……
  • 英诺赛科:从IDM模式出发,拓展氮化镓应用边界 EDNC小编有幸对氮化镓领域的龙头企业之一英诺赛科进行了采访,让我们一起了解一下作为行业先锋的他们对这一市场有着怎样的思考和布局。
  • NIST 技术同时定位微芯片电路上的多个缺陷 有缺陷的计算机芯片是半导体行业的祸根。即使是包含数十亿个电气连接的芯片中看似微小的缺陷也可能导致计算机或其他敏感电子设备的关键操作失败。通过修改现有的缺陷识别技术,美国国家标准与技术研究院 (NIST) 的研究人员开发了一种方法,可以同时定位同一芯片上多个微电路中的单个电气缺陷。
广告
热门推荐
广告
广告
EE直播间
在线研讨会
广告
广告
面包芯语
广告
向右滑动:上一篇 向左滑动:下一篇 我知道了