平台固件韧性：如何从底层保护您的数据中心

作者：Nilesh Badodekar，英飞凌科技

数据中心已经成为现代数字基础设施的基石，但其最关键的安全层之一仍然处于危险的暴露状态。平台固件控制着从系统初始化到硬件配置的一切，如今正日益成为复杂网络攻击的重点目标。固件一旦被攻破，就很难被检测到，即使重启后仍然存在，攻击者可以持续获得对最敏感系统的底层访问权限。随着 AI 驱动的工作负载对数据中心可靠性提出越来越高的要求，平台固件安全不再是可选项 - 而是必需品。

为什么 NIST SP800-193 很重要

 美国国家标准与技术研究院 (NIST) 通过 SP800-193 标准应对了这一威胁，该标准提供了实现平台固件韧性（PFR）的框架。该标准建立在三个相互依存的原则之上：

  • 保护 - 通过加密校验与安全存储等由硬件强制执行的机制，防止 UEFI BIOS 和 BMC 固件遭到未授权修改。
  • 检测 - 通过对加密哈希的校验进行实时异常识别，在启动过程中或启动之后一旦发生未授权变更即可提醒运维人员。
  • 恢复 - 当检测到篡改时，系统会无缝回滚到存储在安全内存中的可信“黄金”映像，无需人工干预即可恢复正常运行。

这三大支柱共同为数据中心运营商提供了一种结构化的方法，可以在基于固件的攻击升级之前将其遏制住。

安全启动与度量启动：相辅相成的防御机制

NIST SP800-193 合规性的核心在于两种技术。安全启动会对启动链中的每个组件进行加密验证—从硬件信任根（HRoT），到 UEFI 镜像与操作系统加载器—在任何代码执行之前完成校验。如果某个组件验证失败，系统将停止运行并开始恢复。

度量启动（measured boot） 的工作方式不同。它不会阻止执行，而是将固件和启动组件的加密哈希值记录到受信任平台模块 (TPM) 中。这些测量结果构成了一个可审计的证明日志，管理员可以事后查看该日志以发现异常情况。

这两种方法的设计目标是相互补充：安全启动在入口处拦截威胁；度量启动记录所有通过入口的内容。它们结合使用，可以形成多层防御，既能应对主动攻击，也能应对事后审计。

安全启动与度量启动：相辅相成的防御机制

 图 1：使用安全闪存实现安全启动

安全 NOR 闪存的关键作用

在硬件层面实现 NIST 三大支柱，需要一款能够在硅片级别强制执行安全策略的存储组件。Secured NOR Flash提供硬件信任根，对每次读取操作执行实时加密验证，以防范"检查时间与使用时间"（TOCTOU）攻击，并为恢复镜像维护一个受保护的专用分区。至关重要的是，这种硬件集成方法省去了单独且昂贵的组件，例如 FPGA。

图 2：利用安全 NOR Flash 实现平台固件韧性

 图 2：利用安全 NOR Flash 实现平台固件韧性

英飞凌的集成解决方案

我们构建了一套经过验证的解决方案，可全面满足 NIST SP800-193 的要求。我们的SEMPER™ Secure NOR Flash在单一组件中提供硬件强制执行的固件保护、实时完整性校验以及简化的恢复机制。结合 InsydeH2O UEFI BIOS（涵盖可信启动、安全启动和度量启动能力）以及 Supervyse OPF OpenBMC 固件，该方案覆盖从上电到操作系统加载的整个启动序列的每个阶段。系统设计人员无需整合来自多个未经验证供应商的安全层，即可实现端到端的固件完整性保障。

从固件层面保护您的数据中心

平台固件是现代数据中心中受攻击最多、却最不易被察觉的攻击面之一。NIST SP800-193 框架提供了蓝图；英飞凌的SEMPER™ Secure NOR Flash，以及 InsydeH2O UEFI BIOS 和 Supervyse OPF OpenBMC 固件，提供了经过验证的落地实现。安全应该内建于基础之中—而不是事后的补丁。

探索我们的SEMPER™ Secure NOR Flash产品组合，并与我们的存储解决方案团队交流，共同为您的下一个设计构建安全防护。