感測系統連上線 邊緣智慧謢IIoT節點安全

IoT 系統攻擊事件屢屢登上媒體頭條，不斷揭示網路、邊緣節點、以及閘道器存在的安全漏洞。最近的Mirai彊屍網路病毒感測超過250萬個物聯網節點，利用預設密碼從未變更的漏洞，伺機登入這些執行telnet伺服器的裝置¹ 。Mirai之後還能發起阻斷服務攻擊，使得全球很大比例的伺服器網路存取被迫中斷。Reaper彊屍網路利用軟體存在的防禦漏洞藉此將自己傳染到這些軟體，攻擊超過100萬個物聯網裝置。一個連網魚缸就能讓駭客入侵到賭場的網路，趁機竊取10 GB的資料。許多駭客更會利用智慧電視從事刺探與監視的活動。

嵌入式感測器系統最近才開始搭載連網功能，其存取門戶也開始曝露在網際網路中。作為工業物聯網(IIoT)的一部分，這些感測器少了網路伺服器過去20年在充斥攻擊的環境中所經歷的演化。因此業界開始觀察到1990年代以及更早之前各種常見的攻擊發生在這些系統上。IIoT系統的生命週期通常比傳統電腦還要長，有些裝置在部署後會持續運行數十年之久，但卻不知道何時才會維護。

伺服器與PC的構造夠複雜，能執行安全資源供應的動作，反觀IIoT節點其功耗和處理能力通常都偏低，因此很難騰出耗電預算來執行安全措施。維安本身就是一種取捨，而且還須考量研發成本。雖然工業物聯網的成本一般都高於消費型物聯網，但在進行擴充方面仍會面臨成本方面的挑戰。如果忽視安全，產品在部署之後可能因遭受攻擊面臨潛在的衝擊，這些善後成本最終還是會回到用戶身上，無法避免。

感測器與致動器讓工業物聯網裝置能和現實世界進行互動。網路攻擊大多數侷限於資料流失，然而工業物聯網入侵攻擊手段讓駭客比過去更容易滲透到現實世界領域。這些攻擊有可能造成實體的損害。在工業物聯網領域更為顯著，一次故障就可能導致價值數百萬美元的工業製程停擺甚至毀壞，或是導致危及性命的狀況。

更互聯的世界

工業物聯網裝置大多連到某種網路，通常會是網際網路。然而這樣的連結卻也讓它們曝露在攻擊的風險下，就像流行病一樣，藉由和其他機器的接觸發生傳染，使病毒得以散播。系統和外部世界進行互動的途徑，都可能成為攻擊的門路。攻擊者之所以能和系統互動，都是因為它們有連網的管道。因此系統設計安全面臨的第一個問題就是:裝置是否真的有必要連上網路? 一旦連上網路，安全風險就會直線攀高。

要保護好系統，最好的方法就是避免讓它連到網路，或限制僅連到封閉式網路。許多工業物聯網裝置會連上網路，僅是因為它們具備上網功能，但上網的背後卻沒有太多目的。裝置連網獲得的利益是否抵得過伴隨而來的安全風險?此外，任何和這些連網裝置有互動的舊系統，也都會面臨風險。

在許多情況下，有很多網路與節點若是沒有和外部連結就能確保安全無虞，但它們卻有必要和舊的既有網路互通並存，不過這些舊網路本身的安全性卻遠不及新系統。這衍生出一個新問題，這種防禦力最弱的安全風險，超出工業物聯網系統能夠影響的範圍之外。在這種情況中，處在網路中的工業物聯網系統還必須保護自己。

節點的安全考量因素:²

• 機密性 – 保護資料不會洩露給未經授權的人士，例如發動欺騙式攻擊的人士
• 鑑別 – 使用數位憑證檢驗兩部機器之間的對應身分
• 安全開機 – ROM開機程式內存放第二階段開機載入程式的驗證資料
• 安全韌體更新 – 只接受製造商授權的程式碼
• 授權 – 只允許真正節點能存取網路
• 完整性 – 保護資料免於被變更
• 統計 – 適當地統計資料、節點數量、以及時戳，有助於防止有人人力存取IIoT網路
• 安全通訊 – 各種加密通訊協定能建置於低功耗節點內
• 可用性 – 確保使用者只在有需要時進行存取
• 不可拒絕 – 確保真實的通訊要求不能被拒絕
• 可靠 – 即使在充斥干擾的電子環境，存取作業仍然可靠
/

