Значение обновлений прошивки по воздуху (фота) в встроенной безопасности

В быстро развивающемся мире встроенных систем прошивка служит фундаментальным программным слоем, который контролирует поведение аппаратного обеспечения, управляет протоколами связи и обеспечивает функциональность устройства. От термостатов умного дома и носимых мониторов здоровья до промышленных контроллеров и автомобильных электронных блоков управления (ECU) прошивка непосредственно определяет, как работает устройство, реагирует на входы и взаимодействует с сетями. Поскольку эти устройства становятся более взаимосвязанными и неотъемлемыми для критической инфраструктуры, необходимость поддерживать прошивку в актуальном состоянии. Обновления прошивки по воздуху (FOTA) устраняют эту потребность, позволяя производителям удаленно развертывать исправления прошивки, улучшения функций и исправления безопасности по беспроводным сетям, устраняя требование к физическому доступу. Эта возможность не только снижает эксплуатационные расходы и время простоя, но и обеспечивает механизм быстрого реагирования на возникающие кибер-угрозы. FOTA превратилась из функции удобства в основополагающее требование для безопасных, устойчивых и долгоживущих встроенных систем в различных отраслях промышленности.

Что такое обновления FOTA?

Firmware Over-the-Air (FOTA) относится к способу доставки обновлений прошивки на встроенные устройства через беспроводные каналы связи, такие как Wi-Fi, сотовые сети (4G/5G), Bluetooth Low Energy (BLE), LoRaWAN или спутниковые линии связи. В отличие от обновлений Over-the-Air (OTA), которые охватывают более широкие программные компоненты, включая приложения и патчи операционной системы, FOTA специально нацелена на прошивку низкого уровня, которая инициализирует аппаратное обеспечение, управляет процессами загрузки и предоставляет основные системные услуги. Процесс обновления обычно включает удаленный сервер, который упаковывает новое изображение прошивки, безопасный протокол передачи для доставки изображения на устройство и агент обновления на устройстве, которое проверяет, устанавливает и активирует новое прошивку. Обновления FOTA могут быть классифицированы в полные обновления изображений, где заменяется вся прошивка, и постепенные или дельта-обновления, где только измененные части прошивки передаются для сохранения полосы пропускания и сокращения времени обновления. Принятие FOTA быстро росло с расширением Интернета вещей (IoT), где миллионы географически распределенн

Критическая роль FOTA в встроенной безопасности

Встроенные устройства работают во все более враждебных средах, где злоумышленники постоянно проверяют уязвимости. Многие из этих устройств имеют ограниченную вычислительную мощность, память и энергетический бюджет, что ограничивает сложность мер безопасности, которые могут быть реализованы во время проектирования. Обновления FOTA напрямую устраняют эту асимметрию, позволяя производителям реагировать на обнаруженные уязвимости с помощью патчей, которые могут быть развернуты по всему миру в течение нескольких часов или дней, а не недель или месяцев. Ниже мы рассмотрим ключевые функции безопасности, которые выполняет FOTA.

Быстрое устранение уязвимостей

Когда в прошивке устройства обнаруживается недостаток безопасности — будь то переполнение буфера в сетевом стеке, слабая криптографическая реализация или бэкдор в сторонней библиотеке — производитель должен произвести исправление и распространить его на каждое затронутое устройство. Без FOTA этот процесс обычно включает в себя кампании отзыва, посещения полевых техников или требование к конечным пользователям вручную загружать и устанавливать обновления через USB или SD-карту. Эти подходы медленны, дороги и часто не достигают высоких показателей принятия, оставляя устройства уязвимыми в течение длительных периодов. FOTA резко сокращает окно воздействия, позволяя прямую, удаленную доставку исправленного прошивки. Например, в 2020 году критическая уязвимость в стеке Texas Instruments BLE (CVE-2020-13528) затронула миллионы устройств IoT; производители с возможностями FOTA смогли нажимать патчи в течение нескольких дней, в то время как производители без FOTA были вынуждены полагаться на физические обновления, оставляя устройства открытыми в течение нескольких месяцев. Узнайте больше об этой уязвимости в отчете Texas Instruments BLE уязвимость .

