美國國防部高級研究計劃局（簡稱DARPA）認(rèn)為，硬件設(shè)計錯誤會帶來太多漏洞，因此DARPA希望專家和研究員提出更好的硬件級安全機(jī)制。

在硬件的開發(fā)和設(shè)計階段融入“固有安全性”（Baked-in Security）是一個棘手的問題，因?yàn)檫@也有可能使芯片存在固有漏洞。

例如，SGX是英特爾在其微處理器中引入的一個隔離機(jī)制，用來保護(hù)代碼和數(shù)據(jù)免遭修改或泄漏，但被研究人員打造出了可攻陷英特爾SGX硬件安全保護(hù)的概念認(rèn)證。

而DARPA希望提出比“補(bǔ)丁和祈禱”軟件安全更好的方式，畢竟打補(bǔ)丁也可能會出現(xiàn)問題。

為此，DARPA將于4月21日舉辦“硬件和固件系統(tǒng)安全集成提案日”，以形成SSITH（Proposers Day for its System Security Integrated Through Hardware and Firmware）計劃。DARPA希望通過該計劃為國防部和商業(yè)系統(tǒng)提供防止硬件安全漏洞的硬件設(shè)計工具。

SSITH該計劃中，DARPA尤感興趣的是 “CVE常見缺陷列表”，即適用于硬件，但能通過軟件利用的7個漏洞分類。DARPA認(rèn)為這類硬件漏洞占當(dāng)前已知攻擊的40%。這些漏洞分類包括權(quán)限/特權(quán)錯誤、緩沖區(qū)錯誤、資源管理、信息泄漏、數(shù)字錯誤、加密錯誤和代碼注入漏洞。

該計劃由DARPA微系統(tǒng)技術(shù)辦公室的林頓·薩爾蒙管理。薩爾蒙在公告中表示，為硬件漏洞打軟件補(bǔ)丁還不夠。還需要通過SSITH計劃消除大部分軟件攻擊的方式去除這些硬件漏洞。

SSITH計劃為期39個月，其內(nèi)容包括：硬件架構(gòu)的開發(fā)與演示，衡量新硬件設(shè)計安全的技術(shù)，包括權(quán)衡性能、功效和電路面積等內(nèi)容。