3、威胁模型与攻击面：侧信道攻击、故障注入、总线嗅探、冷启动攻击、恶意固件等对存储器的威胁

存储器作为硬件系统中数据的中枢载体，其安全性直接决定了整个系统的信任根基。在硬件安全设计中，我们不仅要关注存储介质本身的物理可靠性，更要从攻击者的视角审视数据在“静止”与“流动”两个状态下的暴露面。本章将系统梳理针对存储器的典型威胁模型，包括侧信道攻击、故障注入、总线嗅探、冷启动攻击与恶意固件植入，并给出对应的检测思路与防御架构。理解这些攻击面，是设计安全存储器与加密存储系统的前提条件。

3.1 侧信道攻击：从物理泄漏中提取密钥

核心原理

侧信道攻击（Side-Channel Attack, SCA）不直接破坏存储器硬件，而是通过观测设备在运行过程中产生的物理泄漏信息来推断敏感数据。对于存储器而言，主要泄漏源包括：动态功耗（数据翻转时位线充放电电流不同）、电磁辐射（高频时钟与数据线耦合）、时序差异（缓存命中与未命中的访问延迟）、以及缓存状态（Cache 中残留的访问痕迹）。攻击者利用统计分析方法（如 CPA、DPA、模板攻击）从大量采样中提取与密钥相关的中间值。

泄漏类型	物理载体	典型攻击方法	针对存储器场景
功耗分析	VDD 电流 / 地弹	SPA / DPA / CPA	AES 引擎读取 S-Box 时的功耗差异
电磁辐射	近场 EM 探头	EMA / 相关性 EM 分析	DDR 数据总线上的并行信号辐射
时序侧信道	执行时间	时序差分析	Cache 命中率影响加解密耗时
缓存侧信道	Cache 状态	Prime+Probe / Flush+Reload	共享 Cache 中密钥表项的访问痕迹

判断方法与操作流程

1. 威胁建模：明确攻击者能否物理接触设备，能否在目标附近放置探头。
2. 泄漏评估：使用高带宽示波器（≥1GHz）采集存储器读写时的功耗/EM轨迹，计算信噪比（SNR）。
3. 相关性分析：对采集的轨迹与假设的中间值（如 S-Box 输出）计算皮尔逊相关系数，找出峰值点。
4. 密钥恢复：对每个密钥字节重复上述过程，直至完整恢复密钥。

常见误区与复盘

• 误区一：认为加密算法本身安全即可，忽略物理实现泄漏。
• 误区二：只在实验室做一次 SCA 测试就宣称“抗侧信道”，未覆盖多电压/温度条件。
• 复盘要点：应在设计阶段引入掩码（Masking）、隐藏（Hiding）、恒定时间执行等对策，并在流片后做独立第三方 SCA 认证。

3.2 故障注入：破坏存储器状态的主动攻击

核心原理

故障注入（Fault Injection, FI）通过外部物理手段在特定时刻干扰存储器正常工作，使数据位翻转、控制流跳转或安全校验被绕过。常见注入方式包括：电压毛刺（在 VDD 上叠加短时高压/低压脉冲）、时钟毛刺（瞬态提高/降低时钟频率）、激光注入（聚焦光子改变晶体管导通状态）、电磁脉冲（Eddy 电流感应）。攻击者通常利用故障后的错误输出或异常行为来推导密钥或绕过认证。

操作流程与检测

1. 故障定位：通过扫描确定存储器阵列中对故障最敏感的物理区域（如未加ECC保护的SRAM单元）。
2. 时序对准：使用触发信号（如 AES 开始的使能信号）精确控制注入时刻。
3. 故障效果分析：观察是否出现单字节错误、多字节错误或控制流跳转。
4. 差分故障分析（DFA）：对比正确与错误密文，推导密钥。

案例拆解：车规级 MCU 的电压毛刺攻击

某汽车 ECU 使用内部 Flash 存储 Bootloader，攻击者在 Flash 读取启动配置时，在 VDD 引脚注入 5ns 宽、-30% 幅值的毛刺。结果导致配置字中的“安全启动使能”位被翻转，系统跳过了 RSA 签名验证。修复方案：将关键配置位存储在具有 ECC 的专用寄存器中，并增加毛刺检测电路（Glitch Detector），一旦检测到电压异常立即复位系统。