Обеспечение соответствия стандартам безопасности

Нормативно-правовые рамки и отраслевые стандарты все чаще предписывают, чтобы встроенные устройства поддерживали механизмы безопасного обновления. Закон о кибербезопасности Европейского союза, Закон о безопасности продуктов и телекоммуникационной инфраструктуре (PSTI) Великобритании и Исполнительный указ США о кибербезопасности подчеркивают необходимость обновления устройств на протяжении всего их жизненного цикла. Аналогичным образом, такие стандарты, как IEC 62443 для промышленных систем управления, UL 2900 для безопасности IoT и ISO/SAE 21434 для автомобильной кибербезопасности явно требуют от производителей предоставления безопасных возможностей обновления прошивки. FOTA служит основным средством для выполнения этих обязательств по соблюдению. Без него устройства не могут быть исправлены после развертывания, эффективно нарушая требования жизненного цикла безопасности, которые теперь соблюдают регуляторы. Для более глубокого понимания того, как Закон PSTI влияет на производителей устройств, ссылайтесь на руководящие принципы Закона Великобритании о PSTI .

Встроенные устройства часто обрабатывают конфиденциальные данные: медицинские записи на мониторах здоровья, платежную информацию о терминалах точки продажи, учетные данные аутентификации в системах контроля доступа и проприетарные данные на промышленных контроллерах. Когда уязвимости прошивки остаются незапатентованными, злоумышленники могут использовать их для извлечения или изменения этих данных, что приводит к краже личных данных, финансовому мошенничеству или промышленному шпионажу. Обновления FOTA позволяют производителям развертывать криптографические улучшения, исправлять недостатки обработки данных и обновлять протоколы управления ключами, не требуя замены устройства. Например, интеллектуальный счетчик, который хранит данные о потреблении и связывается с сетью коммунальных услуг, может получать обновление прошивки, которое укрепляет алгоритм шифрования, используемый для передачи данных, гарантируя, что конфиденциальность клиентов защищена даже по мере развития криптографических стандартов. Отличная ссылка на обеспечение обновления прошивки для устройств IoT - это руководство NIST SP 800-213 по обновлениям прошивки IoT .

Поддержание целостности устройства и предотвращение защемления

Злоумышленники могут попытаться заменить легитимные прошивки вредоносными версиями, чтобы получить контроль над устройствами, превратить их в ботов для распределенных атак типа «отказ в обслуживании» или изменить их поведение в мошеннических целях. Системы FOTA, которые включают в себя безопасную загрузку, подписание кода и криптографическую проверку, гарантируют, что может быть установлено только подлинное прошивка от производителя. При обнаружении уязвимости, позволяющей эскалацию привилегий или несанкционированное выполнение кода, обновление FOTA может включать в себя патчи, которые закрывают эти дыры и восстанавливают целостность устройства. Кроме того, FOTA может использоваться для отзыва скомпрометированных криптографических ключей и их поворота, эффективно отменяя любую подделанную прошивку, которая была подписана этими ключами. Эта цепочка доверия, от сервера обновления до загрузчика, формирует основу целостности устройства в поле.

Процесс обновления FOTA: от разработки к развертыванию

Понимание сквозного жизненного цикла FOTA помогает производителям проектировать системы, которые являются безопасными и надежными. Процесс состоит из нескольких этапов, каждый со своими соображениями безопасности и эксплуатации.

Создание безопасного образа прошивки

Обновление начинается на стороне производства, где компилируется, тестируется и криптографически подписывается новое изображение прошивки. Процесс сборки должен гарантировать, что прошивка включает в себя правильные зависимости, настройки конфигурации и исправления безопасности. Тестирование должно охватывать функциональную проверку, регрессионное тестирование и проверку безопасности, чтобы минимизировать риск введения новых уязвимостей. После создания изображение подписывается приватным ключом, который устройство может проверить с помощью соответствующего открытого ключа, встроенного в его загрузчик. Подпись гарантирует, что прошивка не была изменена и что она исходит из надежного источника. Некоторые реализации также включают номер версии или монотонный счетчик для предотвращения атак отката, где злоумышленник обманывает устройство при установке более старой, уязвимой версии прошивки.

