NSA發布ASIC安全最佳實務，歸納18類威脅強化晶片供應鏈防禦

核心要點

美國國家安全局（NSA）於 8 月 25 日同步發佈《ASIC最佳實踐威脅目錄》與《ASIC保證等級 1（LoA1）最佳實踐》兩份技術報告，針對特殊應用積體電路（ASIC）在設計、製造及供應鏈各階段可能遭受的蓄意威脅，歸納出 18 種 對手破壞途徑，並提供具體的風險緩解建議，顯示美國政府正將供應鏈安全的要求延伸至客製化晶片層級。

背景與影響

硬體供應鏈安全已成為全球政府與產業的焦點。NSA 先前於 2022 年底針對可程式化邏輯閘陣列（FPGA）發布類似報告，這次則以相同的保證等級架構（LoA）擴展至 ASIC，說明其在硬體保證領域的長期布局。

報告中列出的 18 項威脅涵蓋：

設計需求階段的規格竄改
IT 系統與網路的未授權存取
電子設計自動化（EDA）軟體的惡意程式碼注入
第三方矽智財（3PIP）的供應鏈後門

對每一類威脅，NSA 都提供了偵測、預防與驗證三層次的緩解措施，例如加強版本控制、實施硬體安全模組（HSM）簽章、以及在晶圓製造前進行完整的功能驗證。這套實務指引由美國戰爭部（DoW）旗下聯合聯邦保證中心硬體保證實驗室（JFAC HwA）的專家共同制定，允許使用者依需求彈性調整。

未來展望

NSA 表示，未來將以三部曲方式陸續發布更完整的實務指引，協助美國及其盟友在客製化微電子硬體的設計與製造過程中建立更高的安全防線。對產業而言，這不僅是一次政策層面的提醒，更是促使晶片設計公司、代工廠與供應鏈合作夥伴加速導入**安全開發生命周期（SDLC）**的契機。企業若能主動採納報告中的緩解選項，將大幅降低被植入後門或竊取智慧財產的風險，提升整體供應鏈的韌性與可信度。

讀者提示：關注 ASIC 安全的企業，建議立即檢視自家設計流程是否符合 NSA 所列的 18 項威脅類別，並依照 LoA1 建議的緩解措施逐步落實，才能在日益激烈的硬體攻防戰中保持競爭優勢。