控制台安全内部：创新如何塑造未来的硬件保护

在 Help Net Security 的采访中，安全研究人员 Specter 和 ChendoChap 讨论了游戏机独特的安全模型，并强调了它与其他消费设备的不同之处。

他们还分享了对游戏机安全性的进步将如何影响未来消费者和企业硬件设计的看法。

斯佩克特 (Specter) 是本周在阿姆斯特丹举行的Hardwear.io会议的演讲者。

您能否解释一下 PlayStation 等游戏机的安全模型与智能手机或个人电脑等其他消费设备的安全模型有何根本区别？

游戏机有一些独特的安全设计，因为它们主要是为了保护系统免受用户攻击，而不是防止其他攻击者。供应商的担忧不是针对用户数据的攻击，而是强制实施 DRM，并确保系统上运行的代码不被篡改。PlayStation 网络 (PSN) 的保护也包含在这个保护伞下，而安全协处理器的很大一部分职责就是保护它免受黑客攻击。

这就是为什么我们在 PC 上看到的许多当前安全启动技术大约十年前首次出现在游戏机上，并经过改进成为今天的样子。智能手机有一个相当相似的安全模型，但对运行其代码的客户没有那么严格的限制。

游戏机的封闭生态系统还允许供应商在保护系统安全时采取自由。例如，PS5 不必担心像 PC 那样支持大量自定义设备和硬件，因此它们能够实施更严格的 I/O 内存管理单元 ( IOMMU ) 策略，以 PC 目前无法做到的方式防止直接内存访问 (DMA) 攻击。

您如何看待 PlayStation 等游戏机上原型的安全机制对未来消费硬件甚至企业级安全的安全设计的影响？

我们过去见过的此类机制，例如 AMD 的平台安全处理器 (PSP) 和可信平台模块 (TPM) 技术，至少部分源自 AMD 基于 GPU 的安全资产管理单元 (SAMU)，主要用于 Xbox One 和 PlayStation 4。

在最新一代游戏机上，我们已经看到了额外的安全协处理器的证据，例如名称模糊的“A53”，它似乎充当了 SSD 加密内容的守门人。我们可以想象，这种东西最终会被运用于消费类 PC 和/或企业设备，在这些设备上，保护静态数据是安全模型的一个重要目标。

另一种可在企业中利用的缓解措施是仅执行内存 (XOM)。防止攻击者读取代码将有助于降低攻击者对系统的可见性，以及保护专有代码和知识产权。不过，这在桌面设备上可能不太有用，因为用户可以访问其系统上运行的可执行文件。

在 PS4 上，通过浏览器漏洞进行内核攻击相对简单。在 PS5 上引入虚拟机管理程序如何改变攻击难度？它为研究人员带来了哪些技术障碍？

在 PS4 等上一代主机上，系统的大部分安全模型都嵌入在内核中。即使是安全协处理器 SAMU 也无法阻止对大部分系统进行逆向工程，也无法阻止在内核中运行自定义代码。由于内核负责与它对话，因此攻击者可以利用内核漏洞轻松修补该 API。这一切都在 PS5 中发生了变化，其中内核代码的完整性受到专有虚拟机管理程序的保护。任何试图写入内核代码或任何可能导致重大系统更改的机器寄存器的尝试都会被拦截和拒绝。

让这个问题变得特别麻烦的是 AMD 开发了一种名为 XOM 的自定义硬件缓解措施。在大多数其他设备上，如果你可以执行代码，那么你也能读取它。然而在 PS5 上，尝试读取可执行代码将导致崩溃。这种保护是在 CPU 级别强制执行的，我们不能简单地用内核漏洞关闭它，因为虚拟机管理程序会拦截相关寄存器并阻止禁用它。无法转储内核代码是逆向PS5 操作系统的一大障碍。

鉴于研究控制台安全性的法律和道德复杂性，特别是在 DRM 和知识产权方面，您如何平衡进步知识和尊重供应商的权利？

在进行主机研究时，这始终是一个棘手的问题。为了运行自定义代码，我们在现有系统内工作，添加自己的密钥来解密我们自己的内容，而不会破坏现有内容的许可。我们只研究逆转系统所需的内容，并避免与许可相关的代码。

展望未来，您认为游戏机的安全模型将如何发展？是否存在特定威胁或新兴技术将影响游戏机领域硬件安全的未来？

我认为过去十年的经验表明，我们需要多个安全层，不能再将安全仅仅寄托在内核上。我认为，未来安全模型将不断发展，包括更多安全协处理器和硬件支持的缓解层。

在这方面，iPhone 是一个很棒的产品。它可能是目前地球上最难利用的目标。他们在这方面的成功很大程度上来自于部署了多个安全层和协处理器，即使在应用程序和内核受到攻击的情况下也能保护系统完整性。