 

 

 

隔離

將各系統彼此隔離開來，不僅能減少攻擊的門路，還能限制惡意程式的傳播。有些系統不需要和其他曝露在網路的系統進行連結，那麼這些系統就能被隔離。針對高風險系統，可以考慮設定單獨隔開或嚴密監視的網路，並將該網路和其他網路隔開。在理想的狀況下，關鍵系統應和外界完全隔離開來³

連網汽車的資訊娛樂系統會讓車輛曝露在許多從未見過的新型攻擊手法之下。主引擎控制單元(ECU)和資訊娛樂系統完全沒有關連，因此外界應該沒有途徑透過資訊娛樂系統來和ECU進行互動。雖然一般車輛的設計會用兩個CAN匯流排將最關鍵的系統和其他部分隔離開來，但還是有辦法透過某些方法進行連結。外界仍有可能滲透其中一者，然後再取得另一個系統的控制權。如果這些網路之間徹底隔離，被滲透的風險就能從可能致命大幅降低至較低的損壞程度。

 

 

 

轉移至網路邊緣

許多工業物聯網系統會連接到雲端伺服器，這些伺服器除了會處理從裝置送來的資訊，還會管理這些裝置。由於裝置數量持續擴增，雲端需要應付如此龐大裝置也變得越來越吃力。於是許多系統開始將處理工作向外移到網路邊緣的IIoT裝置，藉以減少送至雲端的資料流量。

我們通常將資料看作是資產。資料經過挖掘後移轉，之後再從龐大的資料集中找出隱藏其中的模式。不過，一開始蒐集但尚未處理的資料，通常其用處並不大，但對於駭客而言，這些資料卻相當有用。敏感資料會成為駭客的目標，因而變成一種負擔。蒐集來的資料應先加以過濾，而僅留下有需要的部分，其餘的部分則應該儘速刪除。這種作法不僅能提高安全，還會增加收集資料的實用性。重要的是，需辨識可能具機密性的資訊，並徹底刪除或限制其儲存量。

在網路邊緣立即處理資料，傳送到雲端與暴露在雲端上的資料其數量就會減少。邊緣產生的資料傳送得越多，就越難保持其機密性。每多出一個新節點，就會多出一個資料外流的潛在漏洞，攻擊門路也會隨之快速增加。

將敏感的資料侷限在網路邊緣能限制攻擊門路的數量，機密資料尤其適用。如果將機密資料圍堵在網路邊緣節點不外傳，被竊取的可能性就會降低。舉停車位感測器為例，它在處理影像後會透過一個二進位訊號通報車位已被佔用，而不會回傳串流視訊，如此就不必傳送龐大但沒有必要的影像資料。這種作法能減輕接收伺服器的負荷，而且駭客也無法藉由截收視訊的方式進行監視。

類似於消費型物聯網系統，工業物聯網系統也必須保存涉及專利以及機密性的資訊，其中包括:

• 專利演算法
• 嵌入式韌體
• 顧客資訊
• 金融資訊
• 資產位置
• 設備使用模式
• 涉及競爭的情報
• 連接至更大規模網路的管道

邁向fog模式

有些工業物聯網裝置仍缺乏足夠的威力與效能，無法應付在網路邊緣處理資料的需求。於是另一種拓撲就應運而生，這就是貼近地面的fog模式，其為介於雲端與邊緣系統之間的模式。在fog模式中，邊緣節點會先連結到閘道器，這個閘道器會接收資料並進行一些處理作業，然後將結果傳到雲端。一部閘道器可能連結多部IIoT裝置。這種閘道器並不一定要採電池供電方式，因此在處理電力方面有更高的用電預算，而其成本也高於資源受限的IIoT裝置。

fog模式雖然是因擴充問題而崛起，但安全也扮演一定的角色。閘道器裝置能協助保護脆弱的邊緣節點，這些節點資源過於有限無法自我防護，但一定層度的保護總勝過完全不設防。閘道器可用來協助管理底下的所有節點，但不是直接管理每個節點。fog模式也能配合IIoT的事件回應，同時避免服務受到干擾而中斷。舉例來說，維安作業可透過和閘道器的互動做出反應，無須關掉負責關鍵任務的生產線。

