04.01 物聯網安全問題最關鍵的解決方案

1.高效的輕量級物聯網設備認證方案

由於物聯網將所有人、事物、數據和流程作為其核心組件，因此，身份驗證是最關鍵的功能之一，能夠確保這些實體之間的安全通信。在物聯網的上下鏈條、身份驗證只是指識別和驗證用戶的過程，並將智能設備、計算機和機器等連接起來。

物聯網允許授權的用戶或設備訪問資源，並拒絕惡意實體訪問這些資源。它還可以限制授權用戶或設備訪問受損設備。此外，身份驗證降低了入侵者建立與網關的連接機會，由此減少DoS攻擊的風險。在安全的物聯網通信中，在兩個或多個實體之間的任何通信涉及訪問資源之前，必須對每個參與實體進行驗證，以確定其在網絡中的真實身份。它意味著每個合法的節點或實體必須有一個有效的身份，以便參與通信。

身份驗證過程通常依賴於用戶名和密碼的使用。例如，在傳統的互聯網上，網站要求用戶名和密碼認證用戶，而瀏覽器使用SSL協議對網站進行認證。但物聯網的一個爭論點是，通常部署在通信系統核心的設備和大多數生態系統的終端節點都是由傳感器組成的（在某些情況下是RFID標籤）。這些終端設備用於收集信息，並將收集到的信息傳送到各個平臺。

因此，在這些硬件缺乏身份驗證的情況下，黑客們可以輕易連接到這些傳感器，也可以訪問數據，或者進行廣泛的惡意活動。考慮到它們中的大多數都是電量有限的節點，而且計算和內存資源有限，而傳統的安全認證方案，大部分都基於需要大量計算和內存空間的公鑰加密。因此，對於物聯網生態系統的安全有效的輕量級認證方案的需求是十分巨大且緊迫的。

2.靈活可靠的輕量級數據加密

輕量級加密（LWC）是一個新興的技術，用於在受限環境中開發用於實現的加密算法或協議，例如WSNs、RFID標記、智能醫療設備以及許多其他嵌入式系統。預計LWC將在確保物聯網和普遍的計算方面發揮重要作用。“輕量級”一詞可以從兩個角度來考慮，即硬件和軟件。然而，在硬件上的輕便性並不一定意味著軟件的輕便性，反之亦然。

在過去的幾年裡，一些輕量級的密碼已經被開發出來，用於小型嵌入式安全，包括 KLEIN、 PRESENT、XTEA、 CLEFIA、蜂鳥2等。但事實是，大多數方法只保證了低級別的安全性，所以這種特點限制了它們的部署。由於在安全性和性能之間總是存在權衡，因此LWC的安全性和效率之間的平衡將繼續是一個挑戰。同樣，資源受限設備的功耗和與硬件重量相關的問題以及LWC的軟件權重問題急需解決，以便為物聯網應用程序開發更加健壯和靈活的LWC

3.切實可行的傳感器回收計劃

物聯網的許多資源受限的設備通常部署在開放和嚴峻的環境中，在這種環境中，設備故障或被破壞並不是罕見的現象。例如WSNs，它是項關鍵技術，用於在物聯網中收集來自不同環境的各種數據。由於這些髙度受限的設備部署在惡劣環境中，設備很容易發生故障或遭受攻擊。因此，需要設計一種機制，能夠在傳感器節點或任何其他節點工作的情況下有效地撤銷密鑰。在互聯網上，兩個或多個實體之間的安全通信依賴於數字證書的信任。客戶端可以將證書發送給服務器，反之亦然。在密碼學中，數字證書僅是一種電子文檔，它將一個屬性（如公鑰）與標識綁定在一起。公共密鑰基礎設施（PKI）是一個管理數字證書和私有密鑰的創建、分發和撤銷的系統。數字證書和秘鑰有一個有效期。它們也可以在過期之前被撤銷。撤銷原因可以有很多，如私有密鑰的折中或持有密鑰的實體狀態的更改。如果相應的私鑰被破壞，PKI允許用戶在證書頒發機構（CA）上撤銷公鑰或任何與其相關的證書。

撤回密鑰是非常關鍵的。當證書被撤銷時，必須通過證書撤銷列表（CRL）、在線證書狀態協議（OCSP）或其他方式向參與實體提供證書撤銷信息。與傳統互聯網一樣，物聯網的信任也是一個基本要求。有必要讓實體相信智能設備及其相關數據和服務是安全的，不受任何形式的操縱。然而，在物聯網中實現關鍵的撤銷比傳統的互聯網更具挑戰性。在實現過程中出現的複雜性有很多原因，包括網絡的大小、設備的多樣性以及許多設備的約束特性。例如，將低成本的設備與有限的資源連接起來，使得基於公鑰加密（PKC）的加密算法在不影響安全性的質量或級別的前提下難以實現其功能。此外，許多智能設備完全忽略了CRL，從而給惡意實體提供了使用通過數據人侵獲取的密鑰進行惡意活動的機會。因此，制定有效和可靠的關鍵撤銷方案，以應對物聯網中各種各樣的安全問題至關重要。

4.標準化安全解決方案

物聯網有很多無線通信技術，如WiFi、藍牙、IEEE802．154，Zigbee、LtE等。這種不同物理層的混合使得連接設備之間的互操作性非常困難。雖然使用不同通信技術的設備仍然可以通過iP路由器進行通信，但是當協議機中的不兼容問題超出物理和鏈接層時，就必須使用網關，這無疑增加了部署成本，不同的無線通信技術的設備使用的安全解決方案也因此變得更加複雜，標準化的解決方案必須跨多個域使用。

關於制定物聯網標準的討論開始於2013年，但到2014年，幾乎沒有成形任何標準。自2015年9月開始，一些標準應用於產品認證上如 Thread Group、 Allseen Alliance／Alljoyn、 Open Interconnect Consortium／IoTiy、 Industrial Internet Consortium、 ITU－T SG20、 IEEE P213和ApleHomekit。最然已經制定了一些標準，但支持物聯網的實際標準還沒有完全投人使用。其結果是，對於製造商來說，市場是開放的，沒有具體的指導規則。這就產生了不同的協議和平臺的開發，從而導致產品產生很多漏洞。

對智能設備來說，物聯網標準開發的一個主要障礙是缺乏統一的定義。例如，協調智能燈泡的標準和心臟起搏器的標準就是一個難題。再者，考慮到物聯網需要許多技術支撐，一個標準不能涵蓋所有技術。此外，由於標準化機構的數量過多，它們的職能可能有重疊，甚至在戰略上也有衝突。因此，為了實現物聯網的標準化安全解決方案，需要各種標準化機構來共同協調它們之間的工作。