ARM牵头做了一件事 只为降低物联网安全风险

  从智能手机的普及到智能硬件时代的演进，不难发现，人们手中及家中的智能终端设备正在与日俱增。虽然当时万物互联这一愿景并未能成功落地，但这一次随着AI等技术的发展，实打实的加快了万物互联时代到来的“步伐”。

  在即将到来的万物互联时代里，物理世界和数字世界之间的鸿沟将会被彻底打破，比如现今出现的自动驾驶、智慧生活以及智慧城市等新业态都将在万物互联时代中被衍生而出。毋庸置疑，物联网未来是个绝对的增量市场，所谓机遇与挑战并存，在这一市场中，面临的挑战也是此前不曾有过的。

  机遇与挑战并存的物联网市场

  据BI Intelligence一组数据显示，2025年全球将安装超过550亿个物联网设备，物联网相关投资也将超过25万亿美元。

  但在我们展望美好未来的同时，也想起了此前一系列网络攻击所带来的安全隐患，如2008年波兰少年黑客侵入有轨电车系统导致电车出轨、特斯拉程序设计漏洞、西班牙智能电表安全漏洞等安全隐患仍历历在目。在此前福布斯的一个市场调研结果也显示，物联网安全问题已然成为了企业最为关心的问题之一。

  回头来看消费者一侧，安全性虽然排在消费者关注的首位，但很少有消费者会在购买产品时询问终端设备的安全性问题，消费者只是希望这台设备具备安全性这一前提。可以说消费者所关心的并非物联网安全，而是一个安全的物联网。因此也对整个行业提出了一个全新的挑战，那便是如何实施部署真正安全的物联网解决方案。

  正是基于这样一种现状，今年2月份，Arm宣布与Brightsight、中国信息通信研究院泰尔终端实验室、Riscure和UL等独立安全测试实验室，以及咨询机构Prove&Run联合推出PSA认证项目，以支持基于平台安全架构(PSA)框架的安全物联网解决方案的大规模部署。通过独立安全测试，PSA认证项目可帮助物联网解决方案开发商和设备制造商对来自种类繁多的物联网设备的数据，建立安全性和真实性。

  为什么是ARM来做这件事？

  之所以ARM牵头做这事，原因在于目前多数终端设备都采用的是ARM架构的芯片，ARM曾预计，到2021年生态系统基于ARM芯片累计出货将超过2000亿。另一方面近期英伟达与ARM双方，对基于ARM的HPC系统建立了10年的合作基础，意味着未来英伟达几款用于便携式游戏、自动驾驶汽车、机器人和嵌入式AI计算的系统级芯片产品都将采用了ARM。

  在牵头PSA认证项目之前，2017年10月时，ARM曾推出过行业通用框架——平台安全架构PSA，这是一个由威胁模型、安全分析、以及硬件和固件架构规范组成的整体，为芯片厂商、设备开发商、云和网络基础设施提供商、以及软件供应商提供一套通用的基本规则和更经济的方法来构建更安全的设备。

  PSA认证项目提供的是一种简单、全面的安全测试方法。该认证由多级安全稳健性方案和专为开发人员设计的API测试套件组成。安全测试由第三方实验室评估，独立检查物联网平台的通用部分，包括PSA信任根(信任根是完整性和机密性的根本)、实时操作系统(RTOS)和设备本身。

  据悉PSA主要包括分析、架构与实施三个部分。分析部分要充分理解风险和威胁因素，并利用PSA提供的威胁模块来做修改，做出符合自己产品的使用方式。架构部分则借助PSA提供的硬件及固件的设计规格来创造软件和硬件的架构规范。第三部分实施，是帮助相关人员在实体环境当中将它变成可能。

  针对物联网相关标准，ARM提出了4步模型。首先针对设备的身份必须是唯一的、其次可信赖的已知启动程序、再者如果发生任何潜在问题，都必须要实现软件升级、最后基于证书的认证，也就是说确保与你实现通信的设备确实是可信赖的，而不是伪造虚假的设备。

  据Arm新兴事业部总监Rob Coombs介绍称，PSA有三个认证的层级，RTOS、OEM和芯片供应商都可以过Level 1级别的PSA认证，但Level2、Level3级别的安全认证只是针对芯片公司来做的，因为芯片厂商所需要的安全需求比较高，会根据威胁模型和所需的安全需求考虑三个级别的安全认证，安全认证提供了一种表示芯片安全性的标准方式，可以进一步向OEM和设备制造商推广安全认证的产品。

  放到应用中来看，level1级别认证满足的是最基本的安全要求，比较适用于智能家电(如智能温度计、智能水表)等家电产品。如果涉及会影响生命安全或私密信息的话，则需要满足level2级别认证，如车内娱乐系统。

  而level3走的是一个通用标准的认证流程，即这个系统中存在安全级别非常高的数据或信息，一旦泄露便会为公司运营造成重大影响。比如说在工业应用场景中，就适合用level3来过相关的认证。

  可以说，ARM的意图是，借助平台的影响力来让安全形成规模化的效应，借助PSA认证为物联网安全带来本质上的转变。尤其在这个还处在爆发前夜的市场里，更需要在早期建立一套行业准则，来降低物联网安全问题的风险，从而提高用户的购买意愿。