Передача и аутентификация

Подписанное изображение прошивки загружается на сервер обновления, который управляет политикой распространения, аутентификацией устройства и планированием доставки. Когда устройство проверяет обновления - либо по расписанию, срабатывающему с помощью серверного толчка, либо после получения уведомления - сервер аутентифицирует устройство с помощью учетных данных, таких как сертификаты устройства, предварительно разделенные ключи или аутентификация на основе токенов. Затем изображение прошивки передается по защищенному каналу, обычно используя TLS 1.3 или DTLS для зашифрованной передачи. Передача должна быть устойчивой к сетевым прерываниям, особенно для устройств на ненадежных соединениях, таких как сотовый IoT или LoRaWAN. Такие методы, как фрагментированная передача, повторные загрузки и коды исправления ошибок, помогают обеспечить, чтобы изображение поступало неповрежденным. Агент обновления на устройстве проверяет цифровую подпись принятого изображения перед началом установки. Этот шаг не подлежит обсуждению, поскольку он предотвращает установку подделанной или поддельной прошивки.

Установка и проверка

После аутентификации агент обновления устройства записывает новое прошивку в выделенный раздел хранения. Многие устройства реализуют схему обновления A/B, также известную как обновления с двумя банками или двумя изображениями, где поддерживаются две копии прошивки: один активный раздел и один неактивный раздел. Обновление записывается в неактивный раздел, в то время как устройство продолжает работать на активном разделе. После завершения записи и проверки устройство устанавливает флаг для загрузки из обновленного раздела на следующем перезапуске. Этот подход минимизирует время простоя и обеспечивает запасной вариант в случае сбоя обновления. Загрузочный загрузчик затем проверяет подпись и целостность вновь активного прошивки перед передачей ему управления. Если какой-либо этап проверки не удается, загрузчик может вернуться к предыдущему прошивке, гарантируя, что устройство остается работоспособным и безопасным. После успешной загрузки устройство сообщает о статусе обновления серверу, завершая жизненный цикл.

Основные задачи в реализации FOTA

Хотя FOTA предлагает значительные преимущества, внедрение ее во встроенные системы сопряжено со значительными проблемами, которые необходимо решать, чтобы избежать новых рисков.

Риски безопасности при доставке обновлений

Сами системы FOTA могут стать векторами атак, если не будут тщательно разработаны. Злоумышленники могут пытаться перехватывать передачи обновлений, заменять вредоносные прошивки, выдавать себя за серверы обновлений или эксплуатировать уязвимости в клиенте обновления. Без надлежащей аутентификации и шифрования злоумышленник может нажать измененное изображение прошивки, которое устанавливает вредоносное ПО, превращает устройство в участник ботнета или делает его неработоспособным. Даже при сильной криптографии могут быть использованы недостатки реализации, такие как слабая генерация случайных чисел, неправильная валидация сертификата или переполнение буфера в агенте обновления. Чтобы смягчить эти риски, производители должны следовать лучшим практикам безопасности по всему конвейеру FOTA, включая подписание кода, взаимную аутентификацию TLS, прикрепление сертификата и строгие проверки кода. Регулярное тестирование проникновения механизма обновления необходимо для выявления уязвимостей, прежде чем злоумышленники это сделают.

Пропускная способность и ограничения мощности

Многие встроенные устройства работают в ограниченных сетях с ограниченной пропускной способностью, высокой задержкой или прерывистой связью. Например, устройства в сельскохозяйственных датчиках с использованием LoRaWAN могут иметь максимальный размер полезной нагрузки всего 250 байт и скорость передачи данных в несколько килобит в секунду. Передача полного изображения прошивки 1 МБ или более по такой линии связи займет часы или дни и быстро истощит батарею устройства. Обновления Delta решают эту проблему, передавая только различия между текущей и новой версиями прошивки. Такие методы, как бинарное различие (например, bsdiff) или патчирование на уровне блока, могут во многих случаях уменьшить размеры обновлений на 70-95%. Однако обновления delta вводят сложность с точки зрения генерации патча, обеспечения базовой версии известно и проверки заплатки. Для устройств с экстремальными ограничениями мощности агент обновления также должен управлять потреблением энергии, потенциально приостанавливая загрузку, если уровень батареи падает ниже порога.

