Ｐｈｉｌｉｐ　Ｇｉｏｒｄａｎｏ

摘要：安全设计是一个动态的、与具体系统相关的过程，且往往很复杂。在探讨安全话题时，最重要的事情就是尽早开始安全需求评估，定义系统安全目标，并经常性地根据系统用途及市场的变化来确定是否最初的威胁已经改变或扩展。

关键词：嵌入式系统；安全系统；风险评估；威胁建模；检测

引言

若没有应用环境，安全就没有意义。嵌入式系统设计师经常误解安全，认为诸如特定的加密算法和安全协议等安全措施只是系统的附加特性。安全是一个过程，而不是永远保持不变的一款产品或一种终极状态。而且，也不能在产品将永远保持安全的假设下，把安全措施简单地加入到一款产品中。设计师应该在设计过程开始的时候，就把安全和其他参数如成本、性能和功耗等一并进行考虑。

在设计的初始阶段，利用安全设计检测威胁

在设计安全解决方案的时候，首先必须做的就是定义一个威胁模型，然后再创建安全策略。一旦评估完成，就能安心地选择具体的技术来实现安全对策。威胁决定应对策略，策略决定设计。

许多设计师都会犯同一个错误，在设计安全系统时没有首先明确和了解可能遇到的真正威胁、以及这些威胁会为他们的终端产品带来的重大风险。相反，他们教条地把分类的安全技术堆在一起，并希望能获得很高的安全性。这样做代价高昂，没有系统能防御所有的安全威胁，在设计中囊括那些没有必要的技术和防御没有实际威胁的风险毫无意义。……