FPGA安全概述：安全威胁、设计目标与流程
大家好，我是你们的FPGA安全讲师。今天咱们聊聊FPGA安全这个事儿。
说实话，我入行那会儿，FPGA安全还是个相对冷门的领域。大家更关心的是逻辑能不能跑通，时序能不能收敛。直到有一次，我参与的一个通信项目，产品已经量产了，结果被客户反馈说设备被破解了——有人通过JTAG接口把我们的比特流读了出来，还逆向出了核心算法。那叫一个惨痛啊。
从那以后，我就开始系统性地研究FPGA安全。今天这第一讲，咱们先把基础打牢。
一、FPGA安全威胁分析
FPGA面临的威胁，说白了就是三类：窃取、篡改、破坏。我习惯把它们分成外部攻击和内部攻击来看。
1. 外部攻击
- 比特流窃取：通过JTAG、SPI Flash等接口，直接把配置数据读走。这是最常见的攻击方式。我在项目中遇到过，有人用逻辑分析仪抓取SPI总线上的数据，轻松拿到了比特流文件。
- 侧信道攻击：通过分析功耗、电磁辐射、运行时间等物理特征，推断出密钥或敏感数据。嗯，这个比较高级，但确实存在。
- 故障注入攻击：通过电压毛刺、时钟毛刺、激光照射等手段，让芯片运行出错，从而泄露信息或绕过安全机制。
- 逆向工程：把芯片开封，用显微镜一层层拍照，还原电路结构。这招成本高，但针对高价值目标时确实有人用。
2. 内部攻击
- 恶意逻辑植入：在设计中偷偷加入后门逻辑，比如一个永远不触发的状态机，一旦被激活就能泄露密钥。
- 调试接口滥用：JTAG、UART等调试接口在产品出厂后没有关闭，被攻击者利用。
- 密钥管理漏洞：密钥存储在易失性存储器中，或者存储位置可被外部读取。
二、安全设计目标
搞清楚了威胁，咱们就知道要防什么了。FPGA安全设计的目标，我总结为四个字：机密性、完整性、可用性、真实性。
| 安全目标 | 含义 | 对应威胁 |
|---|---|---|
| 机密性 | 防止未授权读取设计数据和密钥 | 比特流窃取、侧信道攻击 |
| 完整性 | 确保设计在存储和运行中未被篡改 | 恶意逻辑植入、比特流篡改 |
| 可用性 | 保证FPGA在安全威胁下仍能正常工作 | 故障注入、拒绝服务攻击 |
| 真实性 | 验证设计来源和身份的真实性 | 假冒芯片、克隆设计 |
你想想看，这四个目标其实是层层递进的。先保证别人拿不到你的设计（机密性），再保证拿到的也是完整的（完整性），然后保证系统能稳定运行（可用性），最后还要能确认这是你的设计（真实性）。
三、安全设计流程
我个人习惯把安全设计流程分成五个阶段。这不是什么标准规范，是我多年项目经验总结出来的，供你参考。
阶段一：威胁建模与风险评估
先问自己几个问题：我的设计值多少钱？谁会来攻击我？攻击者有什么手段？
- 如果是消费电子，主要防克隆和盗版
- 如果是军工航天，要防国家级攻击者
- 如果是金融设备，侧信道攻击是重点
阶段二：安全架构设计
根据威胁模型，确定安全方案。比如：
- 是否使用比特流加密？用AES还是国密？
- 密钥怎么存储？用Battery-backed RAM还是eFuse？
- 调试接口怎么处理？是否要熔断JTAG？
阶段三：安全实现与编码
这个阶段要特别注意编码规范。我见过太多因为代码风格不好导致的安全漏洞。
- 避免使用不可综合的语法
- 状态机要加安全状态（比如非法状态跳转到复位）
- 敏感信号要加毛刺滤波
- 密钥路径上的寄存器要加扰码
阶段四：安全验证与测试
功能验证只是第一步。安全验证要专门做：
- 做故障注入测试，看看系统会不会崩溃
- 做功耗分析，看看密钥是否泄露
- 做边界扫描测试，看看JTAG是否真的被锁死了
我曾经吃过一次亏：JTAG熔断指令写对了，但测试时发现熔断后还能通过某种时序组合重新使能。后来查了芯片手册才发现，熔断后需要断电重启才生效。嗯，这个坑我替你们踩过了。
阶段五：安全运维与更新
产品出厂不是终点。安全是一个持续的过程。
- 建立密钥管理流程，谁生成、谁存储、谁使用都要有记录
- 设计安全的远程更新机制，防止更新过程中被劫持
- 定期做安全审计，检查是否有新的漏洞
四、知识体系总览
下面这张图，是我画的本章知识体系。你可以把它当成一个思维导图来看。
这张图把本章的核心逻辑串起来了。从威胁分析出发，明确设计目标，再通过规范流程落地。三者缺一不可。
好了，第一讲就到这里。记住一句话：安全不是功能，是属性。它应该融入你设计的每一个环节，而不是最后才想起来加一把锁。