資源供應與部署

工業物聯網最嚴峻的挑戰中，包括部署與管理數量極龐大的裝置。廣佈各處的工業物聯網系統，最為人詬病的，就是難以佈建與設定。再加上IIoT極長的生命週期，系統由某個團隊佈建後，經過長年的運作，然後可能轉由另一個團隊負責支援。

IIoT系統在預設狀態下由於驗證機制薄弱，因此安全性欠佳。正如我們在Mirai彊屍網路所看到的情況，大多數使用者從來不會登入到工業物聯網裝置去設定它們，甚至根本不知道應該進行設定。大多數IIoT使用者都以為裝置拆箱後就能立即上線使用，系統在預設狀態下原本就應安全無虞。這類應該進行設定但使用者從未執行設定的裝置，就從此維持在出廠時的預測狀態。最常見的錯誤就是防護力極弱的預設密碼。

網路安全

在工業物聯網領域，網路邊緣得到最多的關注，但千萬不可忽略雲端或是系統中的伺服器。針對伺服器常見漏洞進行測試，像是跨站點的描述指令，SQL注入攻擊、跨站點偽冒等，另外還得研究API找出漏洞，確保在伺服器上運行的軟體都能及時安裝修補程式。

在網路上傳輸的資料必須妥善保護，否則就可能被攔截並進行惡意的竄改。應採用如TLS或SSH這類安全譯密通訊協定來保護傳送資料。在理想狀態下，資料應受到端對端的全程保護。

工業物聯網的邊界通常很模糊。IIoT感測器節點通常四處分散在網路的邊界。一般的作法是透過一個固定式閘道器，作為進入更大規模工業網路的入口4。針對這些連至網路的裝置執行適當的身分驗證，有助於防範惡意第三方竄改傳送中的資料。

要保護網路傳輸資料，涉及到使用安全通訊協定。最好的作法應採用已知安全無虞的標準通訊協定。我們可利用IEEE 802.1AE MACsec在乙太網路LAN提供安全機制。無線區域網路面臨的風險比較高，因為它們更容易被存取且訊號四處傳播。WPA2能為遵循IEEE 802.11標準的無線網路提供安全機制。無線IIoT解決方案通常採用低功耗IEEE 802.15.4標準，此標準本身就提供全套安全通訊協定。然而這些都屬於Layer 2通訊協定，而且僅針對區域網路內的傳輸流量提供保護。

受保護的流量必須轉送到LAN以外的環境，像是透過網際網路轉送，因此需要更高層的通訊協定來提供端至端全面覆蓋的安全性。一般都會運用TLS來保護網際網路上的流量，以及提供端對端的安全防護。TLS採用的是TCP技術，而許多物聯網裝置則是採用UDP協定進行通訊，另外常用的還有DTLS(資料元傳輸層安全)，則是透過UDP協定傳送資料。物聯網裝置在供電與記憶體方面受到限制，但大多數受限制的應用僅須簡單的步驟就能建置TLS。即使條件更為受限的裝置，IETF也已著手為其制定名為受限應用通訊協定(CoAP)的新通訊協定。

端點安全

保護傳送中的資料不僅重要而且必要，但許多攻擊行動卻更常鎖定端點裝置。連至網路的介面必須加強防禦以彌補各種防禦缺口。IIoT防禦其中一種作法，是直接在感測器節點裝置建構防護機制。這種方式提供第一層關鍵防線，因為裝置不再依賴企業防火牆作為其唯一的保護機制。這對企業行動裝置以及部署在偏遠位置的IIoT感測器尤其重要。

