أمن البرامج الثابتة وتحديثات OTA للتصنيع والأتمتة

في خط الأتمتة، سطح الهجوم الحقيقي ليس منطق البرنامج الثابت، بل الصورة غير الموقّعة التي يومضها مقاول عبر USB وعملية الكتابة عبر Modbus غير الموثّقة التي لم يسجّلها أحد. نحن نؤمّن الجهاز نفسه: جذر ثقة عتادي محروق في eFuses، ومسار OTA لا يقبل سوى الصور المشفّرة الموقّعة مزدوجاً، وطبقة أوامر تثبت من أصدر كل قيمة ضبط. يبقى الخط يعمل، لكنه يكفّ عن الوثوق بأي شيء لا يستطيع التحقق منه تشفيرياً.

Challenges specific to Manufacturing & Automation

• برامج ثابتة غير موقّعة يومضها أي شخص يملك كابلاً

  بدون جذر ثقة عتادي يشغّل محمّل الإقلاع أي شيء موجود في الفلاش، فيمكن لحاسوب مقاول أو وحدة مستبدلة حقن برنامج ثابت مارق يبدو مطابقاً للإنتاج على شاشة HMI.

• صور OTA تنتقل وتُخزَّن بنص واضح

  حين تفتقر قناة التحديث إلى التحقق من التوقيع والتشفير أثناء التخزين، يستطيع مهاجم على شبكة المصنع التقاط الصورة أو استنساخها أو استبدالها ودفع منطق خبيث إلى كل متحكم مماثل على الخط.

• التراجع يعيد فتح ثغرات مُصحَّحة

  الجهاز الذي يقبل أي صورة موقّعة بصحة يمكن إرجاعه إلى إصدار معروف بثغرته، فيُلغي تصحيحاً أمنياً بينما يجتاز كل فحوص التوقيع والإصدار التي يراها المشغّل.

• كتابات قيم الضبط بلا أصل موثّق

  تتيح بروتوكولات التشغيل المسطّحة لأي مضيف على المقطع كتابة أمر سرعة أو وصفة أو مشغّل، فيمكن لمحطة هندسة مخترقة قيادة العملية دون أي إثبات لمن أصدر التغيير.

• لا سجل يكشف العبث يبيّن من غيّر ماذا

  حين لا تُسجَّل تحديثات البرامج الثابتة وتعديلات الإعدادات والأوامر المميّزة بحماية للهوية والسلامة، يعجز فريق الطب الجنائي بعد حادثة عن إعادة بناء التسلسل أو الوثوق بالسجلات الباقية.

• المتحكمات على شبكة مسطّحة واحدة غير موثوقة

  بلا حدود مناطق وقنوات يصل حاسوب مكتبي مصاب إلى وحدات PLC والعقد الطرفية مباشرة، فتعرّض بيانات اعتماد مسروقة واحدة الخلية بأكملها بدلاً من محطة تجميع مقطّعة واحدة.

How GizanTech solves them

1. جذر ثقة عتادي بـ eFuse (Secure Boot v2). نحرق ملخص المفتاح العام RSA-3072 في eFuses لـ ESP32 ونفعّل Secure Boot v2 ليتحقق محمّل الإقلاع في ROM تشفيرياً من كل مرحلة؛ فتتوقف الصورة المعبوث بها أو غير الموقّعة عند الإقلاع بدل التشغيل، محقّقة سلامة البرنامج الثابت IEC 62443-4-2 CR 3.4.
2. خط أنابيب OTA موقّع ومشفّر بـ AES-XTS. نوقّع كل إصدار بمفتاح غير متصل في HSM أو رمز Yubico، ونشفّر الفلاش بـ AES-256-XTS، ونرسل التحديثات عبر TLS موثّق مزدوجاً، فلا يقبل الجهاز إلا صورة موقّعة مزدوجاً ويبقى الملف الثنائي عديم الفائدة إن اعتُرض أو فُرّغ.
3. فرض منع التراجع أحادي الاتجاه. نربط كل تحديث OTA بعدّاد إصدار آمن في eFuse يتزايد فقط، فيرفض محمّل الإقلاع أي صورة إصدارها الأمني أدنى من الحد الحالي للجهاز، مانعاً هجمات التراجع إلى نسخة مصابة وفق IEC 62443-4-2 CR 3.10.
4. قناة أوامر موثّقة بالتحكم بالأدوار RBAC. نغلّف كتابات قيم الضبط والمشغّلات بمصادقة لكل رسالة (حمولات موقّعة/HMAC أو شهادات عميل mTLS) مع تفويض قائم على الأدوار، فيرفض المتحكم أي أمر يفتقر إلى هوية مشغّل أو مهندس صالحة، محقّقاً CR 1.1/1.2 و CR 2.1.
5. تسجيل تدقيقي يكشف العبث إلى SIEM. نُصدر سجلات مسلسلة بالتجزئة ومختومة زمنياً لكل تحديث برنامج ثابت وتغيير إعداد وأمر مميّز عبر syslog/TLS إلى SIEM المصنع، فتكون كل مدخلة محمية السلامة ويكسر أي سطر محذوف أو معدّل السلسلة ويطلق تنبيهاً.
6. تجزئة الشبكة بالمناطق والقنوات. نصمّم الجهاز ليعمل خلف قناة محددة بجدار ناري يرفض افتراضياً، وشبكة OT VLAN مخصصة، وحركة MQTT/TLS صاعدة عبر وسيط بدل التعريض المباشر، مطبّقين تقسيم IEC 62443-3-3 فلا يصل مضيف IT مخترق إلى المتحكم.