三位一體打造安全的未來物聯網架構

2021-12-24 戴爾易安信技術支持

戴爾科技中國研發集團 林蓁蓁

隨著物聯網技術和產業持續升溫,其中隱藏的安全問題逐漸成為大眾關注的焦點。它持續影響著社會整體運行的各個環節,從擁有隱私數據的個人用戶,到車企、鋼鐵生產等使用物聯網的工業界,甚至監控城市運行的政府職能部門,都將依賴於可信、安全運行的物聯網。如何為未來打造一個有效防攻擊的物聯網平臺,成為擺在科學和技術專家面前的重大課題。

今天我們就來聊聊如何構建未來物聯網的安全架構

作者:中國研發集團 林蓁蓁

-

在物聯網領域,戴爾科技集團提出了IoT solution,它結合VMware和Dell EMC各自在虛擬化和存儲領域多年的深耕,無疑是一個範例和繼續開拓的基石。

[1]

上圖是一個集成了存儲、安全、網絡、以及管理與編排的方案,採用了NSX-T、固件在線安全升級的技術,並充分利用ECS/Isilon的安全策略對用戶權限進行管控,同時在數據層保障其傳輸,最大限度確保IoT領域整個數據周期的安全。

在此基礎上,考慮物聯網傳感器分布的廣泛性和分散性,以及一些用戶場景下終端設備對數據要求的實時性等要求,基於以上方案所採用的最新產品和技術,一種去中心化和全局節點相結合的物聯網架構應運而生。

邊緣節點靠近用戶,它可與所轄範圍內的各終端組成去中心化網絡,數據和指令在網絡各成員間快速共享;多個邊緣節點也可以協同合作,進一步組成自治網絡。邊緣去中心化網絡利用其在地域和分片處理上的優勢,在不影響數據安全性和完整性的前提下,提供高吞吐量和低延遲的數據服務,滿足用戶需求。上層的全局節點可以是雲服務提供商,也可以是用戶的數據中心,它們可提供數據永久化保存的介質,也可參與或監管各邊緣網絡的工作,這為傳統存儲提供了新的商業模式。

在這樣的物聯網結構下,系統的安全有賴於平臺自身技術的安全性,也離不開應用層的合理設計,因此下文分別從平臺安全和應用安全兩方面探討現有的安全技術,並在最後一個環節對尚未成熟商用的新技術進行簡要介紹。

平臺安全

去中心化網絡中廣泛使用分布式哈希表(DHT),它存儲系統所需的鍵值對,並提供查找和路由功能。所有的鍵值對和節點ID都以hash方式編碼,hash碼形成環狀結構,鍵值對存儲於hash距離最近的節點上。DHT能實現自治,使各節點能自發地組成網絡而不需要中央節點參與;它有很強的容錯性,在節點出錯或掉線的情況下仍能正常工作;它方便擴展,滿足節點數目的變化需求。

在物聯網中,多個互不信任的數據提供和需求方加入系統,各個節點頻繁加入或退出邊緣網絡,對DHT的安全性提出了挑戰。現有多種措施保障DHT的全局查找和路由安全,預防惡意節點的各類攻擊。

單一的惡意節點具有多個身份標識,從而控制系統中的大部分節點,實現用多數票,擊退網絡上的真實節點。以此為基礎,可以實現各種具體攻擊,如汙染路由表,篡改鍵值對等。

為防範此類攻擊,可以引入中心化的認證機構驗證節點的身份,或用硬體的物理特性作為身份的唯一標識,如MAC或序列號等。也有研究引入社交網絡的概念,節點組成或加入小型社交網絡,彼此驗證身份。區塊鏈中使用的工作量證明方法,需要強大的運算資源,通過對硬體資源的要求限制節點使用多重身份。

攻擊者控制了某特定節點的大部分相鄰節點,使該節點從網絡上消失,得不到正確的網絡視圖,惡意節點能完全控制其對信息的訪問。其中一種攻擊手段是惡意節點不停向受害節點發送請求或自身IP位址,受害節點將其路由表刷新至只有惡意節點而並不自知。在電子支付場景中,當受害者從真實網絡隔離開後,攻擊者可以向其和網絡其餘節點同時發送兩條不同的交易信息,且都能得到認可,達到雙重支付的目的,獲取非法利益。

有應對措施可以有效減少此類攻擊。如在節點的路由表裡只儲存經CA認證過的、特定節點的信息;或用兩張路由表,在路由時權衡特定可信節點和網絡當前連接狀況;或控制與其他節點的通信次數,避免連通信息被惡意節點獨佔等。此外,還可以對節點的ID位置進行統一配置,杜絕了惡意節點包圍受害節點的情況,其中一種方法是cuckoorule。

[2]

