科技产业报订阅
活动+
 

SEMI台湾力推晶圆厂资安标准 降低半导体产线的风险威胁

工研院信息与通讯研究所副组长卓传育表示,晶圆厂暨设备资安标准的制定,涵盖OS安全、网络安全、端点防护、安全监控、应用程序安全、存取控制等六大方向。

关注半导体产业发展议题的人们,对「国际半导体产业设备与材料协会」(SEMI)应不陌生,其在半导体、太阳光电、平面显示器、微电子(MEMS)、纳米科技等领域的国际标准制定与推动,可说颇负盛名;惟综观SEMI过往制定的产业技术标准,多与制程有关,如今SEMI台湾首度跨足信息安全,积极催生晶圆厂暨设备的资安标准。

众所皆知,去(2018)年8月间晶圆代工龙头台积电的生产机台曾遭受勒索病毒WannaCry感染,成为近年最受瞩目的事件,凸显半导体产业迈向高度自动化、智能化的同时,连带面临险峻的资安威胁。着眼于此,在台积电、日月光等多个SEMI会员努力推动下,于去年11月正式成立晶圆厂暨设备资安工作小组(Task Force),意在建立相关标准、协助业者解决产在线资安问题,而工研院信息与通讯研究所资料中心系统软件组副组长卓传育,是这个工作小组的Leader。

卓传育指出,随著晶圆厂机台中毒事件发生,各界备感诧异,为何两年前的老病毒惹出这么大的风波?难道不做扫毒?事实上,半导体厂房购置的特殊生产设备,不少都由单一供应商独卖,为避免设备效能受到影响,供应商往往强势要求买方不得安装防毒软件;基于此限制,加上这些设备的操作系统普遍老旧、久未更新,遂成为潜在的资安脆弱点。

透过标准制定,一体适用所有设备供应商

综观这些设备供应商,动辄成千上万家,半导体业者很难一一说服他们开始正视资安议题、加入防护功能,即使象是台积电拥有较大影响力的买家,也同样面临这个困扰;既然如此,最快的改变方法就是制定标准规范,只要标准出炉,任何想要把设备卖到晶圆厂的业者,都必须遵守游戏规则,例如内建应用程序白名单管控机制,或针对TCP 445等高风险的连接埠进行阻挡等等,唯有符合标准,才会成为合格供应商。

一开始有些思虑严谨的人,主张应于晶圆厂暨设备资安标准内加入若干严格规范,固然立意良善,但容易使标准沦于包山包海、反而形成推动阻力,于是在Task Force成员不断沟通磨合下产生共识,将标准的适用范围限缩,只有卖到晶圆厂的计算机设备,无论用于控制光罩机、蚀刻机、输送带...等等任何生产机台、且具备连网功能,才需要遵循规范;假使用于半导体公司OA办公环境的计算机,便不在规范之列。

卓传育说,时至今年3月,此案经由国际SEMI会员投票同意,取得「SNARF 6506」案号,可正式着手撰写标准内容;至于分工方式,系由负责OS、端点防护、网管、监控等不同任务编组各自撰写草稿,并透过每月召开的大会进行Review,撰稿人需就其中不合理之处再做修正。

依循六大方向,层层保障生产环境的安全

依Task Force对外的公开发布内容,可知晶圆厂暨设备资安标准主要涵盖四大方向,分别是:「操作系统安全」,举凡Patch、EOS的处理都被涵盖其中,结论是机台设备应采用具有Long Term Support的操作系统版本;「网络安全」,譬如针对用不到的网络服务、如网络芳邻的445连接埠,应予关闭停用;「端点防护」,包含防毒、应用程序白名单等管控机制都在规范之列,旨在避免恶意程序感染生产设备;「安全监控」,规定设备厂应提供API,确使机台本身的安全状态信息可对外传送。

卓传育透露,其实现今标准的制定方向,并不仅止于上述四项,还有「应用程序安全」、「存取控制」(IAM)另外两项,前者规定任何应用程序应先通过检测,才能进入生产环境,避免程序沦为资安弱点来源;后者是为了为设备赋予基本权限管控能力,最起码任何人要操作机台,必须通过帐密验证程序。

若情况顺利,第一版草稿最快在10月出炉;卓传育不忘提醒,如同其它国际标准,这份晶圆厂暨设备资安标准只是「低标」,半导体厂欲强化资安防护,还有其它许多基本功课需要落实,比方说制定公司内部的配套管理措施,或采用微网段切割技术,透过预先设定的联机规范,主动禁止不合理的通讯行为。

未来制造,云端、物联、数据搜集已成关键。但是,当生产信息出得去、外部攻击进得来……您知道您的工厂,安全吗?8/8登场的资安论坛,活动主题订为「保障IIoT安全,加速智能制造」,邀请中油信息部经理分享工控系统安全管理经验、工研院资通所专家探讨高科技制造业资安标准,还有重量级业者趋势、研华、四零四、精品…提出最新市场观察与解决方案,全程参与听众有机会抽中PS4一台!免费活动,欢迎各界报名参加

  •     按赞加入DIGITIMES智能应用粉丝团
更多关键字报导: SEMI 资安防护