傳統(tǒng)的供應(yīng)鏈安全解決方案缺乏復(fù)雜性和范圍，無(wú)法在鏈中的每個(gè)層和環(huán)節(jié)上解決此類威脅，從而留下了一個(gè)巨大的漏洞來(lái)保護(hù)供應(yīng)鏈免受日益嚴(yán)重的網(wǎng)絡(luò)威脅。

供應(yīng)鏈的領(lǐng)導(dǎo)者和提供商需要了解他們當(dāng)前的安全漏洞所在，以及他們需要投資的地方，以避免網(wǎng)絡(luò)攻擊，以及潛在的永久性安全和聲譽(yù)風(fēng)險(xiǎn)。

鏈條中的薄弱環(huán)節(jié)

供應(yīng)鏈?zhǔn)且粋€(gè)自然而然的目標(biāo)，因?yàn)樗S多不同的活動(dòng)、人員、實(shí)體、信息和資源。鏈中的鏈接越多，攻擊的機(jī)會(huì)就越多，特別是如果這些鏈接仍然容易受到攻擊。

僅在過去一年中，我們就目睹了上述SolarWinds軟件開發(fā)攻擊，多次APT41（雙龍）攻擊竊取憑據(jù)并將惡意軟件插入制造產(chǎn)品，甚至對(duì)富士康墨西哥工廠的勒索軟件攻擊。這涉及被盜的未加密文件，受損的加密服務(wù)器和已刪除的備份數(shù)據(jù)。

安全性不當(dāng)?shù)墓?yīng)鏈?zhǔn)且粋€(gè)非常脆弱的弱點(diǎn)，其中軟件和其他數(shù)字信息（例如設(shè)備身份）可能會(huì)受到損害，替換或復(fù)制，以進(jìn)行欺詐，損害用戶隱私，或者在某些情況下甚至危及國(guó)家安全。

保護(hù)證書、憑據(jù)和代碼

一個(gè)非常脆弱的安全問題領(lǐng)域是個(gè)人消費(fèi)電子產(chǎn)品。其中許多產(chǎn)品（包括手機(jī)、平板電腦、電纜調(diào)制解調(diào)器、路由器、IoT 設(shè)備和數(shù)字娛樂設(shè)備）都預(yù)安裝了用于保護(hù)私人用戶信息的數(shù)字證書。除了數(shù)字交易中的內(nèi)容和服務(wù)提供商信息之外，所有這一切都是如此。但是，即使在部署產(chǎn)品之后，這些證書中的任何一個(gè)的單個(gè)妥協(xié)都可能構(gòu)成整個(gè)供應(yīng)鏈的妥協(xié)。

這些設(shè)備的生產(chǎn)過程特別容易受到數(shù)字證書的大規(guī)模利用，并且隨著許多供應(yīng)鏈的徹底全球化，制造商可以從多個(gè)方向預(yù)測(cè)這些攻擊。傳統(tǒng)的工廠環(huán)境往往受到自然界的嚴(yán)格控制，可能無(wú)法充分保護(hù)加密材料。

此外，制造過程中的簡(jiǎn)單安全程序可能容易受到攻擊。一個(gè)常見示例是復(fù)制和備份數(shù)據(jù)和代碼。無(wú)論是有意還是無(wú)意，這都可能導(dǎo)致復(fù)制獨(dú)特的數(shù)字身份 - 這是一個(gè)非常嚴(yán)重的安全違規(guī)行為。

憑據(jù)交付系統(tǒng)必須確保安全憑據(jù)不容易受到網(wǎng)絡(luò)攻擊，并且不會(huì)安裝到多個(gè)設(shè)備或應(yīng)用程序中。管理設(shè)備證書和憑據(jù)是供應(yīng)鏈安全的關(guān)鍵要素。

確定安全配置的優(yōu)先級(jí)

為了安全地管理數(shù)字證書和憑據(jù)，供應(yīng)鏈配置架構(gòu)必須全面，涉及多層加密和完整性檢查，以確保整個(gè)供應(yīng)鏈保持安全 - 即使特定網(wǎng)絡(luò)節(jié)點(diǎn)或加密層受到損害。

安全團(tuán)隊(duì)必須整合一個(gè)框架，其中包括廣泛使用硬件安全模塊、加密令牌、多層加密和端到端反克隆措施，這些措施可以擴(kuò)展到整個(gè)全球基礎(chǔ)架構(gòu)。

尋找合適的解決方案

康普已經(jīng)建立了一個(gè)托管解決方案。安全憑證配置的系統(tǒng)體系結(jié)構(gòu)考慮到了這些元素，優(yōu)先將密鑰生成、PKI 服務(wù)器（具有硬件安全性的關(guān)鍵服務(wù)器）以及將軟件開發(fā)工具包 （SDK） 直接集成到制造設(shè)備的軟件和固件中。

在這樣的架構(gòu)中，需要注意的關(guān)鍵要素是將多層安全作為縱深防御策略的一部分，確保在任何一層發(fā)生故障時(shí)提供故障保護(hù)。在設(shè)置自己的系統(tǒng)或與供應(yīng)商合作時(shí)，請(qǐng)確保解決方案包含此多層策略，無(wú)論是反克隆措施，還是在短時(shí)間內(nèi)擴(kuò)展到數(shù)百萬(wàn)個(gè)新數(shù)字標(biāo)識(shí)的靈活性（或者理想情況下，兩者兼而有之）。

憑借正確的意識(shí)，以及正確的技術(shù)、托管服務(wù)和經(jīng)驗(yàn)豐富的安全專家團(tuán)隊(duì)，服務(wù)提供商可以確保其固有的易受攻擊的供應(yīng)鏈不會(huì)成為網(wǎng)絡(luò)犯罪的受害者。

審核編輯：郭婷