2006年夏末，麦当劳日本分公司决定推出一项新促销活动。顾客购买可口可乐时，会得到一个带有代码的杯子。如果他们在指定网站上输入该代码，并成为10,000名幸运获奖者之一，他们将获得一个预装了10首歌曲的MP3播放器。
这项促销活动构思巧妙，似乎注定会成功。谁不喜欢可乐和免费的MP3播放器呢？但麦当劳的营销人员遇到一个他们无法预料的问题：除了10首免费歌曲外，这些音乐播放器还包含了QQPass恶意软件。获奖者一旦将播放器连接到电脑，木马就会悄无声息地潜入他们的系统，开始记录键盘输入、收集密码，并收集个人数据以便日后传输。
麦当劳最终召回了这些设备并发布了道歉声明，但为时已晚，已有不少用户成为了恶意软件的受害者。在快餐促销的历史上，这次事件仍被视为有史以来最糟糕的事件之一（甚至超过了构思不周的“麦非凡”汉堡——一款在饥荒高峰期推出的非洲风味三明治）。对安全专家来说，这次事件也同样引人注目，但原因完全不同：它让我们对黑客如何直接将网络攻击融入我们依赖的系统感到不寒而栗。
在过去一年里，网络犯罪已呈泛滥之势，吞噬了超过4450亿美元的损失（包括时间和劳动，以及知识产权）。黑客从eBay窃取了2.33亿条个人记录；他们迫使索尼取消了《采访》的院线发行；甚至还劫持了五角大楼的Twitter账号。但这些攻击虽然形形色色，却有一个共同点：有人通过破解软件来渗透网络或账户。而麦当劳事件的不同之处——也是让网络安全专家感到恐惧之处——在于攻击者破解的是硬件。
在计算机术语中，硬件归根结底就是微芯片，也就是驱动我们设备的集成电路。它们存在于我们的手机、冰箱、电网、飞机和导弹中。而且，还将有更多。思科估计，到2020年，将有超过500亿台联网设备上线，并与周围世界进行不间断的通信。
微芯片是我们数字世界的基石，但它们几乎完全不设防。软件安全在未来五年内有望成为一个价值1560亿美元的产业，而硬件安全却鲜有提及。然而，硬件带来的挑战在许多方面更为广泛、危险，也更难应对。当麦当劳的营销人员订购MP3播放器时，他们只是从目录中选择了一款设备。碰巧，香港生产线上有人决定在其中植入恶意软件。我们可能永远不会知道那个人为何选择特定的MP3播放器，但这并不是重点。这种攻击可能发生在任何有硬件的地方，从咖啡机到战斗机，后果可能要严重得多。
地狱般的问题
1958年，杰克·基尔比在德州仪器公司发明了第一块集成电路（为此他后来获得了诺贝尔奖），微芯片时代由此诞生。这些早期的处理器成本为450美元，包含几个放置在锗片上的晶体管、二极管、电阻和电容器，并通过金线连接。该单元直径约10毫米。
如今的微芯片遵循同样的原理，但复杂程度呈指数级增长。它们包含数十亿个晶体管，并分为多个子单元（如基尔比最初命名那样称为“模块”），每个模块执行特定功能。例如，智能手机的处理器可能有一些模块用于存储视频帧，另一些则用于转换视频帧，以便通过天线发送。
随着芯片的性质和复杂性在五年半的时间里发生变化，其设计和制造也随之改变。在20世纪70年代和80年代，只有少数知名且受信任的芯片设计公司；如今，有大量公司每年创造超过5000种新设计，业务遍及美国和亚洲。这些团队又涉及多个地点的数百甚至数千人——每个人都在负责不同的模块。芯片已变得如此复杂，以至于没有人能够看到，更不用说理解其架构的每一个细节了。
这些发展在很大程度上是积极的。我们的微芯片越强大，我们的能力就越强。但当如此的复杂性与巨大的规模相结合时（仅2014年芯片销售额就达3330亿美元），它也带来了巨大的漏洞，以及对硬件黑客来说越来越难以抗拒的机会。加州大学洛杉矶分校电子工程和公共政策学教授约翰·维拉西诺（John Villasenor）在布鲁金斯学会的一份报告中写道：“统计学定律保证，总会有人拥有技能、访问权限和动机来故意破坏芯片设计。”换句话说，更频繁、更大规模的硬件攻击只是时间问题。当它们到来时，无论来自国家、犯罪集团还是不良雇员，都将以两种形式出现：公开或隐蔽。
