LocatorX公司總裁兼首席執(zhí)行官、首席技術(shù)官Billy Meadow和LocatorX公司首席架構(gòu)師Jeff Kase對(duì)物聯(lián)網(wǎng)安全當(dāng)前和未來(lái)的狀況分享了一些見(jiàn)解。
企業(yè)保護(hù)物聯(lián)網(wǎng)設(shè)備的方法是什么?
互聯(lián)網(wǎng)的歷史可能非常短暫，因?yàn)樗皇窍到y(tǒng)地解決安全問(wèn)題的能力，而是適應(yīng)惡意用戶(hù)能夠具有破壞性的許多方式。第一批Web瀏覽器使用未加密的數(shù)據(jù)流與服務(wù)器進(jìn)行通信，對(duì)那些沒(méi)有意識(shí)到“嗅探”互聯(lián)網(wǎng)流量是多么重要的人沒(méi)有提供任何保護(hù)。起初，大多數(shù)計(jì)算機(jī)都有自己的互聯(lián)網(wǎng)地址，沒(méi)有任何防火墻或黑客保護(hù)。這就像一個(gè)很大的街區(qū)，到處都是未鎖屋門(mén)的房子。
如果沒(méi)有采用SSL(TLS)保護(hù)的通信、用戶(hù)憑據(jù)和其他安全措施，就不會(huì)有電子商務(wù)。人們都熟悉瀏覽器欄中的鎖定圖標(biāo)，這表明有效的證書(shū)可以保護(hù)正在傳遞的數(shù)據(jù);人們希望輸入用戶(hù)名和密碼進(jìn)行登陸得以識(shí)別，而對(duì)于智能手機(jī)，人們采用密碼進(jìn)行保護(hù)，但更喜歡采用指紋識(shí)別或面部識(shí)別等安全技術(shù)。
人們不能認(rèn)為物聯(lián)網(wǎng)設(shè)備的威脅更小——任何能夠連接到互聯(lián)網(wǎng)的設(shè)備都代表著潛在的安全漏洞，特別是如果它具有某種程度的計(jì)算能力。人們已經(jīng)看到智能恒溫器如何被選擇導(dǎo)致計(jì)算機(jī)損壞，安全性有限的嬰兒攝像機(jī)可能被網(wǎng)絡(luò)攻擊者所竊取。人們已經(jīng)看到有多少具有有限計(jì)算能力的設(shè)備可以組合起來(lái)產(chǎn)生DDoS攻擊，以及如何在運(yùn)動(dòng)中遠(yuǎn)程劫持連接的車(chē)輛。
在所有物聯(lián)網(wǎng)設(shè)備設(shè)計(jì)和部署中，安全性至關(guān)重要。
人們使用多層安全機(jī)制解決了這個(gè)問(wèn)題，與Web瀏覽器不同，但增加了一些措施：
•智能手機(jī)、掃描設(shè)備和其他通信節(jié)點(diǎn)，可以使用最新的SSL加密技術(shù)訪(fǎng)問(wèn)設(shè)備，以與服務(wù)器進(jìn)行通信。
•用戶(hù)可以在不輸入憑證的情況下對(duì)設(shè)備進(jìn)行某些只讀訪(fǎng)問(wèn)，但所有敏感讀寫(xiě)訪(fǎng)問(wèn)都需要標(biāo)識(shí)。
•所有可與物聯(lián)網(wǎng)設(shè)備交互的設(shè)備必須使用認(rèn)證安全模塊，并將嵌入式憑證分配給這些應(yīng)用程序的注冊(cè)軟件開(kāi)發(fā)人員。
•所有敏感數(shù)據(jù)，包括分配給每個(gè)物聯(lián)網(wǎng)芯片的數(shù)字出生證明，均使用產(chǎn)品認(rèn)證機(jī)構(gòu)進(jìn)行加密。這是目前用于維護(hù)加密此數(shù)據(jù)的加密密鑰的內(nèi)部機(jī)制。
•在未來(lái)將采用一種專(zhuān)利工藝，以物理方式將加密標(biāo)識(shí)寫(xiě)入芯片本身，并將其用作另一層保護(hù)。
物聯(lián)網(wǎng)安全最重要的元素是什么?
物聯(lián)網(wǎng)設(shè)備的安全性必須是整體實(shí)施計(jì)劃架構(gòu)的一部分，從一開(kāi)始就要考慮這一點(diǎn)。同時(shí)，它必須是一個(gè)適應(yīng)性強(qiáng)的解決方案，這本身就是一個(gè)挑戰(zhàn)。在100臺(tái)左右的設(shè)備上更新固件或安全憑證是一回事，而在數(shù)十萬(wàn)臺(tái)或數(shù)百萬(wàn)臺(tái)設(shè)備是另一回事。此外，更新過(guò)程本身需要安全實(shí)施，因?yàn)檫@是另一個(gè)潛在的安全漏洞。
物聯(lián)網(wǎng)設(shè)備的安全性如何改變?所看到的物聯(lián)網(wǎng)安全最常見(jiàn)的問(wèn)題是什么?
