如何确保物联网安全

 

LocatorX公司总裁兼首席执行官、首席技术官Billy Meadow和LocatorX公司首席架构师Jeff Kase对物联网安全当前和未来的状况分享了一些见解。

 

 

互联网的历史可能非常短暂，因为它不是系统地解决安全问题的能力，而是适应恶意用户能够具有破坏性的许多方式。第一批Web浏览器使用未加密的数据流与服务器进行通信，对那些没有意识到“嗅探”互联网流量是多么重要的人没有提供任何保护。起初，大多数计算机都有自己的互联网地址，没有任何防火墙或黑客保护。这就像一个很大的街区，到处都是未锁屋门的房子。

 

如果没有采用SSL(TLS)保护的通信、用户凭据和其他安全措施，就不会有电子商务。人们都熟悉浏览器栏中的锁定图标，这表明有效的证书可以保护正在传递的数据;人们希望输入用户名和密码进行登陆得以识别，而对于智能手机，人们采用密码进行保护，但更喜欢采用指纹识别或面部识别等安全技术。

 

人们不能认为物联网设备的威胁更小——任何能够连接到互联网的设备都代表着潜在的安全漏洞，特别是如果它具有某种程度的计算能力。人们已经看到智能恒温器如何被选择导致计算机损坏，安全性有限的婴儿摄像机可能被网络攻击者所窃取。人们已经看到有多少具有有限计算能力的设备可以组合起来产生DDoS攻击，以及如何在运动中远程劫持连接的车辆。

 

在所有物联网设备设计和部署中，安全性至关重要。

 

人们使用多层安全机制解决了这个问题，与Web浏览器不同，但增加了一些措施：

 

•智能手机、扫描设备和其他通信节点，可以使用最新的SSL加密技术访问设备，以与服务器进行通信。

 

•用户可以在不输入凭证的情况下对设备进行某些只读访问，但所有敏感读写访问都需要标识。

 

•所有可与物联网设备交互的设备必须使用认证安全模块，并将嵌入式凭证分配给这些应用程序的注册软件开发人员。

 

•所有敏感数据，包括分配给每个物联网芯片的数字出生证明，均使用产品认证机构进行加密。这是目前用于维护加密此数据的加密密钥的内部机制。

 

•在未来将采用一种专利工艺，以物理方式将加密标识写入芯片本身，并将其用作另一层保护。

 

 

物联网设备的安全性必须是整体实施计划架构的一部分，从一开始就要考虑这一点。同时，它必须是一个适应性强的解决方案，这本身就是一个挑战。在100台左右的设备上更新固件或安全凭证是一回事，而在数十万台或数百万台设备是另一回事。此外，更新过程本身需要安全实施，因为这是另一个潜在的安全漏洞。

 

 

它是如何变化的——每个主要供应商都有几十种不同的专有物联网安全架构。人们看不到这些供应商设计用于互操作性的结构。在物联网的世界里，许多这样的设备几乎没有安全保障。LocatorX公司正在设计一个既开放又安全的安全体系结构，并使用一个行业标准的证书颁发机构来实现互操作性。LocatorX公司的技术可以被任何拥有该设备或产品的人安全地扫描。证书颁发机构为网页建立了信任基础。通过创建产品认证机构，可以为物联网中的产品建立信任基础。

 

 

现实世界的使用是能够在整个生命周期中跟踪单个物品、箱子或托盘。任何与产品接触的人都可以使用智能手机扫描项目并对其进行身份验证，因此可以信任来自该产品的信息。此信息由单个产品证书颁发机构进行身份验证。

 

 

当今的最佳实践可以被视为未来的潜在弱点。例如，如果企业遵循TLS版本和密码的流失，就会意识到任何修复的时间性。在发现/利用漏洞之前，SSL一直是标准。然后，TLS 1.0,1.1,1.2和现在的1.3将很快成为标准。互联网本身就是这种升级的部分原因。任何成功渗透系统的漏洞或方法都可以在几分钟内在全球范围内共享。另一个原因是对强大的计算平台的访问继续降低成本并提高可用性。TLS密码和方法只是复杂的数学算法，因此采用暴力工具意味着破解那些算法更容易。

 

另一个挑战是防止“特洛伊木马”攻击，即在安全范围内安装硬件或软件。这不是物联网设备的问题，但可能是获取可能用于外部物联网攻击的敏感数据的另一个来源。

 

唯一不变的是，大量的攻击者试图通过安全墙，而企业试图保护的资产越敏感或价值越高，获得控制或访问的尝试就越频繁。

 

 

如果可以向使用产品的人员证明安全性，那么安全性就是积极的。一旦建立了信任和舒适，就鼓励使用。已经在亚马逊和电子商​​务行业看到了这一点，任何物联网解决方案的全部潜力只有在安全性不成问题时才能实现。