IIoT裝置的安全解決方案必須提供足夠的保護，以抵禦各種網路攻擊。這類解決方案除了必須確保裝置韌體不會被竄改，還得能保護裝置內儲存的資料; 保護傳入與傳出的通訊; 以及能偵測與回報任何嘗試滲透的網路駭客5 。而能達成上述目標的方法，就是在設計初期階段便納入安全規劃。

 

 

 

對於嵌入式裝置而言，永遠不會有萬用式的安全解決方案。市面上的解決方案為OEM廠商提供泛用式框架。然而，完整的安全框架必須考量保護特定裝置、網路、以及整個系統所需的各項核心功能。它們必須具備足夠的彈性，除了針對任何特定需求對解決方案進行客制化設計，同時還要確保納入關鍵的安全功能。

高壓蒸氣滅菌鍋的自動化模式

在醫療領域中，手術工具的消毒至關重要，除了讓工具能重複使用，還能避免傳播疾病。高壓蒸氣滅菌鍋是消毒的標準器材，它在高壓環境中透過超高溫蒸氣快速對手術器具進行消毒，藉此消滅所有細菌，讓器材回復到良好狀態。外科醫生用過的手術刀經過這樣的消毒程序後即可重複使用。

系統被滲透之後回復到已知良好狀態，這要比讓系統能抵禦所有攻擊還更為重要。具備復原能力的系統能快速復原，並且在充分信心的狀態下回復運行。

系統一旦被感染後，如何要消除感染?當系統被感染時，系統的狀態會經由一些不明方式被變更。從遠端發動的滲透會掌控處理器，然後將新的惡意程式碼置入到系統。通常惡意程式碼會竄改或更換韌體，讓系統以不同的方式運作。一旦發生這種狀況，處理器就不再能被信任。

嵌入式系統通常設計成難以從被滲透的狀態進行可靠的復原。要對系統消毒，並確定系統徹底無害，唯一的方法就是將所有非揮發性記憶體內的資料複製到外部讀取裝置，之後再和原始韌體的內容進行比對驗證，如果確定沒有被竄改，再以原始內容寫入。大多數系統的設計，都無法具備上述的功能。

其中一種保護系統完整性的方法，就是以機器開關的物理方式為非揮發性記憶體提供寫入保護。當開關切換至防寫保護模式，記憶體就透過硬體提供物理性的保護。記憶體的控制力移出到處理器以外，如此一來駭客如果無法實體接觸到裝置就無法從遠端將長駐型(permanent)惡意程式碼寫到記憶體。對於只能透過網際網路連到裝置但卻無法實際接觸到裝置的駭客而言，上述這種方法能擋掉大多數這類型駭客一段很長的時日。韌體更新通常很久才會執行一次。當需要更新韌體時，使用者可以將開關切至允許寫入記憶體模式，授權更新程序，當完成更新後馬上再切換至防寫模式。

 

 

 

許多裝置還會用非揮發性記憶體來儲存需要覆寫的資料。在高度安全的系統中，會用另一個非揮發性記憶體晶片來儲存資料，但不會存放程式。雖然駭客可能會攻入系統，將惡意資料寫入這個記憶體，並利用軟體的bug，因此系統應事先進行徹底分析與測試，不論記憶體內存放什麼資料，系統都不會被攻破。加裝額外的記憶體晶片會提高成本 – 不過市面上已有某些快閃記憶體允許用戶將某些區域設為防止寫入，其餘區域仍允許寫入資料。

安全開機

安全開機能防止未經授權的軟體在裝置開機程序中被載入到裝置。安全開機是信任鏈的起點。安全開機一開始是第一階段開機程序(bootloader)，從節點的唯讀式非揮發性記憶體啟動。這個開機時序唯一工作就是驗證第二階段開機程序的身分真實性。第二階段開機程序通常較為複雜，可能儲存在可覆寫快閃記憶體，重複執行開機程序6。它會根據可信任來源驗證作業系統與被載入的程式是否有效。

具備安全開機與安全韌體更新功能的IIoT節點，可確保裝置運行經授權的程式碼不會被竄改或注入惡意程式碼，這種方式可避免裝置被永久置入惡意軟體或程式。裝置只會運行未經竄改的程式，否則就無法開機。

