新一代的汽車非常複雜。現今的車輛採用數百萬行的程式碼和數十種處理器、控制器和感應器，產生龐大的資料量，內容之多堪比一座資料中心。但與資料中心不同的是，車輛會四處移動，而且必須保障所有用路人的安全。車主希望連網方式直覺化、個人化和簡單好用，不只駕駛受惠，也要讓所有乘客都能享受。車輛已經成為大規模互連的移動型「資料中心」，所有寶貴的資料，都必須以安全可靠的方式管理和分析。

沒有防護，就沒有安全

圖1 : 車輛已成為大規模互連的移動型「資料中心」，所有資料都必須以安全可靠的方式管理和分析。

駕駛人和乘客的乘車體驗重點，包括抬頭顯示器、數位儀表板、車載資通訊系統、導航、媒體播放器、語音和資料通訊，而正是這些駕駛資訊系統 （Driver Information Systems, DIS） 的「酷炫功能」，讓行車體驗便利而有趣。但是另一方面，這些應用的連線功能，也為車輛帶來潛在的安全漏洞。因此，為了確保安全，我們需要嵌入式處理器，利用其內建的強大防禦機制，防禦已知的威脅。

我們也需要能夠更新無線韌體的系統，藉以修補所有安全漏洞，並防禦新發現的攻擊機制。

在資訊娛樂處理器產業，恩智浦的 i.MX 系列應用處理器支援所有類型的 DIS 應用。恩智浦 2016 年 10 月在底特律發表的 i.MX 8 和 8X 最新系列，採用四點分層式機制，提供全方位的安全保護，涵蓋硬體到通訊鏈的整個系統。

圖2 : 分層式防禦機制

這項分層式防禦機制的四個組成部分包括

1.SECO：一種獨立、專屬的硬體安全模組（Hardware Security Module；HSM），用於加密、驗證、監控和回應。

2.防止物理性篡改 （電壓、溫度、電源） 的硬體保護機制

3.適用同時並行的多重作業系統的信任根機制，從開機到執行期間均提供完善保護

4.處理器內建硬體防火牆網域，用以維持服務的資料與記憶體完整性

SECO機制

SECO安全控制器 （SEcurity COntroller） 是一種獨立的專屬硬體安全模組 （HSM）。作為系統的信任根，其功能不侷限於金鑰管理，也用於驗證、監控和鎖住系統的控制器韌體。針對車用電子控制單元 （ECU） 的交互運作能力，SECO 執行安全硬體延伸協定 （SHE/SHE+） 的無快閃記憶體版本，完全符合「EVITA Full」 HSM 規格的功能性目標。SECO 配備高品質的可驗證隨機亂數產生器，支援所有必要的 AES 加密模式，包括 CMAC、ECB、CBC 與 Miyaguchi Preneel。

SECO 為韌體型態，演算法具備靈活性，可隨安全需求增加而擴充，能確保韌體版本即時更新，以避免使用過時或風險較高的韌體。SECO 短小精悍！若採用 P-256 曲線，SECO 每秒可進行約 750 筆的 ECDSA 簽章驗證；若為 SHA 引擎，傳輸量速率約為 2 Gbps；而 AES 引擎則約 1 Gbps。

防止物理性攻擊的硬體保護

i.MX 8 和 8X 的保護機制可防禦最常見的駭客攻擊手法：調控處理器的電源、電壓和熱環境，藉此竊取機密。只要「微調」電源輸入，就能導致未受保護的處理器故障，即使是獨立的 HSM，也會門戶洞開。低電壓攻擊會導致處理器運作電壓不足，企圖藉此破壞處理器的穩定性，從中產生漏洞。溫度也可以用來攻擊，處理器溫度一旦超過容許範圍，就處於易受攻擊的狀態。i.MX 8 和 8X 的保護機制可透過持續監控、刪除安全金鑰 （zero-izable memories；「可歸零記憶體」）、中止處理器的操作功能 （Bricking；「變磚」） 等方式來回應攻擊，進而預防這類物理性篡改事件。

多個平台，一顆晶片

由單一處理器執行多重作業系統，已成為現代汽車設計中的常態，卻也為設計人員帶來更大的安全挑戰。抬頭顯示器 （HUD） 和數位儀表板系統需要高比例的正常運作時間，才能提供關鍵資訊、進行導航並操作媒體系統，因此這些裝置強調應用程式和網路的存取能力，以及個人化的使用體驗。每套系統因功能而異，各需不同的作業系統環境，且均由單一處理器執行。i.MX 8採行完整的晶片虛擬化功能，以安全地執行功能豐富的多重作業系統，同時建置了強化的隔離 Cortex M4 網域，用於執行即時作業系統 （RTOS） 功能，例如 CAN 通訊和後視攝影機系統。為了避免作業系統互相干擾而產生漏洞遭駭客利用，這些系統已是不可或缺的配備。

防火牆網域分區是關鍵所在

i.MX 8 和 8X 應用處理器具備豐富的功能與特色，可提供優異效能與彈性，帶來絕佳的駕駛體驗。要實現這些體驗，前提在於多個獨立的作業系統，而且需要足夠的彈性，足以容納新的應用程式和升級功能，透過無線方式 （over-the-air；OTA） 提升上述體驗。 為了保護和隔離這些同時並行的軟體，i.MX 8 和 8X 利用防火牆網域分區系統，允許不同軟體各別運作，與系統其餘部分有效隔離。防火牆網域分區是硬體型態的私有匯流排和權限集，系統軟體無法存取。這項機制可與 SECO 搭配使用，提供最多 16 個隔離環境，處理器硬體模塊及相關記憶體儲存區均可置於其中，並監控系統的異常活動。例如，OTA 升級可以在防火牆中進行沙盒測試，並在主核心、GPU 和通訊埠上執行。系統會監看 OTA 軟體的執行狀況，如果軟體異常存取晶片的其他部分 （例如乙太網路通訊埠），可能表示挾帶惡意或故障的酬載程式碼，系統將不會接受該 OTA 軟體的要求。

大規模互連的移動型「資料中心」需要強大的安全性。i.MX 8/8X 的四層防禦機制組合，為現代化車輛的駕駛資訊系統提供安全保障。

（本文作者Kyle Fox為恩智浦半導體i.MX 8 應用處理器產品經理）