数据传输性能与安全不能兼顾？Rambus安全方案“动静”两相宜

云数智观察 2023-02-14

282

没有芯片如何成就数字化？没有高性能的芯片又如何实现绿色化？毋庸置疑，芯片对于推进数字化、绿色化“双转型”至关重要。

有第三方机构预测，到2030年，全球芯片市场整体规模将突破1万亿美元，相较2021年翻一番。2022年初，欧盟委员会公布了酝酿已久的《芯片法案》，进一步凸显了芯片在推动当前数字化转型浪潮中的重要性。其实人们关注芯片，说到底还是重视其中数据处理和传输的性能、安全性和价值。

在数智化时代，如何确保数据传输既快又安全？又如何更有效地处理动态数据呢？应对这些挑战，Rambus挺身而出。

性能不妥协安全有保障

近几年，随着大数据、AI、云原生等新的工作负载不断增加，企业面临的安全压力越来越大。从半导体行业来看，芯片层面的安全威胁也在不断涌现，常见的芯片安全威胁包括篡改、侧信道攻击等。篡改通常的目标是通过任何可能的手段提取加密密钥，随后滥用这些密钥盗取数据。最具入侵性的方法是使用先进的逆向工程设备和技术来盗取存储的密钥。而一些非入侵性的攻击并不直接探测电路，相反会依靠电路运行时泄露的信息。这些所谓的“侧信道攻击”会对电源线或电磁辐射进行分析，以提供关于内部情况的线索。

Rambus安全IP产品营销高级总监Bart Stevens

Rambus安全IP产品营销高级总监Bart Stevens表示，PUF(Physically Unclonable Functions)在与硬件信任根解决方案相结合后，几乎可以在任何芯片中实现，包括从微小的微控制器到高性能、复杂的SoC。PUF是一种混合信号电路，它依靠特定芯片特有的差异变化来自我生成数字“指纹”。这些指纹可以作为加密密钥的基础。PUF的真正威力在于利用其不可克隆的转换函数功能来实现“挑战-响应”机制。该机制可以在原始芯片被植入后的任何时候将真实的芯片与恶意完整克隆芯片加以区分。Rambus提供基于硬件的安全基础，并通过各种信任根解决方案组合，以最先进的防篡改和安全技术防止各种攻击。

众所周知，性能与安全性是数据传输中两个非常重要的指标。但似乎没有一种设计能够同时兼顾这两项指标。难道鱼与熊掌真的不能兼得吗？“Rambus的解决方案是在硬件中实现安全，使用专门为网络协议感知设计的安全引擎，提供强大的保护并以线性速率运行。通过这种方式，就可以在不牺牲性能的情况下获得最高的安全性。”Bart Stevens如是说。

Rambus的使命就是“让数据传输更快、更安全”。Rambus拥有许多安全IP解决方案，比如信任根技术、安全协议引擎、内联(inline)密码引擎、密码算法加速器核等。这些丰富的安全IP解决方案帮助Rambus构建了强大的产品组合。以MACsec为例，为了保护高速网络流量数据，许多企业正在从应用层网络安全转向基于硬件的第二层安全。作为这一领域的流行安全协议和IEEE 802.1AE标准，MACsec提供了逐跳链接保护，非常适合用于保护跨局域网和广域网的链接。Rambus提供完整的MACsec半导体IP解决方案系列，涵盖从1Gbps到800Gbps的端口速率，以及从以太网PHY、汽车SoC/PHY、高性能SoC到高端光学PHY和交换机/路由器ASIC的应用。

“为了确保数据传输的性能和安全性，有许多需要注意的方面，例如在协议或产品设计之初就要考虑有哪些需求，并根据预期的应用领域确定协议/产品应具备的速率和安全性等。”Bart Stevens表示，“与Rambus这样经验丰富的安全IP商合作，用户能够确保获得足够的数据传输速率和安全性。”