安全開機程序通常依賴數位簽章來保護程式碼的真實性。裝置OEM廠商在組裝時會使用自己的私有密鑰來簽署程式碼映像。程式碼之後再利用OEM廠商的公開密鑰驗證韌體映像的簽章。

另外程式碼還會運用對稱式譯密機制，用訊息鑑別碼(MAC)來保護程式碼，不過裝置內必須存放私有密鑰，但這也會衍生被竊取的風險。就運算方面而言，使用MAC是比較容易的方法。

雖然安全開機能增進安全，但有時也會對終端使用者形成過多限制，因為它會讓使用者無法變更在裝置上執行的軟體，或是無法執行自己的軟體。依照應用的不同，使用者可能需要更多彈性，以及能夠設定保護開機的方式，使其能信任自己的程式碼。

安全韌體更新，類似安全開機，在升級程序時會驗證新程式碼映像是否由OEM廠商簽署。如果下載的映像無效，程式碼就會被棄置，升級程序就會中止。這種更新程序只會接受有效的映像，通過鑑別的韌體會儲存到裝置的記憶體。

假設防禦漏洞終究會被發現，那麼事先應擬好計畫，設定好一旦發現或不幸被滲透時該如何解決這些漏洞。通常需要一個途徑讓軟體更新或修補程式能安裝到裝置，藉以修補漏洞。更新程序需要妥善執行，避免成為另一個攻擊門路，讓駭客藉此將惡意程式碼裝入到裝置。只是為了安裝修補程式讓外界能透過網路存取裝置，其衍生出的風險往往多過規避掉的風險。

安全通訊

大多數工程師將安全聯想到通訊協定，像是SSL/TLS、SSH、以及IPsec，因為安全通訊早已被加入到許多嵌入式裝置。然而，這只是安全威脅的其中一部分，其他攻擊門路還會提供新的滲透途徑。許多IIoT感測器節點會在低功耗組態下運行，然而這類低功耗處理器並無法支援最佳選項，像是TLS或IPSec。對於建構安全裝置而言，安全通訊協定提供一個很好的起點7。它們設計用來防範封包竊聽、中間人攻擊、重送攻擊(replay attacks)、以及未經授權人士嘗試與節點通訊。

小型IIoT邊緣感測器裝置通常採用如ZigBee、藍牙低功耗 (BLE)、以及其他無線與網狀拓撲的無線網路通訊協定。這些通訊協定都內建一定程度的安全性，但相對而言其防護力都偏弱。許多漏洞都公諸於世，老練的駭客都瞭若指掌。微型IIoT裝置通常使用極低成本的低功耗處理器，而這類處理器並不支援TLS或IPSec。對於小型邊緣裝置而言，在UDP協定上運行TLS的DTLS，可用來保護通訊。

物理安全

物理攻擊鎖定的是實際的網路邊緣硬體節點或IIoT系統的閘道器，這類攻擊可能包含入侵前端感測器。這些攻擊通常需要實際接觸系統，但也可能只是限制IIoT硬體的效率。駭客會竄改節點，藉以控制感測器或IIoT環境的其他裝置。得手後他們可能取出機密資料，並從來源端將韌體程式碼寫入到系統。運用注入惡意節點的策略，駭客可將惡意節點部署在合法節點之中，混入到IIoT網路內⁸

為協助防範這些攻擊，許多硬體在設計階段就預作防備。透過前導裝置、外露銅導孔、或未使用接頭，就能讓任何人輕鬆進行實體探測，這類的設計應盡可能少用甚至完全棄用。硬體表面上的網版印刷經常會列出元件的詳細資訊，讓潛在駭客獲得更多訊息，因此若非真的有必要，否則就應移除。雖然這會增加系統複雜度，但符合工業規範的塗層不僅會阻隔硬體與元件的接觸，也會增加額外的步驟，防止他人直接探測電路板上的電子元件。

任何嵌入式非揮發性記憶體的內容都應進行加密，以及對元件內的內容進行覆寫保護。微控制器與DSP裝置之間的介面應設在PCB的埋入式電路層內。即使需要檢索嵌入式記憶體的內容，經過加密與驗證程序的資料，也會讓外流的內容無法被解讀。

