自 2017 年第一屆 Hack@DAC 駭客競賽以來，數千名安全工程師協助發現基於硬體的漏洞、開發緩解方法並對發現的問題進行根本原因分析。
英特爾首席工程師兼攻擊性安全研究員Arun Kanuparthi 表示，英特爾最初決定組織這項競賽，吸引來自世界各地學術界和產業夥伴的安全專業人士，以提高人們對基於硬體的漏洞的認識，並促進對更多重檢測工具的需求。他說，Hack@DAC、奪旗競賽和其他黑客馬拉松背後的另一個目標是吸引晶片設計人員的注意力，激勵他們更安全地設計晶片。
Kanuparthi 表示：「總體而言，人們對硬體安全弱點的認識很少。」他在最近於新加坡舉行的 Black Hat Asia 會議上談到了英特爾從多年來運行 Hack@DAC 中學到的經驗教訓。 “我們真的想，我們如何才能在安全研究社區中獲得這種認識？”
「如果你看一下軟體，你會發現有很多軟體或韌體的安全工具，但如果你看一下硬件，你會發現實際上只有少數 EDA 或電子設計自動化工具，」Kanuparthi 說。
此類活動可以有效地將人們聚集在一起尋找漏洞並分享他們的知識。 CTF 是用於教授和學習新技能和最佳實踐的既定方法。卡努帕蒂表示，英特爾也認為，讓學生「體驗在設計公司擔任安全研究員的感受」非常重要。
英特爾現正接受 2024 年 Hack@DAC 的參賽作品，該活動將於 XNUMX 月在舊金山舉行。
解決難題
英特爾進攻性安全研究首席工程師 Hareesh Khattri 表示，當英特爾首次組織 Hack@DAC 時，還沒有用於發現或共享硬體漏洞資訊的標準設計或開源平台。隨著英特爾與德州農工大學和德國達姆施塔特工業大學的合作，這種情況發生了變化。教授和學生們採用了開源項目，並插入了現有的硬體漏洞，以創建一個通用框架來檢測它們和新的漏洞。
「現在很多硬體安全研究論文也開始引用這項工作，」卡特里說。
2020 年，英特爾與其他半導體製造商一起與 MITRE 保持一致 常見弱點枚舉 (CWE) 團隊，列出並分類軟體、硬體和韌體中的潛在漏洞，以更加關注硬體。 Kanuparthi 回憶道，這是為了彌補差距，因為 MITRE 只維護了軟體弱點類型，而 CWE 未能解決硬體漏洞的根本原因分析。
「如果發現硬體問題，[CWE] 將被標記為某種通用的包羅萬象的[警報]，表明存在問題或系統無法按預期工作，」Kanuparthi 說。 「但現在有一個硬體設計視圖，你可以從根本上看出這就是問題所在。這很大程度上是我們一直在做的一些工作的成果，這些工作導致了黑客攻擊和混合 CWE 的創建。
Khattri 補充道，隨著半導體製造商加速關注增加可支援新人工智慧功能的設計，安全研究人員正在尋找更接近硬體設計的弱點。這加速了人們對谷歌貢獻的新努力的興趣 開放泰坦項目，用於保護信任根 RoT 晶片的開源參考設計和整合指南。
Khattri 表示，Hack@DAC 背後的努力以及英特爾與 MITRE 在 CWE 上的合作帶來了工具的改進。例如，硬體漏洞評估工具提供者 Cycuity（使用 OpenTitan 作為其工具衡量 CWE 的基準）聲稱 其 Radix 現在可以識別 CWE 資料庫中 80% 的已知硬體弱點。
「與剛開始時相比，我們在這個領域看到了很大的進展，」卡特里說。 “現在，許多安全研究社區的重點已經轉向試圖找出更接近硬體設計的弱點。”