“动静”两相宜实现端到端安全

从芯片到云再到人群，Rambus的安全芯片IP能够有效保护全球最宝贵的资源——数据。Rambus的嵌入式安全解决方案在硬件基础上，可确保电子系统的安全，所涵盖的领域包括信任根、防篡改、内容保护和可信配置等。

据Bart Stevens介绍，Rambus丰富的安全IP产品适用于不同领域，例如信任根构建了从安全协处理器到紧凑型状态机解决方案等SoC安全的硬件级基础；安全协议引擎提供内联（inline）解决方案，可在不改变网络流量的情况下保护网络安全；高吞吐量的inline密码引擎用于具有低延迟要求的内存加密；密码加速器核能够帮助用户在SoC设备中通过一系列密码和完整性算法实现更快的密码处理；DPA防护包括保护电子设备免受侧信道攻击的基本解决方案、专利和技术。Rambus的安全IP解决方案还包括软件协议、防伪以及配置和密钥管理等。

特别值得一提的是，Rambus的安全IP解决方案“动静两相宜”，在保护静态数据、动态数据的安全时独树一帜。Bart Stevens表示，为了实现数据的端到端安全，必须在数据“静止”（在芯片中处理）、“使用”（存储在存储器中）和“移动”（在连接的设备之间通信）的各个环节都为其提供全面的安全保护。

对于“静止数据”，植入芯片中的硬件信任根提供所有数据安全的基础。应用、操作系统和启动代码都依赖于信任根作为保密性、完整性和真实性的来源。同样，对于“动态数据”，植入基础通信层硬件中的安全性为整个网络中的通信提供信任基础。MACsec、IPsec和SSL/TLS/DTLS协议是保护动态数据（在连接的设备之间通信）的主要手段。这些协议可以被植入到硬件中，也可以作为端到端安全架构的一部分在软件中实现。

从Rambus来看，对于线速的数据保护，能够提供完整的MACsec半导体IP解决方案系列。Rambus智能安全协议引擎通过执行完整的协议转换，结合显著的CPU卸载，能够提供吞吐量加速的优势。多协议引擎为速度100Mbps至100Gbps不等的IPsec、SSL/TLS/DTLS、MACsec及基于哈希和加密操作提供加速。Rambus高速公钥密码加速器PKI-IP-154是一个用于实现完全可扩展性和最佳性能与门数比的加密IP核系列。PKA-IP-154可以部署在任何需要以极高的性能进行密钥交换或密钥生成的半导体设计中。

Bart Stevens强调说，Rambus拥有保护“动态数据”的关键技术和创新。例如，提供第二层安全的MACsec正在成为保护网络流量的主要解决方案。如今，保护SoC接口的趋势越来越明显，包括PCI Express（PCIe）、片外存储器接口等短距离接口。Rambus的解决方案可以有效提高安全性，并且符合通过设计和实施基于硬件的MACsec来实现高性能内联加密的趋势，包括800Gbps的MACsec协议引擎和其他从100Gbps到1Tbps的安全IP解决方案。另外，Rambus还提供第三层IPsec安全引擎。这些引擎嵌入了协议认知，允许执行自主五元组IP头检查，以提取每个数据包的必要指令，从而使数据包引擎能够在处理时进行及时、正确的设置，确保整个流水线永不阻塞。

贴近本地化为客户量身定制

Rambus的调查显示，中国企业客户需要兼容多种支持全球标准的加密加速器的安全解决方案，如高级加密标准（AES）、安全哈希算法2&3（SHA-2&3）、ECC等。对中国企业客户来说，支持商密2/3/4（SM2/SM3/SM4）算法非常重要。

