Bảo Mật Firmware IoT: Secure Boot & Khóa Mã Hóa

Bảo mật firmware là việc xây dựng “Gốc rễ tin cậy phần cứng” (Hardware Root of Trust) ngay bên trong chip vi điều khiển, đảm bảo chỉ có firmware hợp pháp được ký bằng khóa bí mật của nhà sản xuất mới được phép thực thi, đồng thời dữ liệu lưu trên chip nhớ ngoài hoàn toàn không thể đọc hiểu nếu bị trích xuất.

[Kẻ tấn công tiếp cận bo mạch vật lý]
                  │
  ┌───────────────┼────────────────────────┐
  ▼               ▼                        ▼
[Đo chân Debug] [Bóc chip Flash SPI]    [Giả mạo gói OTA]
  (JTAG/SWD)      (Đọc file Hex thô)      (Nạp code độc hại)
  │               │                        │
  ▼               ▼                        ▼
[VÔ HIỆU HÓA]   [GIẢI MÃ THẤT BẠI]      [CHẶN TỪ BOOTLOADER]
Khóa vĩnh viễn  Mã hóa AES phần cứng     Chữ ký RSA/ECDSA
bằng eFuse OTP  khóa nằm trong chip      không khớp khóa công khai

3 Con đường tấn công vật lý phổ biến nhất:
1. Trích xuất mã qua cổng nạp/debug (JTAG / SWD / UART): Kẻ tấn công cắm mạch nạp (J-Link, ST-Link) vào các chân debug trên mạch để đọc trực tiếp nội dung bộ nhớ Flash và RAM.
2. Hút dữ liệu từ chip nhớ Flash ngoài (SPI Flash Dumping): Dùng máy khò nhiệt bóc chip Flash 8 chân ra khỏi bo mạch, đưa vào đầu đọc EEPROM để trích xuất sạch toàn bộ firmware, chứng chỉ SSL và mật khẩu Wi-Fi lưu bên trong.
3. Cập nhật firmware giả mạo qua đường OTA (Over-the-Air Attack): Bắt gói tin và đẩy một bản firmware đã chèn mã độc vào thiết bị thông qua mạng không dây nhằm biến thiết bị thành một điểm botnet tấn công từ chối dịch vụ.

Tùy theo giá trị của thiết bị và rủi ro cạnh tranh trên thị trường, doanh nghiệp cần lựa chọn cấp độ bảo mật tương ứng:

1. Chuỗi tin cậy Secure Boot (Chain of Trust)

Secure Boot hoạt động dựa trên nguyên lý: một thành phần phần mềm chỉ được phép chạy nếu nó đã được xác thực bởi một thành phần khác đáng tin cậy hơn chạy trước nó:

1. Khởi nguyên từ Mask ROM (ROM Bootloader): Phần code này được ghi chết vào chip ngay từ nhà máy sản xuất bán dẫn, không ai có thể can thiệp sửa đổi.
2. Kiểm tra Bootloader cấp 2 (Second Stage Bootloader): ROM Bootloader đọc khóa công khai (Public Key) lưu trong bộ nhớ vĩnh viễn eFuse (chỉ ghi một lần – OTP), tính mã băm SHA-256 của bootloader và xác thực chữ ký số. Nếu khớp, bootloader cấp 2 mới được phép khởi chạy.
3. Kiểm tra Ứng dụng chính (Application Image): Bootloader cấp 2 tiếp tục kiểm tra chữ ký số của bản firmware ứng dụng. Nếu bất kỳ một byte nào trong mã nguồn bị chỉnh sửa hoặc bị can thiệp, thiết bị sẽ lập tức dừng khởi động để bảo vệ an toàn.

