萬物互聯(lián)的時代即將來臨，物聯(lián)網(wǎng)設(shè)備逐漸滲透到我們所熟悉的生活場景，智能門鎖、智能音箱、智能電視已經(jīng)屢見不鮮。預(yù)計到2020年，將有500億臺物聯(lián)網(wǎng)（IoT）設(shè)備在全球范圍內(nèi)部署。在為用戶帶來便捷的生活享受、為企業(yè)帶來巨大收益的同時，IOT的安全問題應(yīng)成為行業(yè)關(guān)注的新方向。
安全問題已成最大隱患
在IOT應(yīng)用中，經(jīng)常會出現(xiàn)設(shè)備被模仿，知識產(chǎn)權(quán)受到侵犯；設(shè)備被黑客綁架及遙控；傳輸?shù)臄?shù)據(jù)被篡改或者遭到黑客植入病毒程序等問題。按照設(shè)備漏洞類型分類有權(quán)限繞過、拒絕服務(wù)、信息泄露、跨站、命令執(zhí)行、緩沖區(qū)溢出、SQL注入、弱口令、設(shè)計缺陷等漏洞，受到影響的設(shè)備包括網(wǎng)絡(luò)攝像頭、路由器、手機(jī)設(shè)備、防火墻、網(wǎng)關(guān)設(shè)備、交換機(jī)等。隨著IOT產(chǎn)業(yè)的迅速發(fā)展，整個產(chǎn)業(yè)鏈都面臨著安全挑戰(zhàn)。
今年3月份，維基解密公開 “七號保險庫”的一大批機(jī)密文檔，文檔披露了很多監(jiān)控工具，其中包括一款由中情局（CIA）和英國軍情五處（MI5）開發(fā)的工具：該工具試圖將三星智能電視變成遠(yuǎn)程竊聽和監(jiān)控設(shè)備，用以監(jiān)視社會大眾的一舉一動。
無獨有偶，去年Fortinet(飛塔)公司推出網(wǎng)絡(luò)防火墻產(chǎn)品FortiGate(飛塔防火墻)，用于防御網(wǎng)絡(luò)層和內(nèi)容層的惡意代碼攻擊。經(jīng)業(yè)內(nèi)分析驗證，發(fā)現(xiàn)FortiGate防火墻存在一處“后門”漏洞。由于FortiGate防火墻Fortimanager_Access用戶的密碼采用較為簡單的算法來生成，攻擊者通過分析破解后可直接獲得認(rèn)證的最高權(quán)限(root)權(quán)限，進(jìn)而控制防火墻設(shè)備，后續(xù)攻擊者可通過防火墻作為跳板，滲透內(nèi)部區(qū)域網(wǎng)絡(luò)，進(jìn)行信息嗅探、數(shù)據(jù)攔截等操作。
隨著連接變得更加頻繁和靈活，安全性將成為IOT產(chǎn)業(yè)發(fā)展的首要考量。
IOT安全性的三大需求
對于IOT的安全問題，美信半導(dǎo)體安全產(chǎn)品事業(yè)部經(jīng)理劉武光認(rèn)為，業(yè)內(nèi)技術(shù)人士一直在思考怎樣通過網(wǎng)絡(luò)給設(shè)備軟件安全升級；怎樣保證系統(tǒng)外接的傳感器或者外圍擴(kuò)展板卡身份是否合法；采用對稱算法加密或解密數(shù)據(jù)如何安全地告知接收方所要使用的解密密碼。歸結(jié)起來IOT有三大安全性需求。
第一是身份認(rèn)證，需要驗證對方身份是否合法，涉及到安全算法中的數(shù)字簽名技術(shù)；第二是完整性認(rèn)證，需要驗證內(nèi)容是否被篡改，同樣利用安全算法中的數(shù)字簽名技術(shù)；第三是保密性，要確保僅授權(quán)的對象才能解出原文，需要利用安全算法中的數(shù)字加密技術(shù)。
數(shù)據(jù)加密和解密的典型應(yīng)用包括數(shù)據(jù)的安全傳輸、安全數(shù)據(jù)存儲等，例如DVB系統(tǒng)中的碼流加擾和解擾。安全身份認(rèn)證和數(shù)據(jù)完整性驗證的典型應(yīng)用包括所有要求安全身份識別的應(yīng)用，例如商品防偽、網(wǎng)上身份識別、系統(tǒng)配件識別等。
基于硬件密碼保護(hù)的IOT安全解決方案
與傳統(tǒng)的純軟件IOT安全解決方案不同，劉武光在第四屆IOT大會上提出新思路，分享了一種基于硬件密碼保護(hù)的IOT安全解決方案。首先為IOT設(shè)備創(chuàng)建安全身份信息，包括兩個步驟：第一通過隨機(jī)數(shù)發(fā)生器生成唯一的公鑰和私鑰對；第二通過綁定設(shè)備唯一ID或者其他關(guān)心的設(shè)備信息、綁定設(shè)備公鑰生成數(shù)字證書。
其次，完成IOT設(shè)備之間的身份認(rèn)證。安全的身份驗證包括兩步，第一步數(shù)字簽名認(rèn)證：設(shè)備由私鑰產(chǎn)生數(shù)字簽名，另一個設(shè)備使用對方提供的公鑰驗證數(shù)字簽名；第二步數(shù)字證書驗證：設(shè)備將系統(tǒng)管理者使用系統(tǒng)級私鑰簽發(fā)證書，交由另一這個設(shè)備驗證其證書的合法性。
最后，通過使用RSA、ECDH和ECDHE三種交互密碼實現(xiàn)IOT設(shè)備之間的安全數(shù)據(jù)傳輸，采用對稱加密算法，如AES-128進(jìn)行加密或者解密流程。
劉光武通過上圖對比分析了純軟件的IOT安全性解決方案和三款基于硬件密碼保護(hù)的IOT安全性解決方案，可以清晰地看出基于硬件密碼保護(hù)的IOT安全性解決方案在攻擊密碼難度、支持身份驗證算法、計算時間、密碼分發(fā)、數(shù)據(jù)加密算法等方面都更大程度地提高了IOT應(yīng)用的安全性。
京公網(wǎng)安備 11010502049343號