APP下载

台湾带头推动半导体资安标准,解决高科技产业资安防护难题

消息来源:baojiabao.com 作者: 发布时间:2024-11-01

报价宝综合消息台湾带头推动半导体资安标准,解决高科技产业资安防护难题

在台积电机台中毒事件半年后,最近一两个月,我们开始注意到台湾半导体产业对于资讯安全议题的重视,例如,推动半导体资安标准,而在5月中的一场活动上,工研院资通所副组长卓传育更是进一步揭露制订这项标准的现况与目标。(摄影/罗正汉)

去年8月,晶圆代工龙头台积电爆发机台中毒事件,让生产线的资安议题浮上台面,大家开始注意到IT与OT环境的先天差异,台湾半导体产业如今也积极半导体资安标准,例如,在5月中由经济部工业局委托工研院执行的国际资安新创交流活动上,工研院资通所副组长卓传育揭露了相关现况,以及关于这项标准制订的目标与挑战。

对于资安的议题,国内半导体产业已经不像过去如此被动,准备在资安标准方面发力。相较于目前市面上的资安标准包括ISO 27001,以及工控系统标准IEC 62443等,在半导体产业中的相关标准,则是在国际半导体产业设备与材料协会SEMI的平台下形成,像是关于化学、材料、制造过程与环境安全的标准制订,而在台湾产业带领之下,也希望能够建立资安方面的标准,让半导体产业供应商能够遵循。

由SEMI台湾技术委员会带头,制订晶圆厂设备资安标准

台湾本身在半导体产业扮演了举足轻重的角色,不仅身为设备买家,也有完整的产业生态链,因此,台湾产业要在协会中制订标准,其实也是相当有影响力。

关于半导体资安标准的制订,卓传育指出,是从去年10月开始准备,在今年1月正式由SEMI台湾的技术委员会发起,成立晶圆厂及设备资讯安全任务小组(Fab & Equipment Information Security Task Force),目前这个任务小组的提案,也已经通过国际SEMI会员投票同意,进而取得案号并正式撰写草案,预计第一版草案将在今年10月1日出炉。

其实,过去SEMI也有成员希望推动资安,但当时只是想做资安指引,而现在是要订出标准,让想要卖设备到半导体厂商的业者都要遵循。当然,这个推动过程会遇到很大的阻力,他说,任务小组一开始谈的面向比较广泛,但在实际进行过程中,以及国际产业间的讨论,因此,最后限缩在晶圆厂与设备的范畴。

目前,这个任务小组的成员包含台积电、日月光、联电、力晶等许多台湾电子业者,工研院也身在其中,还有微软、趋势科技等业者共同参与,任务小组每个月开一次会,讨论那些项目适合放到标准,他们也欢迎其他国内业者,一起致力于这个产业资安标准的推动。

在他们开始制订这个标准后,美、日、韩也有类似的活动,由于台湾产业成员已经先在SEMI提出,因此有望能带领推动相关资安标准的建立,以解决晶圆生产所面对的资安问题。

目前,他们这个任务小组的主要目标有3个,第一是要解决电脑操作系统EOS的问题,第二是晶圆厂设备难以更新修补的问题,第三则是要能够做到持续性的监控与稽核。

同时,卓传育也指出,从这次半导体资安标准制订的涵盖面向而言,可画分为四大部分,首先是电脑操作系统安全,或许将来系统商能提供更长生命周期的版本,或是提供维护更新的工具;其次为网络安全,需要限制一些高风险的连接埠,像是TCP 445等;第三是端点安全,包括防毒与应用程序白名单等;最后则是要能做到资安监控。

解决半导体业资安难题,包括系统生命周期与更新问题

对于半导体资安标准的制订,将要解决那些问题呢?卓传育进一步解释了半导体产业现在所面临的挑战。

以半导体产业而言,一直是以产能、良率为优先,重视机器稳定运行,不能使产线停止运作。更关键的是,卓传育指出,半导体设备非常昂贵,动辄数十亿元,可能要使用30年来摊提设备设备成本。

但是,若以操作系统的技术支援服务来看,例如过去Windows版本的产品大约是10年,因此,半导体设备明显面临系统终止支援(End of Support,EOS)的威胁。而且,这类设备可能在出货时,原厂就是搭配旧的系统,使得用户也不容易与设备业者谈条件,甚至买来就是系统已经处于中止销售的状态,原厂还不允许更新,为的是避免对产能效率带来影响。

因此,第一个要解决的问题,将是在怎么解决操作系统的EOS,卓传育认为,这在一般智慧制造也都会发生,但问题不像半导体业机台那样严重,因为他们需要花30年来摊提成本,导致设备使用效期相当长。

其次,是系统难以更新修补的状况。在产能优先考量之下,系统如何能在很短时间内完成更新修补?以及检视更新是否对效能带来影响?卓传育表示,由于产线设备老旧效能慢,更新速度并不像一般办公环境IT那样快,而更新后的设备效能理论上是没问题,但很难验证,若要复制第二套设备来进行验证,成本又太昂贵。

第三,实体隔离落实不易。过往这类半导体设备的运行,理论上是要在一个真正实体隔离环境去运作,只是在智慧制造的浪潮之下,实体隔离也就慢慢不存在。事实上,半导体产业的自动化比例,更是非常高,人为介入少,而要做到自动化,不仅是各个机台之间要连动,还有机台内部的不同程式沟通也是如此,这也意谓著设备相互都连在一起,若是系统也不修补,又是采用EOS的系统,一旦病毒不小心跑进去,就可能带来极大威胁。

除此之外,卓传育也提到半导体在资安更是面临新挑战。例如,OT世界的威胁大多是已知的弱点、从预设信任走向零信任的世界,以及工控协议缺乏加密。特别的是,他还指出一个目前资安方案尚未涵盖的议题,那就是关于营业秘密制程配方的保护──在无法避免连网的情况下,骇客是否可能搜集到完整的制程参数资讯。

因此,半导体产业的资安防护该如何进行?其实,美国ICS-CERT在2015年已经提出7大防护策略能够适用,其中白名单的重要性是最被强调的部分。对此,卓传育也说明了现阶段的因应情况,例如,如果机台有机会导入白名单,他们建议用户就应该要执行,只不过这种作法还是有些限制,像是可能面临原厂或系统不支援,甚至设备原厂也没有相关知识来协助建立白名单的状况,因为原厂只知道程式是他们写的,但不知道用了那个开源模组,以及它们会跟那些程式有连动。

因此,所谓预防胜于治疗,要解决这样的问题,卓传育认为,其实半导体产业要面对的是供应链安全的议题。例如,对于生产制造机台的业者,要求在设备出厂时就内建白名单,以及各种安全设定功能,会比较容易;而且,过往先进制程的半导体设备,由于只有独门厂商能够生产设备,用户很难要求对方配合。而为凝聚产业之力,共同正视资安风险,诉诸标准就是必要手段。

在半导体产业所面临的资安挑战中,操作系统的终止支援(EOS)是首要面对的风险,比起一般制造业都要严重,因为设备昂贵,可能要花上30年来摊提设备成本。此外,还有面对系统难以更新修补的状况,实体隔离渐渐不存在等风险,以及种种新的资安挑战。

2019-05-29 17:06:00

相关文章