2. Mã hóa bộ nhớ Flash phần cứng (Transparent Flash Encryption)

• Khi nạp firmware lần đầu tại nhà xưởng, một khóa bí mật 256-bit được sinh ngẫu nhiên bên trong chip và ghi vào các thanh ghi eFuse phần cứng. Khóa này được khóa chức năng đọc từ bên ngoài (Read-protected) — ngay cả kỹ sư viết phần mềm cũng không thể đọc lại được khóa này.
• Mỗi khi CPU đọc lệnh từ Flash để thực thi, khối phần cứng AES Decryption Controller tích hợp sẵn trên chip sẽ giải mã dữ liệu tức thì (On-the-fly) với độ trễ gần như bằng 0.
• Nếu chip Flash bị tháo rời khỏi bo mạch, kẻ tấn công chỉ thu được dữ liệu rác đã được mã hóa không thể đảo ngược.

Rất nhiều kỹ sư triển khai bảo mật thành công trên bàn lab nhưng lại làm lộ khóa bí mật trong quá trình sản xuất hàng loạt tại nhà máy gia công SMT:

1. Không bao giờ lưu khóa riêng (Private Key) trên máy tính xưởng: Khóa riêng dùng để ký chữ ký số firmware phải được lưu trữ trong thiết bị chuyên dụng phần cứng (Hardware Security Module – HSM) hoặc máy tính cách ly mạng (Air-gapped PC) của người quản lý kỹ thuật cao nhất. Xưởng sản xuất chỉ được tiếp cận bản firmware đã được ký sẵn.
2. Tự động sinh khóa ngẫu nhiên trên từng thiết bị (Unique Key per Device): Mỗi chiếc bo mạch sản xuất ra phải có một khóa mã hóa Flash riêng biệt được tự động sinh bởi bộ tạo số ngẫu nhiên phần cứng (True RNG) của chip, ngăn chặn việc lộ khóa của một máy làm sập toàn bộ hệ thống.
3. Thổi đứt các cầu chì bảo vệ eFuse (Burn eFuse bits): Sau khi nạp code và kiểm tra chức năng hoàn tất, quy trình bắt buộc phải ghi các bit eFuse để vô hiệu hóa hoàn toàn cổng nạp JTAG/SWD và tắt chế độ ROM Download Mode qua UART. Một khi đã thổi eFuse, không ai có thể đảo ngược trạng thái chip.
4. Cơ chế chống quay lại phiên bản cũ (Anti-Rollback Protection): Tích hợp bộ đếm phiên bản an toàn vào eFuse. Kẻ tấn công không thể ép thiết bị nạp lại các bản firmware cũ vốn có các lỗ hổng bảo mật đã biết để khai thác.

Đội ngũ kỹ sư Lập trình firmware của DeviceLab cung cấp các giải pháp an ninh phần cứng toàn diện cho khách hàng B2B:
* Thiết lập chuỗi khởi động an toàn (Secure Boot): Hỗ trợ triển khai trên các dòng chip phổ biến: ESP32-S3/C3/C6, STM32WB/WL/MP1, NXP i.MX RT, Nordic nRF52/nRF53 series.
* Tích hợp chip phần cứng bảo mật chuyên dụng (Secure Element): Đối với các thiết bị đòi hỏi chuẩn thanh toán POS hoặc bảo mật lưới điện quốc gia, chúng tôi tích hợp chip bảo mật độc lập ATECC608A / SE050 để lưu trữ khóa bí mật an toàn tuyệt đối chống tấn công cạy phá vật lý (Side-channel & Tamper resistance).
* Hạ tầng cập nhật FOTA mã hóa đầu-cuối: Xây dựng máy chủ quản lý cập nhật firmware từ xa với kênh truyền mã hóa TLS 1.3 và xác thực kép, đảm bảo việc cập nhật hàng chục nghìn thiết bị diễn ra an toàn và tự động 100%.

1. Bật Secure Boot và Flash Encryption có làm thiết bị chạy chậm đi không?

Ảnh hưởng không đáng kể. Nhờ có khối giải mã phần cứng AES tăng tốc chuyên dụng (Hardware Cryptographic Accelerator), thời gian giải mã khi đọc lệnh chỉ làm tăng thời gian khởi động ban đầu của thiết bị thêm khoảng vài chục mili-giây. Khi thiết bị đã vào vòng lặp vận hành chính, hiệu năng CPU hoàn toàn không bị ảnh hưởng.

