Havenlon｜安全讲人话（十二）：为什么硬件不是为了“更高级“，而是为了“更难绕过“

硬件的价值不是神秘而是让最后一步不能被软件随意改写。先泼一盆冷水而且是用真事泼的。2024 年 9 月安全实验室 NinjaLab 公布了一个叫EUCLEAK的攻击他们成功克隆了 YubiKey 5——就是那种被无数企业当作身份安全金标准的硬件密钥。根因是里面英飞凌Infineon安全元件Secure Element的密码库里一个潜伏了 14 年的非常量时间实现漏洞让攻击者拿到设备后用电磁侧信道几分钟就能提取出私钥。而这颗芯片是市面上被卖得最安全的硬件之一。再看另一个。BitLocker 用 TPM 芯片保护磁盘密钥听起来固若金汤。但研究者发现即使 TPM 完全正确地完成了授权它把解密密钥交还给 CPU 时是明文走 SPI 总线的——拿个逻辑分析仪接上主板就能把密钥从线上嗅下来。因为 Windows 默认没开 TPM 参数加密。这两件事说明一个必须先讲清楚的前提硬件不是魔法。硬件里同样有固件、有协议、有配置也同样会有漏洞。一个设备不会因为多了金属外壳、芯片和指示灯就天然成为不可攻破的边界。所以一提硬件安全很多人会自动脑补更专业、更昂贵、更底层、更可信、更神秘仿佛把一个能力塞进芯片就自动安全了——这种理解是错的。Havenlon 强调硬件也不是因为硬件比软件更高级。真正的原因只有一个如果最终执行始终停留在同一个软件世界里软件就永远有机会重新解释、修改、绕过自己的规则。独立硬件边界的价值是把最后一步从这个世界里拆出来。这一篇我们就诚实地讲清楚硬件到底能带来什么又不能带来什么。一、硬件不是魔法软件也不是敌人先把立场摆正Havenlon 并不反对软件相反绝大多数复杂能力都应该由软件完成。用户界面、业务流程、SaaS 协同、策略配置、审批、日志、同步、告警、报表全都需要软件AI Agent 本身更是软件系统。软件的优势极其明显——灵活、迭代快、适合复杂业务、能连接海量用户和系统。没有软件现代企业根本转不起来。所以问题从来不是软件有没有价值而是软件是否应该同时拥有提出动作、解释动作、批准动作、修改规则、完成最终执行的全部权力如果答案是肯定的那么无论系统看起来有多少模块最终都存在一个共同弱点只要控制了这个软件世界就可能同时控制它的规则和它的结果。硬件边界不是为了消灭软件而是为了限制软件的最终权力。二、同一个软件世界既能写规则也能改规则设想一个纯软件的执行系统业务后台发起请求 → 策略引擎检查条件 → 审批系统确认流程 → 执行服务读取参数 → 日志系统记录结果。功能上这套系统已经很完整。但如果这些服务都由同一个云端控制面管理、都能被同一批管理员修改、都依赖同一套部署与更新体系那它们之间的独立性更多是逻辑上的而不是权力上的。攻击者不必逐层突破他可以先改规则本身改策略让高风险变低风险改审批页面让人看到 A、系统执行 B更新执行服务让它忽略某些检查调整日志让异常看起来正常。他甚至不需要明显绕过安全机制——只需要先修改安全机制本身。这就是纯软件边界最根本的难题负责遵守规则的系统往往也有能力重新定义规则。当判断、策略和执行都属于同一个可远程修改的环境时最后一步就很难真正独立。这正是第十篇软件不能永远管住软件的落点。三、多一层软件不一定等于多一道边界遇到软件风险最自然的反应是再加一层业务系统不够可信就加审批审批不够就加策略引擎还不够就加风控平台最后再加审计和日志。这些机制都可能有效也确实能降低很多普通风险。但层数增加不自动意味着信任域增加。如果所有层都跑在同一个云环境里、接受同一套管理员体系控制、依赖同一套身份、网络和软件供应链那么一次高权限失陷仍可能同时影响所有层。它们更像一栋楼里的多扇门每扇门都有锁但总钥匙、门禁后台、电源控制都在同一个房间。总控室一失陷楼里的锁越多也未必需要攻击者逐个破解。真正的边界不只是多一段代码而是让某些关键能力不能被同一套控制面一起改写。这就要求最后那道边界处在一个独立的失效域independent failure domain里——而这正是物理二字能提供、而再加一层软件提供不了的东西。四、硬件真正增加的是改写成本这是全篇最关键的一节。硬件的价值不是绝对安全而是提高某些关键动作被改写、绕过、替换的成本。如果最终执行必须经过一个独立设备那么攻击者控制了业务后台还不能直接完成动作如果设备有独立状态和密钥那么控制云端策略也不等于控制本地执行如果设备对关键参数做独立检查那么改审批页面也不等于改最终动作如果设备拒绝后云端不能远程强制放行那么攻击者必须再跨越一个不同的信任域。