軟體與硬體式駭客攻擊比較

無論是硬體還是軟體加密，都可以將安全漏洞減至最少，並增加保護層來保障資料安全。但是，硬體和軟體加密在使用時機及原因上，卻有一些典型差異。

由於符合成本效益且升級／更新方便，軟體加密通常用於保護組織的裝置。這種加密方式能夠保護靜態、儲存及傳送中的資料，且通常輔以能增強和補充加密的功能。

相比之下，硬體式加密屬於裝置的板載安全功能，無需額外的軟體，即可執行加密與解密，因此不會受到污染、惡意程式碼感染或漏洞的侵害。這種加密方式常用於保護可攜式裝置的敏感資料，但也可保護靜態資料。儲存敏感資料的硬碟，可透過硬體金鑰得到最好的保護，即使硬碟被竊也無需擔憂。硬體解決方案更為昂貴並且需要對硬體平台進行升級，而不像成本較低的軟體解決方案，僅需升級或更新軟體即可。

軟體漏洞

必須指出的是，即便本世紀已過了 20 年，有些公司依然選擇不對其資料提供充分的保護。他們不更新、不升級、不更改密碼，也不採用多種保護方法，甚至通常也不會更改連網裝置的常駐型密碼。這給駭客唾手可得的機會，但絕大部分的安全漏洞其實可以輕而易舉地避免。

其他漏洞包括 (但不限於)：

• 儲存資料缺乏強力加密
• 將過多資料裝進過小的記憶體中，尤其是在 C/C++ 語言撰寫的行動應用程式中，這很容易受到緩衝區溢位的影響
• 透過不安全的服務和 API 直接存取資料
• 不對記錄檔的存取進行控制，能讓駭客追蹤安全性漏洞
• 重複使用程式碼，可能會從其他來源將寄生程式碼帶入企業
• 駭客可利用路徑遍歷發動「../ 攻擊」
• 攻擊者可利用跨站點指令碼在網站訪客的瀏覽器中執行程式碼
• 登入後沒有足夠的身份驗證機制

硬體漏洞

硬體漏洞通常取決於電路的設計完善程度，以保護私鑰免受攻擊。攻擊成功的原因包括 (但同樣不限於)：

• 在電磁旁路攻擊中攔截電磁波
• 未使用具安全除錯功能的 MCU
• 未建立可指出竄改情況的防竄改技術，且未能在竄改發生時將私鑰從記憶體中抹除
• 未能確保啟動的安全性

潛在解決方案

市面上有多種以安全性為基礎的解決方案，而且數量還在不斷增長。這裡有一些建議可供參考。您可以使用硬體式安全核心。例如，Silicon Labs 的 Wireless Gecko Series 2 就具有整合式安全核心。請觀看預覽影片瞭解這項近期發佈的技術。

您還可考慮使用 Microchip 的 CryptoAuthentication SOIC XPro 入門套件。此套件具有 SAMD21-XPRO 及 AT88CKSCKTSOIC-XPRO 插槽機板，以及 Crypto Authentication 樣品裝置，可搭配 Microchip 的 Crypto Evaluation Studio (ACES) 使用，並支援所有的 Crypto Authentication 裝置，包括 ATECC608A、ATECC508A、ATECC108A、ATSHA204A 和 ATAES132A。

AWS 零接觸安全佈建套件也出自 Microchip，是一款完整的開發和原型設計平台，可進行 AWS IoT 裝置的佈建。如圖 1 所示，此套件包含三個客製化 (ATCRYPTOAUTH-XAWS) 附加板，各含有 AWS 配置的 ECC508，可透過套件簽署者指令碼進行現場佈建。此外還包含安全根和簽署者佈建指令碼。此套件建構於模組化的 Xplained PRO 平台上，可試驗多種不同的處理器、連線以及人機互動介面模組。

圖 1：Microchip 的 AWS 零接觸安全佈建套件可輕鬆快速設計 IoT 裝置，並符合全新的 AWS 安全規範。(圖片來源：Microchip)

NXP 的 OM-SE050ARD 開發套件可用於評估 SE050 產品系列的功能，並可簡化安全 IoT 應用的開發作業 (圖 2)。IoT 裝置所用的 EdgeLock 安全元件，可在 IC 層級提供信任根，從邊緣到雲端實現真正的端對端安全性，完全無需撰寫安全程式碼。

圖 2：NXP 的 OM-SE050ARD 是靈活易用的開發套件，可用於 EdgeLock SE050 系列產品。(圖片來源：NXP)

Infineon Technologies 的 Blockchain Security 2Go 入門套件是另一款可協助您確保設計安全的產品，能以輕鬆快速的方式構建同級最佳的安全性。此套件包含使用就緒的 NFC 卡 (可產生安全金鑰)、簽署方法、引腳保護、可支援金鑰管理命令的卡載軟體、簽章建立以及 PIN 碼身份驗證，並可存取 Infineon 的區塊鏈中樞。身份管理是潛在的區塊鏈應用之一，可當作身份驗證系統的基礎。

如今，攻擊變得越來越普遍，手段也越來越複雜。請開始從軟體和硬體兩方面提供保護，不要成為駭客可以快速且輕易攻擊的目標。然後，想想自己最脆弱的地方，同時參考其他日益增多的可用選項。