公开行动或许是两者中最简单的：它们会明确表明系统无法正常工作。最好的例子是所谓的“关机键”，敌人或罪犯可以随意选择性地关闭芯片。这比人们想象的要容易。例如，芯片中的不同模块可以通过“系统总线”进行通信和协调，它们轮流使用系统总线，以免产生干扰。如果其中一个模块被破坏，无法释放对系统总线的访问权限——这对于许多中级芯片设计人员来说是很容易做到的——它将阻止其他模块获取数据，从而有效地禁用系统，即“报废”系统。
仅一次小小的损坏就可能导致严重后果。2011年，在美国海军直升机（部署在太平洋舰队驱逐舰上的SH-60）所使用的电磁干扰滤波器中发现了有缺陷的晶体管。虽然从未安装，但该有缺陷的部件会削弱SH-60发射地狱火导弹的能力，使其在战斗中几乎无用。滤波器的制造商雷神公司和美国参议院军事委员会不得不追踪这些晶体管，经过五家公司才找到其在中国大陆的源头。
事后调查证明，这些缺陷是诚实的生产错误。但如果有人故意进行此类攻击，结果可能会大不相同。F-35战斗机中四分之三以上的现场可编程门阵列产自中国和台湾。汽车和无线医疗设备（如起搏器和透析机）中的大多数芯片也是如此。如果这些硬件被稍加修改，一个“关机代码”就可以选择性地禁用芯片及其依赖的系统。而这个代码可以来自任何数量的来源。一个指令可以来自文本或电子邮件信息。它可以被无线电信号传送到芯片上隐藏的微型天线。它甚至可以是一个简单的内部定时炸弹，在芯片初始设计时就已编程，在特定时间和日期触发协调关机，就像《太空堡垒卡拉狄加》第一集那样。
如果说公开行动相当于投下一枚炸弹，那么隐蔽行动就如同埋设一枚地雷。被破解的芯片可能表面上功能正常，但却秘密地收集和传输信息、从系统内部启动恶意软件，甚至与其他被破解的芯片协同工作以执行更大规模的攻击。例如，2007年，台湾法务部发现，一些希捷硬盘中被设计或制造过程中的某人植入了两个独立的特洛伊木马。这些恶意软件会回拨到托管在北京的两个网站，然后导致硬盘上传所有数据。最近，Star N9500，一款仿冒Galaxy S4智能手机的山寨产品，从中国工厂出厂时就预装了一个伪装成Google Play商店的特洛伊木马。它允许攻击者录制通话、阅读电子邮件、拦截财务信息，并通过手机的摄像头和麦克风远程观看和收听。
即使是通常被认为是无害的硬件，也可能被黑客利用并用于隐蔽行动。改装的第三方手机充电器，以及游戏机，都曾被用作恶意软件的载体。在硬件黑客的世界里，任何智能设备——冰箱、时钟，甚至可穿戴健身追踪器——都可能被武器化。
如果此类隐蔽行动能深入互联网的骨干——构成IT世界基础设施的服务器和其他网络设备——那么造成的损害将更大。拥有被破解的服务器的黑客，与其说是从少数高管那里收集令人尴尬的电子邮件，不如说是监控世界上大部分的互联网信息。随着华为技术有限公司和中兴通讯股份有限公司等公司（这两家公司都提供电信设备并与中国军方有关联）的持续增长，网络安全方面的担忧也将随之增加。此外，爱德华·斯诺登的爆料表明，美国国家安全局（NSA）已从入侵个人电脑转向入侵网络硬件。
也许最具破坏性的隐蔽攻击形式是能够引发实际冲突的攻击。设想一名微芯片铸造厂的员工，一心想制造一场国际危机。他知道该铸造厂的芯片被用于无人机系统，于是他可以在硬件中植入一个故障，该故障仅在某个特定的GPS点激活。当无人机到达指定位置时，比如在巴基斯坦西北部，它将向学校或水坝而不是营地发射导弹。
这个例子是最坏的情况，但并非不可思议。在2011年一次阿斯彭研究所的网络安全小组会议上，被问及硬件黑客问题时，退休空军上将、曾担任CIA和NSA局长的迈克尔·海登（Michael Hayden）的回答很简单：“这是个地狱般的问题。”
防线
目前，硬件黑客仍处于起步阶段，对其解决方案也是如此。芯片设计者主要依赖多年来几乎没有变化的协议。因此，维拉西诺在2010年写道：“防御策略尚未完全制定，更不用说付诸实践了。”
