慧榮SMI主控是否存在后門漏洞理性分析
近日，網絡上一則銀監(jiān)會要求相關部門核實并上報固態(tài)硬盤中是否運用了臺灣慧榮SM2246EN、SM2256、SM2258主控的消息引起廣泛關心，排查的原因指向慧榮這三款主控存在后門漏洞，可能會造成數(shù)據(jù)泄露甚至破壞系統(tǒng)的風險。 慧榮科技也是在第一時間發(fā)布了相關聲明，稱自行規(guī)劃的SSD主控絕無后門漏洞的風險，并且表示已銷售超過1億顆的SSD主控，尚無任何一件因慧榮主控而發(fā)生的資料安全危機事件。 我們暫且不考慮銀監(jiān)會要求核實主控這條消息的真實性，對于大家廣泛關心的數(shù)據(jù)安全，我們有必要理性地分析一下SSD主控是否存在后門漏洞的可能。一、主控芯片能自行泄露數(shù)據(jù)？ 首先來簡單說一下SSD的組成，現(xiàn)在絕大多數(shù)的SSD是由主控芯片、緩存顆粒、閃存顆粒三部分組成（部分SSD已經看不到緩存顆粒了）。主控芯片相當于處理器，負責數(shù)據(jù)的讀寫工作;緩存顆粒相當于內存，幫助主控讓讀寫數(shù)據(jù)更快速;閃存顆粒相當于硬盤，也就是儲存數(shù)據(jù)的地方。 而對閃存顆粒的讀寫必須要經過接收主機（Host）指令才行，主控芯片是無法自行對數(shù)據(jù)進行讀寫處理的，并且主控芯片也不具備對外通信的功能，絕不可能繞過主機（Host）控制而泄漏儲存數(shù)據(jù)，更沒有繞過主機控制而導致系統(tǒng)癱瘓的可能，從某種角度來說，SSD完全是一個被動的角色。 二、通過自定義接口泄露數(shù)據(jù)？ 那么主控芯片能否通過自定義接口泄露數(shù)據(jù)呢？回答這個問題有必要解釋一下自定義接口這個東西。 所謂自定義接口（Vendor Command），指的是在SATA/PCIe規(guī)范的標準指令以外的定制化指令，是由主控芯片根據(jù)各家SSD生產廠商的要求所定義的新指令，主要針對特殊用途及工業(yè)用途的SSD，它的目的是幫助客戶快速實現(xiàn)某種需要，比如方便質量管控等，這就有點像鍵盤中的快捷鍵，并且自定義接口在儲存設備中已經是必要的基本功能了，所以自定義接口也不會是SSD泄露數(shù)據(jù)的元兇。 三、寫入保護/強制擦除所有塊功能會泄露數(shù)據(jù)？ 主控芯片不會泄露數(shù)據(jù)，自定義接口也不會，那么會不會是SSD中的寫入保護和強制擦除所有塊這兩個功能泄露的呢？答案依舊是否定的。 有用過U盤或者SD卡的朋友肯定知道寫入保護這個功能，它的作用是讓U盤或者SD卡中的數(shù)據(jù)不被更改或刪除，保護原有文件，而SSD中的寫入保護是出于同樣的目的，當SSD外部電壓不穩(wěn)定時，就能啟動寫入保護功能，避免主機或用戶寫入錯誤數(shù)據(jù)或刪除數(shù)據(jù)的可能性。 再來說說強制擦除所有塊這個功能，其實這個功能適用于所有SSD或是HDD，但主要是針對工業(yè)用SSD 而規(guī)劃。工業(yè)用SSD對質量要求相當嚴格，在用戶或公司進行新舊SSD替換時，常用到強制擦除所有塊這個特殊指令，它可以快速的將要淘汰的SSD中的數(shù)據(jù)清除干凈，避免內部的數(shù)據(jù)被他人所運用，這也是保護SSD數(shù)據(jù)的一項重要功能。 總之，從技術角度來看，主控芯片是無法繞過處理器自行對數(shù)據(jù)進行讀寫處理的，更不會泄露數(shù)據(jù)，通過自定義接口或者寫入保護/強制擦除所有塊功能泄露數(shù)據(jù)也不成立，有些功能反倒是為保護數(shù)據(jù)而規(guī)劃的，所以有關慧榮主控存在后門漏洞的疑點似乎都不攻自破。關于這個事件的后續(xù)動態(tài)我們也會密切關心，大家還是不要盲目跟風，連續(xù)觀望為好。