RT-131被设计为可集成到功率和空间有限的SoC或FPGA中。这是一个信任根，并且是经过FIPS 140-2 CMVP认证的硬件核心，可以保护芯片上最敏感的资产，为平台安全奠定基础，特别适用于中国的物联网服务器、网关和边缘设备，能够提供市场上最好的面积与性能的平衡。而RT-641可以集成到更大的SoC中，专门用于人工智能/机器学习（AI/ML）和其他计算密集型芯片。这款产品同样是Rambus为中国市场专门设计的，支持中国的SM2/SM3/SM4算法。

为了满足客户多样化的安全需求，Rambus致力于与行业伙伴一起，提供更丰富的安全解决方案。例如，Rambus在2021年与NextChip合作，通过Rambus RT-640信任根和MACsec-IP-160协议引擎为新一代Apache6汽车处理器提供硬件级安全。Apache6 ADAS SoC结合了先进的CPU、GPU、ISP和NPU处理器，实现AVP等高要求的汽车视觉和域/区控制器应用。Rambus RT-640信任根是专门为需要ASIL-B级可靠性的汽车高级驾驶辅助系统（ADAS）应用量身定制的嵌入式硬件安全模块（HSM）。

随着网络攻击的发展，仅依靠软件已经不足以抵御最新的安全威胁。因此，数据中心和物联网正在将硬件和软件的安全功能相结合，以此保证基础设施的稳定运行。Bart Stevens表朱，就硬件级安全的实现方式而言，基于硬件的信任根解决方案正在成为越来越多数据中心/物联网设备的选择。这是因为基于硬件的信任根是最安全的信任根，对网络攻击有极强的抵御能力，也不会为了安全而牺牲系统的性能。数据中心和物联网安全并不相互独立。物联网应用产生的数据经常从终端发送到数据中心进行处理或存储，这就需要确保数据传输的两端必须安全。这也是为什么Rambus致力于为“静止数据”和“动态数据”这两个领域的应用提供先进的安全解决方案。

软硬兼施为数据安全保驾护航

在数据安全方面，Rambus不断创新与优化。Rambus在芯片设计、制造到应用的过程中，一直非常重视设计的安全性和零信任环境。以CPU为例，为了保护设备的安全，CPU需要针对应用场景中可能出现的供应情况进行安全设计，然后才能被信任。但随着CPU的复杂性不断增加，CPU的交互和随之而来的安全问题也呈指数级增长。这就要求CPU厂商在解决成倍增长的安全隐患的同时，努力实现性能和安全的最大化。因此，Rambus认为，对安全敏感的功能不应该放在主CPU上完成，而是应该在专门为安全设计的隔离环境中运行，这就需要硬件信任根。信任根为SoC以及上层应用架构提供了安全仿真所需的安全构建块，还可以为SoC应用提供强大的安全以及加密算法服务。

除了硬件级的安全保护以外，也在软件级的安全保护方面也有深厚的积累。Bart Stevens介绍说，Rambus软件安全软件工具包和库功能齐全，能够保证用户的通信安全，同时提供经过FIPS认证或防止侧信道攻击的加密服务。安全协议工具包为安全网关、云部署、智能手机和物联网设备的使用提供了高互操作性和可移植性。该工具包还包含密钥交换协议的完整功能实现，以及带有支持数据通路的所有必要密码库。

目前，Rambus的软件协议和加密工具包包括IPsec软件工具包、FIPS加密库、MACsec工具包以及物流网安全框架。

安全无小事。作为安全IP厂商，Rambus希望以内嵌的安全，确保数据传输的高性能与安全性，进而为企业的数字化转型保驾护航。

往/期/回/顾

Rambus DDR5别出新“材”，数据传输更快更安全

“看见”威胁，看到安全的未来

数据隐私保护日，15位国内外大咖纵论数据安全与保护

加密芯片高级加密标准数据传输方式云计算信息安全

文章转载自云数智观察，如果涉嫌侵权，请发送邮件至：contact@modb.pro进行举报，并提供相关证据，一经查实，墨天轮将立刻删除相关内容。

数据传输性能与安全不能兼顾？Rambus安全方案“动静”两相宜

评论