Обновление отказов и крик устройств

Bricking относится к состоянию, когда устройство становится полностью нефункциональным из-за неисправного обновления прошивки, обычно вызванного поврежденным изображением, аппаратным сбоем во время записи или потерей мощности в середине процесса. Без механизмов восстановления кирпичное устройство должно быть заменено или перепрошено вручную, что нарушает цель удаленных обновлений. Для предотвращения блокировки производители внедряют отказоустойчивые механизмы, такие как обновления с двумя банками A/B, таймеры сторожевых собак и загрузчики восстановления. Схема A/B, как описано ранее, позволяет устройству вернуться к предыдущей прошивке, если новая не загружается. Кроме того, режим восстановления, который принимает обновления через альтернативные каналы (например, USB или последовательный) обеспечивает путь восстановления последней инстанции. Даже с этими гарантиями агент обновления должен быть надежным против ошибок, включая износ вспышки, поврежденное хранилище и неожиданные циклы питания.

Вопросы регулирования и соблюдения

Обновления FOTA должны соответствовать растущему своду правил, регулирующих конфиденциальность данных, безопасность устройств и управление жизненным циклом программного обеспечения. Общий регламент ЕС по защите данных (GDPR) устанавливает строгие требования к обработке персональных данных, а обновления прошивки, которые обрабатывают или передают такие данные, должны быть разработаны с учетом конфиденциальности. Аналогичным образом, Регламент медицинского устройства (MDR) в Европе требует, чтобы обновления программного обеспечения для медицинских устройств подвергались оценке рисков и потенциально новым оценкам соответствия. В автомобильном секторе Регламент ООН No 156 предписывает, что транспортные средства, продаваемые в ЕС, должны поддерживать обновления по воздуху и что производители должны иметь сертифицированную систему управления обновлениями программного обеспечения. Навигация по этим правилам требует тщательного планирования, документации и иногда сертификации третьей стороной. Производители также должны учитывать долгосрочные обязательства по поддержке: регуляторы могут требовать, чтобы устройства получали обновления безопасности на определенный период, часто до 10 лет для промышленных или автомобильных систем.

Лучшие практики для безопасного FOTA

Чтобы обеспечить максимальную безопасность и надежность обновлений FOTA, производители должны применять следующие передовые методы в своих встроенных системах.

Внедрение безопасной загрузки и подписанных обновлений

Каждое изображение прошивки должно быть подписано цифровым способом с использованием сильного криптографического алгоритма, такого как ECDSA с 256-битной кривой или RSA с 2048-битными ключами. Загрузчик устройства должен проверить эту подпись перед выполнением прошивки. Это устанавливает цепочку доверия от загрузчика к приложению. Ключи подписи должны управляться в аппаратном модуле безопасности (HSM) и никогда не подвергаться воздействию среды сборки в простом тексте. Кроме того, используйте монотонный счетчик версий для предотвращения атак отката. Загрузчик должен отклонить любую прошивку с версией ниже или равной установленной в настоящее время версии, если только не разрешено подписанным производителем переопределением.

Шифровать прошивку в Transit и в Rest

Используйте TLS 1.3 или DTLS 1.3 для всей связи между сервером обновления и устройством. Сертификат сервера должен быть прикреплен или проверен против надежного хранилища сертификатов на устройстве. Для высокочувствительных устройств рассмотрите возможность шифрования самого изображения прошивки (в дополнение к транспортному шифрованию) так, чтобы даже если изображение извлечено из хранилища устройства, оно оставалось защищенным. Это особенно важно для устройств, которые могут быть реверс-инжинирингованы после удаления или кражи.

Развернуть механизмы Fallback и Recovery

Каждая реализация FOTA должна включать надежный механизм резервного копирования.] Схема двухбанковского A/B является отраслевым стандартом для устройств с достаточным объемом памяти. Для устройств с глубокими ограничениями, которые не могут позволить себе два полных банка прошивки, минимальный загрузчик восстановления, поддерживающий переустановку прошивки через вторичный интерфейс (например, UART, USB или простой воздушный протокол), обеспечивает безопасность. Агент обновления также должен реализовать таймер сторожевого пса, который запускает откат, если новая прошивка не загружается в течение настраиваемого тайм-аута. Эти механизмы гарантируют, что неудавшееся обновление не оставляет устройство навсегда отключенным.

