攻击面分析：芯片引脚、总线、存储器、接口攻击入口

做硬件安全，第一件事就是搞清楚：攻击者能从哪儿下手？

我做了这么多年芯片安全，见过太多团队把精力花在算法上，结果被人从引脚捅了刀子。说到底，你得先知道敌人在哪，才能布防。

这一节咱们就把芯片的“围墙”走一遍，看看哪些地方是薄弱环节。我个人习惯把攻击面分成四块：引脚、总线、存储器和接口。下面一个一个聊。

芯片引脚：最直接的物理入口

芯片引脚是外界和芯片内部通信的唯一物理通道。你想想看，攻击者如果有设备能接触到引脚，那基本上就等于站在你家门口了。

最常见的攻击方式有这么几种：

• 电压毛刺攻击：在电源引脚或时钟引脚上注入瞬间的电压尖峰，导致芯片内部逻辑跳转、指令跳过或安全校验失效。我在项目中遇到过有人用几微秒的毛刺就让芯片跳过密码校验，直接进了调试模式。
• 电磁注入攻击：用电磁探头靠近芯片引脚，耦合出干扰信号。这个不需要物理接触，隔空就能干。
• 探测与嗅探：在数据引脚上挂逻辑分析仪，抓取明文数据。我刚开始做安全时觉得这个太小儿科，后来发现很多产品连调试接口都没禁用。

总线：数据流动的血管

总线攻击，说白了就是监听或篡改芯片内部的数据流。芯片内部总线上跑的都是明文数据，一旦被截获，秘密就全没了。

常见的总线包括：

• 系统总线(AXI/AHB)：CPU和内存、外设之间的主干道。
• 调试总线(JTAG/SWD)：开发调试用的，但也是攻击者的后门。
• 外设总线(SPI/I2C/UART)：连接外部传感器、存储器的低速总线。

总线类型	攻击点	常见手段
AXI/AHB	未授权的master访问	插入恶意DMA控制器，读取加密密钥所在的地址范围
JTAG/SWD	调试接口未锁定	通过调试探针读取寄存器、内存、Flash
SPI/I2C	总线监听	在总线上挂逻辑分析仪，抓取明文通信数据

总线防护的核心是访问控制。我的做法是在系统总线上加一个“安全看门狗”——任何非授权的master发起访问时，立即触发中断并记录日志。另外，调试接口在量产前必须永久熔断，这是最基本的底线。

存储器：宝藏的藏身地

存储器里放着固件、密钥、用户数据。攻击者一旦能读存储器，那基本上就Game Over了。

不同存储器的攻击面不一样：

• Flash：容易被读取，尤其是通过调试接口。还有就是冷启动攻击——把芯片降温后快速读取残留数据。
• SRAM：掉电后数据消失，但存在“数据残留”问题。我见过一个案例，攻击者把芯片断电后迅速降温，SRAM里的数据能保留几秒钟。
• 寄存器：安全状态寄存器如果没做保护，攻击者可以通过故障注入来篡改。

接口：内外沟通的桥梁

芯片对外接口是攻击面的重灾区。为啥？因为接口是设计成“易用”的，但“易用”往往意味着“易攻”。

常见的有：

• USB：支持热插拔，攻击者可以插入恶意设备发起“BadUSB”攻击。
• 以太网：通过网络注入恶意数据包，或者利用协议漏洞进行远程攻击。
• 无线接口（Wi-Fi/BT/NFC）：物理上就无法封闭，攻击范围更广。
• 传感器接口：比如摄像头、麦克风，可以成为窃听通道。

你得在接口驱动层做三件事：输入验证、速率限制、协议白名单。我遇到过的一个真实案例是，攻击者通过USB接口发送超长的控制请求，导致驱动缓冲区溢出，最终执行了任意代码。这种攻击如果做好了输入验证，根本不会发生。

攻击面图谱：一张图看懂全局

攻击链分析：把攻击面串起来

单一攻击点往往力量有限，真正致命的攻击是一环扣一环的。攻击者通常会：

1. 踩点：通过公开资料或者物理观察，确认芯片型号和接口类型。
2. 突破：从最容易的攻击点切入，比如未锁定的调试接口。
3. 横向移动：利用突破点，通过总线访问其他模块。
4. 提取目标：最终从存储器中读出固件或密钥。

所以你的防护不能只做一层，要分层设防。比如说，即使调试接口被攻破，总线上的访问控制还能挡住一下；即使总线被监听，存储器里的数据是加密的，敌人拿到也没用。