这些都不能保证攻击绝对失败。但它改变了攻击的结构原本攻击者只需要控制一个软件环境现在他还得面对独立通信、独立状态、独立密钥、独立固件和本地执行约束。这背后是一条被安全工程反复验证的底层逻辑——安全的本质不是让风险归零而是把攻击成本work factor抬到远高于攻击收益。回头看开篇EUCLEAK 能克隆 YubiKey但攻击者需要物理拿到设备、专用电磁采集设备、几分钟操作往往还要知道 PIN 或密码TPM 嗅探需要拆开机器、焊接总线、接逻辑分析仪。硬件没能让攻击不可能但它把攻击从远程一键、可规模化变成了必须物理到场、逐台进行、成本高昂。所以硬件的意义可以浓缩成一句话不是让系统不可攻击而是让系统不容易被一次攻击全部带走。一次远程失陷能横扫整个软件世界但它扫不动一个需要物理接触才能突破的独立执行域。五、独立硬件边界必须拥有真正的拒绝权不是所有硬件都构成执行边界。一台设备如果只是接收云端下发的最终指令然后照做它只是远程系统的外设一块芯片如果只负责保存密钥、但对最终执行内容没有判断能力它保护的是密钥不是执行第四篇密钥安全 ≠ 执行安全一个硬件按钮如果显示的内容仍完全由上游软件决定它可能只是把软件确认流程搬到了另一块屏幕上。真正的硬件执行边界关键不在于有硬件而在于它拥有几种独立能力它需要知道最终执行的核心内容需要保存自己不能被上游随意改写的状态需要验证治理条件是否成立需要在状态不确定时收缩能力最重要的是它必须能够拒绝——而且这个拒绝不能被同一个远程软件系统用更高权限命令撤销。如果上游可以一句强制执行就翻盘那设备就没有真正的裁决权它只是多了一层外壳第八篇无远程后门第十一篇SaaS 不能强制放行。六、Enigma 的作用不是理解整个世界Havenlon 里 Enigma 的角色不是成为一个无所不能的硬件大脑。它不需要理解全部业务逻辑不需要知道企业所有流程也不需要比 AI 更聪明——复杂判断仍然可以交给 Bletchley、业务系统、策略系统和治理成员。Enigma 更像一道靠近执行点的物理门闩它只关注那些真正决定最终结果的事实这次动作的目标是什么、关键金额或参数是什么、当前本地状态是否允许、治理输入是否有效、动作是否仍与原始意图一致、是否存在冲突或异常。它的价值不是知道得最多而是能在前面的软件世界都已达成统一意见时仍然根据自己的状态完成最后判断。这也是为什么它不该被设计得过于复杂——越复杂攻击面越大回想 EUCLEAK漏洞就藏在一个多余的密码库实现细节里越想接管所有业务越容易变成新的中心。Enigma 的理想状态不是系统里最聪明的组件而是最克制、最明确、最难被远程一起改写的组件。这正呼应第七篇引用监视器的第三条足够小才可被验证。七、硬件边界为什么必须靠近最终执行边界离执行太远就容易失去意义。用户最初发起请求时最终参数可能还没形成SaaS 完成审批时本地环境可能尚未确定AI 生成方案时真正的工具调用还可能变化。只有到了最后执行点对象、金额、参数、时间、上下文才接近完整。所以硬件边界必须靠近那一步资产真正转出之前、配置真正生效之前、数据真正离开之前、设备真正动作之前、AI Agent 的工具调用真正进入现实系统之前。前面的控制负责减少错误最后的边界负责阻止错误变成不可逆事实。这和门闩的道理完全一样门闩必须装在门上而不是装在小区入口。如果真正开门的地方还能绕开它那么前面所有安全设计都替代不了最后那一道结构第七篇完全仲裁、不可绕过。八、硬件边界不是越多越好强调硬件不意味着所有动作都要过独立设备。如果改一份草稿、重新生成报告、发一条低风险消息都要物理设备参与系统会笨重到不可用。物理边界最适合守住关键路径——那些一旦执行就难以撤回、影响范围大、责任重的动作高价值资产转移、关键权限升级、生产环境核心配置变更、敏感数据大规模导出、物理设备与基础设施控制、AI Agent 对真实账户和外部系统的高风险调用。关键不是有多少动作经过硬件而是最危险的那些动作是否存在一条不能被软件绕开的最终路径。好的安全设计不追求把所有功能硬件化而是把物理约束集中在最值得保护的位置第七篇海狸只守水真正冲出去的地方。九、硬件同样需要边界不应该被神化这一节我们把开篇的冷水再补满。硬件设备也会失败固件可能有漏洞EUCLEAK 就是固件级密码库的锅生产和密钥注入流程可能出问题通信协议可能设计错误TPM 明文走 SPI 就是协议实现的锅本地状态可能损坏设备甚至可能被盗、被替换、被物理攻击。