它是如何變化的——每個(gè)主要供應(yīng)商都有幾十種不同的專(zhuān)有物聯(lián)網(wǎng)安全架構(gòu)。人們看不到這些供應(yīng)商設(shè)計(jì)用于互操作性的結(jié)構(gòu)。在物聯(lián)網(wǎng)的世界里，許多這樣的設(shè)備幾乎沒(méi)有安全保障。LocatorX公司正在設(shè)計(jì)一個(gè)既開(kāi)放又安全的安全體系結(jié)構(gòu)，并使用一個(gè)行業(yè)標(biāo)準(zhǔn)的證書(shū)頒發(fā)機(jī)構(gòu)來(lái)實(shí)現(xiàn)互操作性。LocatorX公司的技術(shù)可以被任何擁有該設(shè)備或產(chǎn)品的人安全地掃描。證書(shū)頒發(fā)機(jī)構(gòu)為網(wǎng)頁(yè)建立了信任基礎(chǔ)。通過(guò)創(chuàng)建產(chǎn)品認(rèn)證機(jī)構(gòu)，可以為物聯(lián)網(wǎng)中的產(chǎn)品建立信任基礎(chǔ)。
企業(yè)或客戶(hù)通過(guò)保護(hù)物聯(lián)網(wǎng)設(shè)備解決了哪些現(xiàn)實(shí)問(wèn)題?
現(xiàn)實(shí)世界的使用是能夠在整個(gè)生命周期中跟蹤單個(gè)物品、箱子或托盤(pán)。任何與產(chǎn)品接觸的人都可以使用智能手機(jī)掃描項(xiàng)目并對(duì)其進(jìn)行身份驗(yàn)證，因此可以信任來(lái)自該產(chǎn)品的信息。此信息由單個(gè)產(chǎn)品證書(shū)頒發(fā)機(jī)構(gòu)進(jìn)行身份驗(yàn)證。
對(duì)物聯(lián)網(wǎng)安全的當(dāng)前狀態(tài)有什么顧慮嗎?
當(dāng)今的最佳實(shí)踐可以被視為未來(lái)的潛在弱點(diǎn)。例如，如果企業(yè)遵循TLS版本和密碼的流失，就會(huì)意識(shí)到任何修復(fù)的時(shí)間性。在發(fā)現(xiàn)/利用漏洞之前，SSL一直是標(biāo)準(zhǔn)。然后，TLS 1.0,1.1,1.2和現(xiàn)在的1.3將很快成為標(biāo)準(zhǔn)?；ヂ?lián)網(wǎng)本身就是這種升級(jí)的部分原因。任何成功滲透系統(tǒng)的漏洞或方法都可以在幾分鐘內(nèi)在全球范圍內(nèi)共享。另一個(gè)原因是對(duì)強(qiáng)大的計(jì)算平臺(tái)的訪(fǎng)問(wèn)繼續(xù)降低成本并提高可用性。TLS密碼和方法只是復(fù)雜的數(shù)學(xué)算法，因此采用暴力工具意味著破解那些算法更容易。
另一個(gè)挑戰(zhàn)是防止“特洛伊木馬”攻擊，即在安全范圍內(nèi)安裝硬件或軟件。這不是物聯(lián)網(wǎng)設(shè)備的問(wèn)題，但可能是獲取可能用于外部物聯(lián)網(wǎng)攻擊的敏感數(shù)據(jù)的另一個(gè)來(lái)源。
唯一不變的是，大量的攻擊者試圖通過(guò)安全墻，而企業(yè)試圖保護(hù)的資產(chǎn)越敏感或價(jià)值越高，獲得控制或訪(fǎng)問(wèn)的嘗試就越頻繁。
物聯(lián)網(wǎng)安全的未來(lái)是什么?最大的機(jī)會(huì)在哪里?
如果可以向使用產(chǎn)品的人員證明安全性，那么安全性就是積極的。一旦建立了信任和舒適，就鼓勵(lì)使用。已經(jīng)在亞馬遜和電子商??務(wù)行業(yè)看到了這一點(diǎn)，任何物聯(lián)網(wǎng)解決方案的全部潛力只有在安全性不成問(wèn)題時(shí)才能實(shí)現(xiàn)。
京公網(wǎng)安備 11010502049343號(hào)