製造商通常會在硬體加入除錯或測試埠。這些埠通常是串列或JTAG，能包;存取與控制大多數系統。應確保這些連結埠在生產時關閉功能或加上保護，因為光是不要預留除錯接頭(debug headers)還不夠，不怕麻煩的人可以自行在針腳焊上連結點。如果需要在生產裝置時保留這些介面，就須先對這些介面進行驗證才允許使用。它們應設有密碼保護，但也要確保讓使用者能設定高防護力的密碼。

亂數產生器

譯密功能通常需要某種類型的亂數產生器(RNG)。需要透過隨機亂數讓生產的密鑰難以預測，或是永遠不會重複。由於缺少資源與無序狀態的熵(entropy)，因此對於資源有限的嵌入式系統而言，要生成亂數都會是極大的挑戰。

許多嵌入式系統面臨無序性(熵)過低的問題，這可能會導致災難性的滲透，像是台灣國民ID智慧卡。研究人士發現由於缺少無序性，許多智慧卡會從相同數字產生有關連性的密鑰。因此，儘管有使用強大的亂數產生器，外界還是能破解密碼9。類似的狀況，在2012年，研究人員發現公開密鑰伺服器發布的RSA金鑰使用防禦力過弱的亂數產生器，導致他人有辦法破解密碼¹⁰

要驗證RNG的強度，其難度很高甚至幾乎不可能。以往的RNG設計都極具特殊性，外界對其瞭解甚少。不過近幾年來，各界對強健譯密的亂數產生器的設計以及正式分析，已經累積相當的進展。

目前健全的RNG設計通常有三個階段。包括一個熵來源提供原始熵(raw entropy); 一個熵擷取器(entropy extractor)讓熵呈現均勻分佈; 以及擴充階段，擴充小量可用的熵。

第一階段是熵來源，可能是一些實體雜訊來源，像是時脈抖動或熱雜訊。某些處理器，像是ADI Blackfin^® DSP，能為硬體提供亂數產生器，可用來產生熵。

用來譯密的亂數必須在統計上呈現均勻的分佈。所有熵來源的偏差(bias)量必須一致，而且在進行譯密應用之前還必須消除這個偏差。方法是使用一個熵擷取器，用高熵(high entropy)取得非均勻分佈的輸入，然後產生高熵的均勻分佈輸出。但這種方法的代價是一定程度的熵損失(entropy loss)，因為熵擷取器需要熵的輸入高過輸出。因此就得從熵來源蒐集更多位元，然後萃取出較小的高熵數字，用來作為種子，輸入到譯密安全的虛擬亂數產生器^{11, 12}

利用瑕疵發動滲透

幾乎所有IIoT節點都必須配合某種類型的嵌入式韌體或演算法一起運行。就功能上而言，在執行要求時如果若沒有出現明顯的問題，這種韌體就能順利運行。但所有軟體總是會存在一定的bug或缺陷，因此通常會允許小比例的異常運行狀況，但這類狀況可能導致安全上的問題。舉例來說，99.99%無錯率的韌體幾乎很少會造成任何運行上的問題。但這個僅0.01%的出錯率仍可能被駭客利用，讓特定節點的運作100%完全失效。許多軟體的bug因複雜度而起，然而對於任何執行實用任務的系統而言，複雜是必然的特性。軟體bug與漏洞在所有系統中都必定存在。

 

 

 

為安全進行設計

安全必須從系統設計一開始就納入考量。安全應該是設計流程的一部分，而不是專案最後才進行的工作。安全不是加入安全功能; 而是在於控管風險。安全設計方法對於任何IIoT系統開發而言都至關重要。

現有的安全設計策略仍然適用。運用威脅模型分析找出各種風險，然後選擇適合的風險抑制策略。找出系統的切入點，從而發掘系統中的高風險區域。大多數攻擊門路都是透過外部介面，因此應檢討設計內容發掘出安全漏洞。審慎處理未知資料與驗證所有輸入 – 驗證與安全防護不應侷限於切入點。深層防禦至關重要，意謂一旦外部防護層被攻破，其餘每個防護層都有其必要性