3.3 总线嗅探：监听数据流动的被动威胁

核心原理

总线嗅探（Bus Sniffing）是指攻击者在存储器与主控芯片之间的数据传输通道上放置探针或逻辑分析仪，截获明文数据。对于外部存储器（如 DDR、SPI NOR/NAND Flash、I2C EEPROM），数据总线往往暴露在 PCB 表面，容易接触。即使数据经过加密，若密钥管理不当（如密钥与密文同总线传输），攻击者仍可组合分析。

总线类型	典型速率	嗅探难度	防护手段
SPI	1-100 MHz	低（信号线少，易探测）	数据加密 + 随机总线加扰
I2C	100 KHz - 3.4 MHz	低	地址隐藏 + 数据包加密
DDR4	1600-3200 MT/s	高（差分信号，需专用探头）	内联加密引擎 + 密钥隔离
PCIe	2.5-32 GT/s	高（串行差分，需协议分析仪）	Link 层加密（如 PCIe IDE）

判断方法与防御

• 信号可达性评估：检查 PCB 上是否有测试点、过孔或裸露走线暴露敏感信号。
• 总线加扰：在硬件层对地址和数据线进行伪随机重映射，使嗅探到的信号无法直接还原。
• 内联加密：在存储器控制器内部集成 AES-XTS 引擎，保证总线上传输的均为密文。

3.4 冷启动攻击与数据残留

核心原理

冷启动攻击（Cold Boot Attack）利用 DRAM/SRAM 在低温下数据保持时间延长的物理特性，在系统断电后迅速冷却内存芯片，然后重新上电或直接读取残留数据。现代 DRAM 在 -50°C 下可保持数据数分钟甚至更久。攻击者通过这种方式获取内存中的磁盘加密密钥、登录凭证等敏感信息。

操作流程

1. 物理冷却：使用液氮或压缩空气将内存模块降温至 -20°C 以下。
2. 快速重启：在目标系统断电后 30 秒内重新启动，或直接使用定制固件读取内存。
3. 内存转储：通过 DMA 或修改启动代码将内存内容导出。
4. 密钥提取：在转储数据中搜索密钥模式（如 AES 密钥扩展表）。

防御措施

• 内存加密：使用 Intel SGX / AMD SME 等硬件内存加密技术，使残留数据为密文。
• 快速擦除：在断电检测电路触发时，立即对内存执行全零覆写。
• 物理防拆：将内存颗粒与 SoC 封装在同一基板上（如 PoP），增加探测难度。

3.5 恶意固件与供应链攻击

核心原理

恶意固件攻击针对存储器中的固件镜像（Bootloader、Option ROM、微码补丁）进行篡改或替换。攻击路径包括：供应链植入（在制造或运输过程中替换 Flash 芯片）、更新机制漏洞（签名验证缺失或降级攻击）、本地写入（通过调试接口或漏洞写入恶意固件）。一旦恶意固件驻留，攻击者即可控制存储器访问权限、窃取数据或持久驻留。

检测与防护框架

防护层	技术手段	实施要点
安全启动	ROM 代码 + 公钥哈希校验	公钥存储在一次性可编程（OTP）区域
固件更新	签名 + 版本号防回滚	使用单调计数器防止降级
运行时完整性	TPM 度量 + 动态信任根	每次启动时重新度量关键固件段
硬件隔离	可信执行环境（TEE）	将安全关键代码与普通固件隔离

3.6 综合威胁建模与防御策略

威胁建模方法

建议使用 STRIDE 模型对存储器系统进行系统化威胁分析：

• Spoofing（仿冒）：伪造存储器身份或固件版本。
• Tampering（篡改）：修改存储数据或固件内容。
• Repudiation（抵赖）：否认对存储器的非法操作。
• Information Disclosure（信息泄露）：通过侧信道或嗅探获取敏感数据。
• Denial of Service（拒绝服务）：通过故障注入使存储器不可用。
• Elevation of Privilege（权限提升）：利用固件漏洞获得更高权限。

纵深防御架构

有效的存储器安全需要多层防护协同：物理层（屏蔽罩、主动网格、防拆检测）、电路层（电压/时钟毛刺检测、数据加扰）、架构层（内存加密、安全 DMA、访问控制）、协议层（认证、防重放）、系统层（安全启动、运行时监控）。每一层都应独立设计，即使某一层被突破，其他层仍能提供保护。