Q:如何設置標題？
A:使用井號（#）。
Q:列表項以什么開頭？
A:以短橫線（-）開頭。
Q:怎樣強調文本？
A:用星號（*）括起來。
Q:代碼或命令如何表示？
A:用反引號（`）括起來。
Q:引用文本有什么格式要求？
A:使用大于號（>）。
Q:鏈接的格式是怎樣的？
A:將文本放在方括號 [] 中，然后將URL放在圓括號 () 內。
Q:圖像格式怎么設置？
A:將替代文本放在方括號 [] 中，然后將圖像URL放在圓括號 () 內。
Q:強調文本可以用其他符號嗎？
A:文檔中規(guī)定強調文本用星號（*）括起來，未提及其他符號。
Q:標題的井號數(shù)量有規(guī)定嗎？
A:文檔未提及標題井號數(shù)量規(guī)定。
Q:列表項除了短橫線還有其他符號可用嗎？
A:文檔規(guī)定列表項以短橫線（-）開頭，未提及其他符號。
Q:網絡上流傳的銀監(jiān)會要求核實的消息是關于什么的？
A:網絡上一則銀監(jiān)會要求相關部門核實并上報固態(tài)硬盤中是否運用了臺灣慧榮SM2246EN、SM2256、SM2258主控的消息引起廣泛關心，排查原因指向這三款主控存在后門漏洞。
Q:慧榮科技針對此消息有什么回應？
A:慧榮科技在第一時間發(fā)布了相關聲明，稱自行規(guī)劃的SSD主控絕無后門漏洞的風險，并且表示已銷售超過1億顆的SSD主控，尚無任何一件因慧榮主控而發(fā)生的資料安全危機事件。
Q:SSD主要由哪幾部分組成？
A:現(xiàn)在絕大多數(shù)的SSD是由主控芯片、緩存顆粒、閃存顆粒三部分組成（部分SSD已經看不到緩存顆粒了）。
Q:主控芯片在SSD中起到什么作用？
A:主控芯片相當于處理器，負責數(shù)據(jù)的讀寫工作。
Q:什么是自定義接口（VendorCommand）？
A:自定義接口（VendorCommand）指的是在SATA/PCIe規(guī)范的標準指令以外的定制化指令，是由主控芯片根據(jù)各家SSD生產廠商的要求所定義的新指令，主要針對特殊用途及工業(yè)用途的SSD，目的是幫助客戶快速實現(xiàn)某種需要，比如方便質量管控等，類似鍵盤中的快捷鍵，且是儲存設備中必要的基本功能。
Q:寫入保護功能在SSD中有什么作用？
A:有用過U盤或者SD卡的朋友肯定知道寫入保護這個功能，它的作用是讓U盤或者SD卡中的數(shù)據(jù)不被更改或刪除，保護原有文件，而SSD中的寫入保護是出于同樣的目的，當SSD外部電壓不穩(wěn)定時，就能啟動寫入保護功能，避免主機或用戶寫入錯誤數(shù)據(jù)或刪除數(shù)據(jù)的可能性。
Q:強制擦除所有塊功能主要針對什么情況？
A:強制擦除所有塊這個功能適用于所有SSD或是HDD，但主要是針對工業(yè)用SSD而規(guī)劃。工業(yè)用SSD對質量要求相當嚴格，在用戶或公司進行新舊SSD替換時，常用到