許多處理器提供不同層級的權限。像是ARM^® 擁有Trustzone 以及ADI Blackfin DSP 提供使用者層級的封閉模式以及特權執行模式。大多數程式碼應盡量以最低權限執行，藉以讓最重要的程式碼以特權模式執行。IIoT裝置的安全需求必須考量到安全失效的善後成本，像是攻擊的可能性、主要的攻擊門路、以及建置安全解決方案的成本。

總結

這些建議有許多不僅彼此衝突，甚至和系統的其他設計目標相互矛盾。提供安全通常涉及到某種取捨，通常是在成本、功能、以或是使用功能之間做取捨。有些取捨相當有效但代價卻甚低，但有些則是代價高昂但回報甚少。安全需求時須和設計的其他需求取得平衡點，在安全設計流程中應根據應用的性質做出適合的判斷。

為協助保護IIoT，ADI推出多款處理器，帶來硬體式安全強化機制，協助突破邊緣節點的功能極限。 ADF7023RF這款低功耗收發器提供內部AES加密功能，能使用ISM頻帶，並支援許多不同的調變機制。

ADuCM3029內的嵌入式收發器提供AES與SHA-256硬體加速機制以及一個真實亂數產生器，並配備有多重同位元(multiparity)保護功能的SRAM記憶體。ADSP-BF70X Blackfin 系列數位訊號處理器則針對安全密鑰儲存以及快速安全開機提供嵌入式一次程式化記憶體，提供高度保障，確保系統在被滲透後仍能回復至已知良好狀態。

Blackfin DSP內的回退(Rollback)保護機制配合硬體式的純遞增計數器，讓韌體能進行升級，在出現防禦漏洞時加以修補。再加上密鑰儲存的不可改變性，讓用戶能建構強固且具回復力的邊緣節點。此外，Blackfin DSP還提供譯密硬體加速器; 一個硬體式真實亂數產生器; 隔離的特權與非特權程式碼執行模式; 記憶體管理單元; 能限制DMA通道的存取，讓系統以低成本的平行模式運行省電且安全的DSP。

参考电路

¹ Mirai botnet leaked source code.

² Ross Yu. "Security and Reliability Are Key in Wireless Networks for Industrial IoT." Analog Devices, Inc., 2017.

³ Patrick Nelson. "Organizations Must Isolate IoT from Regular IT, Says Telco." Network World, March 2016.

⁴ Brian Girardi "Endpoint Security and the Internet of Things." CSO, 2017.

⁵ Tristan O'Gorman. "A Primer on IoT Security Risks." Security Intelligence, February 2017.

⁶ Abhijeet Rane. "IoT Security Starts with Secure Boot." Embedded Computing Design, January 2017.

⁷ Amitrajan Gantait, Ayan Mukherjee, and Joy Parta. "Securing IoT Devices and Gateways." IBM, May 2016.

⁸ Boaz Barak and Shai Halevi. "A Model and Architecture for Pseudo-Random Generation with Applications to /dev/random." Proceedings of the 12th ACM conference on Computer and communications security, November 2005.

⁹ Chen-Mou Chang, Daniel J. Bernstein, Chang, Li-Ping Chou, Nadia Heninger, Nicko van Sormersen, Tanja Lange, and Yun-An Chang. "Factoring RSA Keys from Certified Smart Cards: Coppersmith in the Wild." Springer, 2013.

¹⁰ Arjen K. Lenstra, Christopher Wachter, James P. Hughes, Joppe W. Bos, Maxine Augier, and Thorsten Kliengun. "Ron Was Wrong. Whit Is Right." Cryptology ePrint Archive, Report 2012/064, 2012.

¹¹ Boaz Barak, Eran Tromer, and Ronen Shaltiel. "True Random Number Generators Secure in a Changing Environment." Springer, 2003.

¹² Boaz Barak, François-Xavier Standaert, Hugo Krawczyk, Krzysztof Pietrzak, Olivier Pereira, Yevgeniy Dodis, and Yu Yu. "Leftover Hash Lemma, Revisited." 31^st Annual Conference on Advances in Cryptology, August 2011.