2. Nếu đã khóa cổng nạp JTAG/UART thì sau này làm sao để sửa lỗi phần mềm?

Khi các cổng nạp vật lý đã bị vô hiệu hóa bằng eFuse, cách duy nhất để cập nhật hoặc sửa lỗi phần mềm là thông qua tính năng Cập nhật phần mềm từ xa an toàn (Secure FOTA) hoặc nạp qua cổng USB/UART bằng chính cơ chế Bootloader có xác thực chữ ký số do bạn phát triển.

3. Nếu lỡ làm mất khóa ký riêng (Private Key) thì hậu quả ra sao?

Đây là thảm họa kỹ thuật. Nếu bạn làm mất khóa riêng, bạn sẽ không bao giờ có thể tạo ra bản firmware mới mà các thiết bị đã xuất xưởng chấp nhận nạp. Toàn bộ các thiết bị đó sẽ bị “đóng băng” vĩnh viễn ở phiên bản hiện tại. Do đó, quy trình sao lưu và quản lý khóa bí mật luôn là ưu tiên số 1 của doanh nghiệp.

4. Chi phí triển khai bảo mật Secure Boot cho một dự án có đắt không?

Nếu triển khai ngay từ đầu trong giai đoạn phát triển firmware, chi phí phát sinh thêm không đáng kể vì hầu hết các dòng vi điều khiển hiện đại đều đã hỗ trợ sẵn phần cứng bảo mật này. Tuy nhiên, nếu đợi đến khi sản phẩm đã sản xuất hàng loạt mới quay lại sửa thì chi phí tái thiết kế phần mềm và nạp lại chip sẽ rất tốn kém.

5. Kẻ xấu có thể dùng kính hiển vi điện tử để soi tìm khóa eFuse trong chip không?

Về mặt lý thuyết, các viện nghiên cứu chuyên sâu hoặc phòng lab quân sự với kính hiển vi quét điện tử (SEM) và chùm tia ion hội tụ (FIB) có thể cạo vỏ silicon để soi trạng thái eFuse. Tuy nhiên, chi phí cho một cuộc tấn công như vậy lên tới hàng trăm nghìn USD, vượt xa giá trị của hầu hết các thiết bị thương mại thông thường.

6. Tại sao không nên lưu mật khẩu Wi-Fi và khóa API trong mã nguồn C dưới dạng chuỗi Plain-text?

Bởi vì khi biên dịch, các chuỗi ký tự này được lưu nguyên vẹn trong phân vùng dữ liệu của bộ nhớ Flash. Kẻ xấu chỉ cần dùng lệnh strings trên máy tính là có thể đọc được toàn bộ mật khẩu mạng và khóa API server của bạn. Các thông tin nhạy cảm bắt buộc phải được mã hóa trước khi ghi vào bộ nhớ NVS (Non-volatile Storage).

7. DeviceLab có hỗ trợ đánh giá bảo mật (Firmware Penetration Testing) cho bo mạch của chúng tôi không?

Có. Chúng tôi cung cấp dịch vụ thử nghiệm tấn công thâm nhập phần cứng: thử trích xuất mã qua cổng debug, phân tích giao thức truyền thông, kiểm tra tính toàn vẹn của bootloader và đưa ra báo cáo khuyến nghị vá lỗi bảo mật cụ thể.

Đừng để công sức R&D hàng năm trời của bạn bị đối thủ sao chép nhân bản chỉ trong vài ngày:

👉 Yêu cầu tư vấn giải pháp bảo mật phần cứng & Firmware
Kỹ sư chuyên gia bảo mật nhúng DeviceLab sẵn sàng hỗ trợ bạn qua Hotline/Zalo: 0982.503.355.