所以绝不能把用了硬件当成安全结论。真正该评估的是整套结构设备是否有清晰职责硬件与软件如何分工本地状态是否受保护是否存在可绕过路径设备失联时系统如何处理收缩还是放行升级会不会变成远程后门证据是否能证明最终执行确实经过了边界有意思的是TPM 嗅探的缓解办法之一正是把 TPM从独立芯片改成集成进 CPU 的固件 TPM——因为这样密钥就不必再走那根暴露在外的总线了。这恰恰说明硬件安全的关键从来不是有没有硬件而是边界画在哪、失效域怎么分。硬件不会自动让架构正确。但一个正确设计的硬件边界可以让软件失陷不再等于最终执行失陷。这才是它现实的价值。十、独立硬件不是为了取代治理而是承接治理有人担心把最终执行交给硬件是不是等于让一块设备决定组织命运不是。硬件边界不应该自己发明治理规则也不该替代人的判断。治理仍然来自组织策略仍然来自 SaaS审批仍然由成员完成AI 仍然帮助分析和生成方案。硬件负责的是另一件事确保这些治理输入在转化为最终执行时没有被替换、偏移或绕过。用这个系列一直在用的分工来说Bletchley 负责形成治理结果Enigma 负责让治理结果不能未经约束就变成现实。前者解决组织想做什么后者守住系统最后真正做什么。只有前者治理可能在软件世界内部被重新解释第十、十一篇只有后者硬件又缺少足够的业务信息。两者不是谁取代谁而是把复杂判断和最终执行拆成不同职责——这就是贯穿全系列的职责分离。十一、硬件的价值是改变权力结构从表面看加一块硬件只是架构调整。但它真正改变的是系统里谁说了算。纯软件系统里最高权限管理员、云端控制面或最终执行服务往往拥有完整权力能改策略、能换代码、能重新解释审批、能决定最终执行。加入独立硬件边界之后权力不再完全属于任何一个软件主体纯软件系统 加入独立执行边界后 ┌───────────┐ 用户 ─┐ │ 超级管理员 │ AI ─┤ │ 完整权力 │ SaaS ─┼─▶ 都只是输入谁都 │ 改策略/换码 │ 管理员 ─┤ 不能单独把判断 │ /定最终执行 │ │ 直接变成最终事实 └───────────┘ ─────────┴──▶【独立边界多来源条件共同收敛】用户不能单独完成AI 不能单独完成SaaS 不能单独完成管理员也不能单独完成。最终动作需要多个不同来源的条件共同收敛并且还要满足本地执行边界。这才是硬件带来的根本变化——不是多一台设备而是没有任何一个远程软件主体可以轻易把自己的判断直接变成最终事实。十二、为什么硬件不是为了更高级而是为了更难绕过因为硬件同样会有软件也同样会出错。它不是绝对可信的象征更不是用来制造技术神秘感的装饰——EUCLEAK 和 TPM 嗅探已经把这一点讲得很清楚了。Havenlon 需要 Enigma不是因为硬件比软件高贵而是因为最终执行如果始终留在同一个软件信任域里就很难形成真正独立的裁决。独立硬件边界把最后一步拆出来——让云端可以协同但不能强制 让 AI 可以建议但不能独自执行 让管理员可以治理但不能随时取消约束 让软件可以定义流程但不能随意改写最终事实。硬件的价值不是保证永远正确而是在所有上游软件都可能出错、被攻破或被说服的情况下仍然保留一个不容易被同一次失陷带走的位置。它不一定最聪明不一定最方便也不一定让系统跑得更快。但在最关键的时刻它必须足够独立能让一个错误动作停在现实发生之前。这就是 Enigma 的意义。不是为了让 Havenlon 看起来更高级而是为了让最后一步真的更难绕过。这是《Havenlon安全讲人话》系列的第十二篇也是为什么需要物理边界这条线的收尾。接下来三篇转入落地与升华为什么日志不是证据、执行过程才是证据十三为什么 AI 时代最稀缺的能力是能停下来十四以及一次收束——Havenlon 到底在守什么十五。参考来源本文引用的真实事件与技术概念EUCLEAK: Side-Channel Attack on the YubiKey 5 Series — NinjaLabVulnerability allows Yubico security keys to be cloned — Help Net SecurityExtracting BitLocker keys from a TPM (bus sniffing) — Pulse SecurityTPM Sniffing — Trammell Hudsons Projects