|
现在SSD固态硬盘可以说是顺利地普及开来，大家购买电脑都会优先考虑，性价比高的国产SSD自然立了大功，但最近麻烦不断，先是互相攻击拆机芯片、黑片闪存，现在慧荣SSD主控芯片安全漏洞曝光，又陷入了“后门风波”。10月初，百度贴吧、新浪微博和天涯社区等多个媒体网站有网友爆料，银监会要求排查核实在生产、开发、测试等环境中是否使用了台湾慧荣（SMI）公司的主控芯片，型号涉及SM2246EN、SM2256、SM2258。 慧荣SSD主控芯片安全漏洞曝光，慧荣回应：不存在的 图1 这个消息一出，马上在网上炸开了锅，还有知情微博网友提供了一张SMI公司致客户函。函件中根据网上的消息进行了针对性的说明，表示将与消息部门合作，但认为目前并无证据支持网传消息中所提及的安全漏洞，坚称其一直信守质量承诺，并会对所生产产品负责到底。 慧荣SSD主控芯片安全漏洞曝光，慧荣回应：不存在的 图2 事件持续发酵，某BBS上流传了一张消息中所提及的排除通知细节内容。通知中给出了此次排除的缘由。此次所涉及的SSD主控型号存在后门漏洞，一旦被利用，可能会造成数据泄露，破坏或系统无法运行。漏洞基本原理是，芯片预留了自定义的接口，可以注入“强制写保护”命令，使得设备无法再写入数据，又可注入“强制擦除所有块”命令，使得设备所有数据乃至包含固件都被擦除。通知中还列举了涉及的产品和厂商。 慧荣SSD主控芯片安全漏洞曝光，慧荣回应：不存在的 图3 10月5日，SMI在官网上发布了一则《郑重声明》，声明中强调其所设计的SSD主控绝无后门漏洞风险。SMI提供数据表示已销售超过1亿颗主控，并没有发生过数据安全事件，并否认“流言消息”中所提及的风险，并认为是恶意的市场竞争行为。 慧荣SSD主控芯片安全漏洞曝光，慧荣回应：不存在的 图4 作为一个存储行业资深从业者，我认为能惊动银监会的事件并没有SMI发布的声明中那么简单。目前市场中常见的主控其实都在固件启动前先执行一段初始化代码，完成后再启动固件并交出控制权。初始化代码时便可以注入一些厂商自定义的命令。固件启动后，会接受相关协议中所定义的标准主机（HOST）读写命令，除此之外，固件开发团队还可能会留下几个用于工程维护的厂商自定义命令，其中可能便涉及到消息中所指的“强制写保护”和“强制擦除所有块”命令（由于没有样品和实验条件，这里描述的是一种SSD主控的普遍性和可能性）。SMI发布这个声明中很多论点并没有提供依据，无法令人信服。但坚持对产品负责到底的行为是值得我们企业学习的。 综观最近爆出多个些芯片后门漏洞新闻，不难发现，这些芯片设计技术都没有掌握在我们手里，在半导体领域到处处于被动状态，被他人牵着鼻子走。但我们也看到了曙光，国家已经发现了这个不足，正在加速追赶，为此还成立了国家大基金，用来发展中国的半导体。任重而道远！ |