因此，消费者在此阶段的保护归结为常识：如果你不知道某件物品的来源，那么将其插入你的网络通常不是一个好主意。这个建议听起来很明显，但值得一提的是，美国军事史上最严重的黑客攻击发生在某人在中东一个基地外找到一个被篡改的内存棒，并将其插入了一个机密网络。
除了简单的校园规则，创建防御措施变得更加困难。为了在设计和制造阶段阻止硬件黑客，五角大楼启动了“可信铸造厂”计划。为了获得资格，生产集成电路的铸造厂必须通过严格的认证流程。这是一个不错的初步措施，但仅限于美国军方所需芯片的一小部分，更不用说其他人了。下一步将是扩大可信芯片制造商的网络，并惩罚被发现不可信的公司。但考虑到涉及多层买家和卖家，这将很困难。发现Star N9500智能手机黑客攻击的研究人员花了กว่า一周时间试图找到恶意芯片的来源，但徒劳无功。
随着铸造厂努力提高其安全性，一些研究人员正在研究开发数字水印，如全息图或植物DNA片段，这些可以在供应链的关键节点进行认证。其他研究人员则向上游看，以保护微芯片的设计过程。更强大的加密程序可以跟踪设计更改，从而更难在第一步发起攻击。
测试也需要全面改革。维拉西诺和合著者穆罕默德·特赫拉尼普尔（Mohammad Tehranipoor）在《电子工程专辑》上发表的一篇文章中写道，今天的测试“通常是为了淘汰意外的缺陷和设计缺陷，而不是识别被造假者故意篡改以冒充其他东西的部件。”而且，每年生产的数百万块芯片中只有一小部分得到测试。为了弥补这一漏洞，DARPA创建了“集成电路的完整性和可靠性”计划。其项目包括一种先进的扫描光学显微镜，它将使用红外激光以纳米级探测“微电子电路，揭示芯片结构以及晶体管级电路的功能信息。”
该机构还启动了“电子国防的供应链硬件完整性”计划。该计划旨在开发一种“dielet”，一种100微米x100微米的组件，其成本可以低至每单位不到一分钱。它将携带一个加密引擎来帮助保护数据，并带有传感器来检测任何篡改。
每个项目都充满了希望，但要真正保障硬件漏洞，芯片设计者需要重新思考芯片本身。这意味着要将防御措施直接构建到集成电路中。一个例子是安装输入输出监视器，阻止芯片与未经授权的连接通信，以及内存门卫，禁止访问禁区。另一个例子是嵌入一个“禁止执行”位，它将某些内存区域隔离开来，并阻止处理器从那里执行任何代码。然而，对这类解决方案的需求仍然非常有限。
慢性病
几年前，24岁的Mozilla研究员科迪·布洛修斯（Cody Brocious）开始调查许多酒店使用的电子门锁系统的安全性，其中大多数都可以编程接受万能钥匙。在2012年的Black Hat安全大会上，他展示了如何用价值不到50美元的自制硬件伪造万能钥匙。锁制造商开发了一种针对此攻击的防御措施，但它需要更换超过四百万把锁的硬件。
最终，这才是真正使硬件黑客成为“地狱般的问题”的原因：潜在的攻击途径如此之多且如此隐蔽，以至于难以想象。解决这些问题既不简单也不快速——但可以做到。软件安全的挑战曾经也同样令人难以克服，但如今网络安全专家在理解和应对这些风险方面比以往做得更好。与软件一样，最终是否选择解决硬件安全问题将取决于成本效益分析。增加的防御措施通常伴随着权衡，即性能下降、成本增加，或两者兼而有之。到目前为止，采取这些措施的决定很容易——不必费心。展望未来，这种思维方式将会改变。正如Applied DNA Sciences的首席执行官詹姆斯·海沃德（James Hayward）在一次采访中所说：“一块价值100美元的微芯片可能会让一架价值1亿美元的直升机停飞。”
这种新的计算方式有望促使政府和公司在罪犯之前解决硬件漏洞。“坦白说，这不是一个能够解决的问题，”海登将军在阿斯彭谈到硬件黑客时说。“这是一种你必须去管理的情况。”
本文最初发表于2015年3月号的《大众科学》杂志，标题为“无处可藏”。
