嵌入式存储安全：现代数据保护基石

存储级安全虽存在多年，但远程办公爆发和5G推出放大其重要性。如今保护数据比以往更关键——也更复杂。

为存储芯片添加强健安全不可避免增加设计复杂度。但这些功能收益仅在正确配置并与系统其余部分（含操作系统、应用软件）集成时才显现。

数十年来，安全编织进计算环境的存储和网络组件。电可擦可编程只读存储器（EEPROM）驱动信用卡、SIM卡、无钥匙进入；SD卡中“S”代表“secure”，SSD长期支持基于硬件加密。

尽管进步，人为错误仍是普遍威胁。安全专家仍面对用户打开恶意附件或路由器配置错误。即使最复杂存储级防护若系统管理不善也会失效。

随着更多系统融合——特别是边缘计算、IoT、联网汽车兴起——存储安全必须进化以跟上扩大攻击面。

Infineon Semper Secure NOR闪存展示硬件如何作为信任根同时执行诊断和数据纠错以实现功能安全。（来源：Infineon）

Rambus等公司提供产品保护每个连接以响应云和边缘环境带宽需求。Infineon扩展Cypress Semiconductor Semper NOR闪存以预见无处不在连接必然性，保护任何平台（自动驾驶汽车到工业、医疗、IoT设备）闪存内容防篡改。

分析师Thomas Coughlin指出加密密钥管理至关重要。将安全嵌入非易失性存储日益重要，因数据掉电后仍持久存在。

Coughlin称真正挑战是确保用户易用这些安全功能。大多数系统最弱环节仍是人为操作员。

现代智能手机现作认证代理，用生物识别替代传统密码。虽减少密码依赖，也引入非加密数据意外暴露风险。Coughlin强调除加密外易用性至关重要。

Virtium市场副总裁Scott Phillips认为单纯加密不足。多层、集中管理方法必要，特别是部署Trusted Computing Group Opal规范用于预启动认证时。“即使规模可观公司常不启用全面复杂安全，”Phillips说。

随5G部署加速，努力保护边缘到数据中心数据路径，但基于硬件安全仍面临实施障碍。

集成要求

工业领域要求整合分散系统，超大规模商如AWS和Azure倡导数据安全。尽管如此，这些防御必须触达终端用户。

尽管标准阵列扩展，兼容性问题持存。厂商竞相定位安全产品服务领导者，但黑客不断利用任何剩余漏洞。“需要集中、细致IT职能关闭所有缝隙，”Phillips补充。

将安全直接嵌入存储设备而非事后附加，类似DevSecOps理念——将安全隐私贯穿开发生命周期。

机密计算是新兴框架，通过在基于硬件的可信执行环境（TEE）隔离计算保护使用中数据。数据在内存加密并在处理时保持受保护。

Intel SGX演示如何在处理器内创建TEE，确保加载其中代码和数据受保护保密性和完整性。

软硬件厂商含Google、Intel推进机密计算。Google近期宣布容器级能力，Intel软件防护扩展（SGX）为云提供商如Microsoft Azure提供TEE。

机密计算要求共担责任。Intel产品保障与安全架构高级首席工程师Simon Johnson提醒人类仍是最弱环节。

Intel SGX提供基于硬件内存加密，将应用代码数据隔离于私有“飞地”。这种粒度帮助防御冷启动攻击，保护免受受损操作系统、驱动、BIOS、虚拟机管理器攻击。

通过让加密密钥更贴近工作负载，机密计算可降低延迟、实现用户不拥有数据集分析。纯软件防护不足；硬件保障必不可少。

Virtium Phillips指出一键存储加密是终极目标，但全面安全将要求在该基础上构建额外层。

机密计算不只是内存加密；关乎确保异构环境中全数据隔离、访问控制、可验证性。

>>> 本文原发于姊妹站EE Times。