物聯網(IoT)時代，嵌入式產品大量導入聯網功能，在提升功能與便利性之餘，也帶來與日俱增的安全威脅，所以在嵌入式產品的開發上，需要導入全面的基礎安全(Foundation Security)架構，全方位的提升產品安全防護，有效提升產品的安全性，防範各式各樣新興的安全攻擊與層出不窮的漏洞。
IoT安全威脅已經成為嵌入式設計的重點之一，如何有效避免IP盜竊、偽造和生產過剩等攻擊，如何因應各國制定的安全準則和法規已經是設計團隊的主要課題之一，IAR的解決方案可以符合各國制定的安全準則，實作嵌入式程式的安全保護機制；搭配各家MCU廠商的硬體安全功能，整合於原本的EW開發流程；並提供從程式開發原型，到產品量產安全燒錄最完整個解決方案。
Foundation Security全生命週期防駭
網路安全事件層出不窮，但主要原因可以歸結為兩點：一是實施安全措施所需的成本投入過高，二是需要保護的系統日益複雜。攻擊面或底層程式碼已經變得過於廣泛，企業很難完全覆蓋所有漏洞。產品駭客攻擊涵蓋了多種威脅，包括惡意軟體攻擊、勒索軟體、密碼攻擊、DDoS攻擊、MITM攻擊、DNS定位、埠掃描、SMB中繼、ICMP攻擊等。由於存在眾多入口點和攻擊面，因此在正確的層級實施嵌入式安全措施至關重要。特別是需要最高程度保護的兩個關鍵層級：帶有安全啟動的硬體根信任(Root of Trust, RoT)和即時作業系統(RTOS)及其核心服務。
保護這些基礎層級至關重要，透過在基本層級上加入安全措施，企業為整個系統奠定了堅實的安全基礎，也就是Foundation Security的意義。早期投資於安全實施意味著只需進行少量調整和承擔有限費用，有效地減輕了產品或智慧財產權(IP)被盜竊的風險。這種方法可以避免後期可能出現的由漏洞或IP洩露引起的巨大成本。
因為網路安全風險日益升高，也讓各國政府越加重視，紛紛制定如歐盟的《網路韌性法案》(EU Cyber Resilience Act)、英國的《產品安全與電信基礎設施法案》以及美國的《NIST網路安全標準》等法規，驅使企業將更嚴謹的安全功能融入其嵌入式系統，並將安全性的重要性提高到新的高度。遵守這些法規不僅能確保企業保護客戶、維護品牌和聲譽，還能讓企業將安全視為一項有價值的服務和業務成長的動力。
完整安全開發流程
完整的Foundation Security架構與設計，應該要提供防複製(Anti-Cloning)防止假冒偽劣產品、加密製造；主動IP保護(Active IP Protecting)提供從啟動程序就安全的應用程式和設備訪問權限；防止回溯(Anti-Rollback)提供防回溯保護攻擊和版本控制威脅；身份驗證(Authentication)快速信任程序。
在嵌入式系統中，安全性是一個至關重要的考慮因素。最理想的情況是，我們應該從產品開發的最初階段就開始考慮安全性，甚至在編寫第一行程式碼之前就應該將其納入考慮範圍，而不是在後期進行補救。產品管理團隊在瞭解潛在的攻擊威脅，確定產品的安全要求，並在成本和功能之間進行權衡。然而，不幸的是，在許多情況下，安全性往往被忽視。有些公司認為安全性成本太高，或者將其掩蓋在其他低成本、快速跟隨者的市場定位中。一個完整的安全開發流程通常包括四個部分：
詳細需求
詳細需求需要不同部門間的產品管理、營運和生產團隊協調合作。這個階段涉及定義產品功能，考慮產品整個生命週期內的符合法規性，並考慮生產和製造的限制條件。
定義安全設定檔
安全需求的輸出應該演變為清晰易懂的安全設定檔，概述了產品的安全能力。這包括測量引導過程、識別機制、設備加入過程和生命週期更新管理等方面的內容。
安全開發
在開發過程中，應該整合安全設定檔或上下文，並遵循現代代碼開發實踐。包括持續測試、驗證和整合。此外，還需要在生產之前對安全生產進行驗證，確保每個設備都有唯一的身份和憑證管理，設備準備就緒就可以進行大規模生產。
安全生產
安全生產應與開發流程保持一致，以防止忽視或忽略安全需求的風險。利用協力廠商程式設計和供應合作夥伴，可以簡化這種方法，無論是直接合作還是透過合約製造商。將實現流暢的生產流程，並整合必要的設備配置和加入過程。
安全設計加速產品上市時程
在部分物聯網終端或車用、醫療等領域，更要求長期穩定的支援，維護期長達10~15年。舉例而言，醫療設備廠商聿信醫療的電子聽診器監測器在獲得台灣食藥署醫材證核可後，便積極取得美國FDA認證。由於美國FDA的認證申請中，醫療資料安全性為非常重要的審核標準，FDA申請須提供開發過程中所有使用的軟體工具、開發工具資訊，並且也需確認相關MCU及工具的安全性，取得相關文件對廠商而言也深具挑戰性。
該聽診器監測元件需透過微控制器來進行訊號處理，也必須將資料外傳以進行後端AI判斷，其中的韌體必須是無法被竄改並受到保護，不受攻擊。而唯有從設計到開發之整個流程具備完整的安全機制，方能獲得醫療主管機關認可。IAR Embedded Trusted的GUI介面讓工程人員可以操作勾選記憶體布局(Memory Layout)設定，其程式碼相對單純，可供簡單修改來因應需求，不需從無到有。更小的程式碼可最大化使用MCU記憶體容量，縮減硬體成本。加強產品整體安全性，加快美國FDA認證(SBM導入從1年縮短為1 個月)。
安全讓一切變簡單
IAR專注於提供嵌入式應用中的安全程式碼解決方案，以支援產品的安全性。安全讓一切變得簡單(Security Made Simple)理念貫穿整個開發生命週期，即使對於沒有廣泛安全經驗的開發人員也提供指導。
在概念和設計階段，IAR Embedded Trust提供便利來創建信任根。透過與安全程式設計工具IAR Secure Deploy的結合使用，IAR Embedded Trust提供端到端解決方案，使企業能夠將安全性作為建立產品基礎能力的重要步驟。針對後期階段的安全需求，IAR Embedded Secure IP是實施嵌入式安全功能的首選工具。它採用了資料混淆、數位簽章、動態設備金鑰以及針對客戶特定的營運資料保護、防複製和IP保護措施。
面對整體經濟情勢的轉變，除了AI/電動車等特定領域，許多應用在2023年都將面對艱困的市況，尤其消費性電子，但安全相關技術的開發，在這個階段不應該是負擔，反而是廠商應該深入耕耘的部分，相信在大環境景氣復甦時，對安全技術有更多準備的產品，反而可以取得最佳的市場先機。
