硬件安全设计的防护，将是不能再回避的问题。目前担任联发科技技术经理，同时也是HITCON△CTF领队的李伦铨，在昨日（8月23日）于台北举办的CloudSec资安大会上，倡言硬件安全的重要性，同时也提醒这是国内必须重视的问题。
虽然台湾身为硬件制造大国，IC设计能量也不弱，谈到国际最近几年的攻击趋势，李伦铨表示，已经一路从从软件安全一直打到硬件，近年Intel处理器的Meltdown、Spectre漏洞，更是让大家都更注意到硬件晶片的安全。
在本场议程中，不仅谈到不少端点到云端的资安事件，包括云端出包、HTTP没加密、勒索病毒、手机被解码到硬件设计不良，希望大家要能够多思考安全的问题。
对于硬件安全的问题，李伦铨强调，其实硬件安全问题往往超乎预期。他并指出，资安用讲的可以无限上纲，但实际不可能不考虑成本，不论是生产制造、制程设备，并不像从软件端Compile-patch就可以完成。甚至也有物理上一些特性，是常人不会想到的。
他以近期发生的资安事件来说明，最近揭露的OpenSSL存在旁路攻击漏洞，就是一例，只要在旁边用电磁波听物理讯号，就可以获得OpenSSL加密的金钥。另外还有像是造成轰动的Intel△CPU漏洞，以及Nvdia晶片遭爆漏洞，祸及任天堂Switch。而他也抛出一个问题：Switch信任Nvidia△Tegra错了吗？
关于硬件安全防护，过去我们最熟悉的就是商用电脑上的TPM安全晶片。为了让大家更认识硬件安全，李伦铨也介绍了硬件安全的重要应用。
例如，他以HITCON△Community△2018大会今年推出设计的冷钱包为例，说明他们用上了常见于信用卡/SIM等晶片上的安全元件SE（Secure△Element），以保护金钥。
李伦铨表示，虽然冷钱包可以通过软件实做，但是容易造成Master△Key被偷，像是手机被JB时，金钥与演算法就被偷出来。
对于以硬件方式实做冷钱包，他提到两种类型，一种是用核心微控制器（MCU），例如Trezor，另一种则是MCU搭配SE，例如Ledger△Wattet。
李伦铨解释，通常绝大多数的MCU都难以抵抗旁路攻击，而SE则是防物理攻击的电子元件，也就是要防止旁路攻击，例如可以打乱电波，避免遭到分析。
在整场演说当中，他更是进一步引导出信任的问题，从最上层的云端服务、通讯协议的凭证与加密协议，以确保点对点一致性，传输加密且不可否认；到作业系统与韧体端的 image验证、Secreboot程序等机制，确保从开机启动到进入作业系统的一致性；以及到硬件端，利用安全晶片的机制，确保从每一个硬件模组的一致性。
他同时也指出信任是一件很难的事，也因此有人定义了Trustzone的概念，并提出要用安全模组把这些加密资料。李伦铨表示，常见的方法有两种，一是外接硬件模组，二是直接在晶片里面加上硬件安全模组。基本上，通过硬件晶片的机制，以保障软件层的作法，我们已经看到很多这样的技术，李伦铨也表示，像是TPM、SE、ARM△Trustzone、Intel△SGX、Apple△Enclave与IBM△SecureBlue，其实也都是此类目的。
另外，我们也联想到，去年也发生了英飞凌TPM晶片爆出漏洞的问题，李伦铨也有提到此事，并指出厂商英飞凌晶片的质数产生器速度，在应用上比教科书教的还要快，这样的结果，他认为，省下的时间往往之后都还是要还的，这也带给现场与会者有更多省思。
对于安全，他也再次强调，现在绝大多数的做法是像一层包一层的保险箱，把责任一直往下推，最后那一把锁就是硬件安全，硬件的安全问题往往超乎预期因为，能接触到的东西，物理上可能有一些特性常人没有想到。最后这一把锁晶片安全如果没有顾好，就可能往上破到软件层。而这个锁的强度，则取决于两大关键，那就是硬件厂商的重视，以及硬件安全人才的质量
虽然我们是硬件大国，但李伦铨指出，我们投入在安全的能量与研究都还不够，为什么呢？因为他已经看到国外的许多发展，是我们不及之处，他举例，国外的安全研讨会，已经有很多比赛是在破解汽车，还有他们现场发的Badge都有题目，虽然都是小提物小比赛，但他指出，这实际上就是一种能量，如果我们没有看到这个现象，未来我们打不过别人，因为看到问题的点也比人家少。
李伦铨表示，像是他们之前已经开始关注，像是在去年的HITCON△Community推出的电路板 Badge，可以玩贪食蛇，那时的规则是要到50几关才能拿到金钥。结果当时只有两个人解出来，他说其实问题很简单，就是把韧体抽出来做，因为当时韧体并没有验证机制。而为了推广硬件保护的技术，他们今年也结合虚拟货币的议题，希望让更多人知道有这样的应用。
iThome△Security
I 相关 / Other
NVIDIA 公布 RTX 2080 可达 GTX 1080 两倍性能 DLSS 技术成关键 | 香港 UNWIRE.HK 玩生活．乐科技
NVIDIA 最新发布的 RTX 20 系列显示卡，结合即时光迹追踪及人工智能技术，带来绘图性能的一大进步。在 Gamescom 的发布会上， Nvidia 向在场观众表示，通过整合 DLSS （Deep Learning Super-Sampling 深度学习超级采
ZDI在台揭露全球资安漏洞新趋势，并期盼大家更重视漏洞悬赏计划
面对层出不穷的系统产品漏洞问题，漏洞通报平台成为解决零时差漏洞的一种手段。在趋势科技今日（8月23日）举办的CloudSec大会，上午大会主题议程中，零时差计划（Zero△Day△Initiative，ZDI）资安计划经理Shannon△
研究指四间 Android 手机厂商韧体存在安全漏洞 | 香港 UNWIRE.HK 玩生活．乐科技
手机系统随着安装的应用程序变多，安全漏洞也可能会增加，不过如果是系统本身存在漏洞，则是更严重的问题。最近一个研究机构表示，有几个 Android 手机厂商的韧体存在漏洞，有机会被骇客利用攻击。保安研究机构 Kryp
机舱 Wi-Fi 成旅客挑选航空公司关键因素 | 香港 UNWIRE.HK 玩生活．乐科技
日前卫星通讯服务供应商 Inmarsat 发表了一份，涵盖欧洲、亚洲、中东、拉丁美洲和北美洲等 32 个市场，共 9,300 名旅客的调查报告。报告指 Wi-Fi 在日常日活是必需品，乘客希望在飞机上也能够延续这生活方式，能否使
Apple 大规模预订 Face ID 关键组件 预视新 iPhone、iPad 或广泛采用 | 香港 UNWIRE.HK 玩生活．乐科技
苹果公司的主要供应商之一 Lumentum Holdings 日前公布业绩，资料显示该公司在 AR 扩增实境 (Augmented reality) 和 3D 感应两方面的业务都录得增长。Lumentum Holdings 为 Apple 供应垂直腔面发射激光器元件 (VCSEL