Используйте обновления Delta для оптимизации пропускной способности

Обновления Delta значительно уменьшают размер передаваемых данных, что сохраняет пропускную способность сети, сокращает время обновления и минимизирует энергопотребление. Дельта-патч генерируется путем сравнения нового образа прошивки с известным базовым изображением на устройстве. Для бинарного диффинга могут использоваться библиотеки, такие как bsdiff, zdelta или HDiffPatch. Однако производитель должен вести инвентаризацию версий прошивки на устройство для генерации правильных патчей. В случаях, когда точная базовая версия неизвестна или непроверяема, в качестве запасного следует использовать полное обновление изображения. Обновления Delta должны подписываться и проверяться так же, как и полные изображения.

Тщательно протестируйте и выкатитесь на стадии

Комплексное тестирование необходимо перед развертыванием любого обновления прошивки на производственных устройствах. Тестирование должно включать функциональную проверку на репрезентативном оборудовании, регрессионное тестирование для всех функций устройства, стресс-тестирование в условиях низкой мощности и низкой пропускной способности и тестирование самого механизма обновления. Поэтапное развертывание - начиная с небольшого процента устройств, затем постепенно увеличиваясь до полного парка - позволяет производителям обнаруживать проблемы на ранней стадии и приостанавливать развертывание, если возникают проблемы. Мониторинг показателей, таких как скорость успеха обновления, скорость аварийного сбоя устройства после обновления и шаблоны разрядки батареи, обеспечивает раннее предупреждение о проблемах. Выключатель, который позволяет производителям останавливать постоянное развертывание удаленно, является критической функцией безопасности.

Будущее FOTA в встраиваемых системах

Важность FOTA будет продолжать расти по мере того, как встроенные системы станут более распространенными, интеллектуальными и критически важными для безопасности.

Автомобильный FOTA является одним из самых требовательных приложений, где ECUs контролируют торможение, рулевое управление, управление двигателем и передовые системы помощи водителю (ADAS). Автопроизводители, такие как Tesla, Ford и BMW, уже развернули FOTA для небезопасных и критически важных для безопасности обновлений. С принятием программно-определяемых транспортных средств FOTA станет основной функцией для каждого автомобиля, позволяя производителям добавлять функции, улучшать производительность и исправлять проблемы безопасности на протяжении всего срока службы автомобиля. ISO/SAE 21434 и Правила ООН No 156 обеспечивают нормативную базу для этой эволюции.

Оптимизация прошивки на основе ИИ находится на горизонте, где модели машинного обучения анализируют поведение устройств и сетевые условия для определения оптимального времени обновления, стратегий генерации дельты и управления питанием. Это может позволить прогнозные обновления, которые упреждающе исправляют уязвимости до их использования, на основе сигналов разведки угроз и обнаружения аномалий.

Постквантовая криптография станет актуальной, поскольку квантовые компьютеры угрожают текущим алгоритмам открытого ключа. Системы FOTA должны быть разработаны для поддержки гибкости алгоритмов, позволяя обновлять криптографические ключи и алгоритмы подписи удаленно. Несколько органов по стандартизации, включая NIST, уже работают над схемами постквантовой подписи, и FOTA станет средством для развертывания этих алгоритмов в полевых условиях.

Архитектуры с нулевым доверием расширяются до обновлений устройств, где каждый запрос на обновление проверяется на соответствие идентификатору устройства, аттестации состояния здоровья и политики перед поставкой. Этот подход гарантирует, что обновления получают только устройства в известном хорошем состоянии, снижая риск компрометации устройств, которые уже были подделаны.

Заключение

Обновления прошивки Over-the-Air перешли от приятного к удобству к существенному требованию безопасности для современных встроенных систем. FOTA позволяет производителям реагировать на уязвимости со скоростью и точностью, поддерживать соответствие развивающимся правилам, защищать конфиденциальные данные и сохранять целостность устройства на протяжении всего жизненного цикла продукта. Однако внедрение FOTA безопасно требует тщательного внимания к криптографическим практикам, резервным механизмам, управлению пропускной способностью и нормативным обязательствам. Поскольку встроенные устройства продолжают проникать во все аспекты повседневной жизни - от здравоохранения и транспорта до промышленной автоматизации и умной инфраструктуры - способность обновлять прошивку удаленно и безопасно останется краеугольным камнем надежности устройства. Производители, которые инвестируют в надежную инфраструктуру FOTA сегодня, будут лучше расположены для защиты своих клиентов, удовлетворения нормативных требований и реагирования на постоянно меняющийся ландшафт угроз завтра.