Cuckoorule規定,網絡中有一個可信組建分配節點IP。在一個節點加入網絡中後,其周圍一定範圍內的節點將會被移走,它們的ID由可信組件重新計算,保證它們均勻且獨立地分散在哈希環上,使惡意節點無法控制自己的位置,對受害者進行集中攻擊。

上述措施防範了日蝕攻擊,但由於增加了路由複雜性,限制了網絡處理能力,或引入了信用機制,對性能會造成一定影響。系統的安全性總是和性能損失權衡之後的結果。

在實現女巫攻擊或日蝕攻擊之後,惡意節點已經入侵系統,主要實施兩類破壞行動。

存儲攻擊:提供對數據請求的錯誤響應。否認數據存在,或返回虛假數據。

路由攻擊:破壞路由動作。惡意節點拒絕其它節點的查找請求,或把請求重定向到錯誤或其它惡意節點上,或返回虛假的數據信息。

為應對存儲攻擊,網絡可將數據複製多份,以一定策略存儲於網絡不同位置;也可對於請求得到的數據進行驗證,或在網絡上發起對數據合法性的多數投票。為應對路由攻擊,各節點的路由策略可以是同時向網絡上的多個相鄰節點發起路由請求,或在全網範圍內的各處查找。

總之,DHT網絡的安全依賴於節點ID在哈希環上的均勻分布,多個數據副本,以及多重路由規則的保障。其中的大部分要素在現有的去中心化架構系統中都已經引入,如IPFS和區塊鏈等。去中心化的物聯網系統都可借鑑。

應用安全

在安全的平臺之上,可以構建各類物聯網應用。應用涉及各個業務層面,包括物聯網設備的身份驗證和管理、固件升級策略、設備安全性驗證、以及數據的訪問控制等。再向上層可以構建更大的物聯網系統,它需要在各子網間進行協同及數據交換,並考慮其中的安全性問題。區塊鏈作為去中心化系統的工具,可用於保障物聯網安全。

例如,在固件升級方面,由固件發布者將新固件的hash存儲到區塊鏈中,在IoT設備將新固件下載後,可以獲取並對比hash值的正確性,確保不會更新至惡意固件。此外,每個IoT設備的固件更新和驗證情況也可以記錄在區塊鏈上,便於固件安全性的追蹤和監測。

此外,去中心化存儲系統IPFS可以和區塊鏈結合,實現對訪問權限的安全控制。每個IPFS存儲節點都和區塊鏈通信,將讀寫數據塊的動作通過智能合約驗證其合法性。智能合約根據對應的數據塊ID進行驗證,只有動作被交易驗證通過,數據的存儲才能正常進行。去中心化的區塊鏈保證了訪問權限的控制不易遭受單點攻擊以及訪問記錄的不可篡改性。

[3]

在智能家居行業,基於區塊鏈的物聯網系統能提供

很高的安全性。可以把它設計成由本地網絡、覆蓋網絡及雲存儲組成的三層架構。該結構可以有效阻擋包括DoS攻擊,篡改攻擊,丟包攻擊等多種攻擊方式。本地網絡層部署了一個小型區塊鏈,記錄了設備的加入和退出情況,並維護訪問控制列表,用於存儲和管理所屬網絡上的各種物聯網設備。覆蓋網絡連接多個相同所有者的本地網絡,可共享存儲;覆蓋網絡間相互通信,並記錄在相應的區塊鏈上。在傳感器數據存儲階段,雲存儲驗證相應數據的區塊ID和數據hash,以此驗證傳感器身份,再允許數據寫入。數據讀取階段,也有相應的區塊鏈交易流程保證數據的真實和正確性。

[4]

在應用層上,利用去中心化的特性,有平臺之上的多種應用層方法,可從傳感器設備,各參與節點,到數據系統本身,進一步增強物聯網系統的安全性。

可信的多方參與環境

物聯網由各類異構硬體組成,它們的數據處理能力大相逕庭。如何在保障數據和隱私安全的前提下,在系統中實現計算資源合理調配和充分利用,也是關注的熱點。例如,終端需要的人工智慧分析結果,能否在不洩露客戶信息的條件下,由邊緣或雲端執行完成,且終端對返回的結果完全可信。此處涉及密碼學領域的同態加密和零知識證明技術。

同態加密在數據不解密的條件下,對密文數據進行計算,結果解密之後和用明文進行同樣計算得到的結果相同。根據支持密文運算的種類和次數,同態加密可分為部分同態,類同態和全同態加密。部分同態支持單一類型的密文域同態運算,如計算方法為僅有加法或乘法;類同態支持有限次數的加和乘計算;全同態可支持任意冪次的加和乘計算。

該技術適用於解決雲計算場景下的數據安全問題。用戶將加密的數據和計算方法傳到雲端,雲端對加密數據計算後回傳,由用戶完成解密結果的運算,全過程中雲端不會得到用戶數據。它有許多潛在的應用場景,如多方計算下,各方用共同的公鑰加密數據後在網絡上進行傳輸和交換,聚合數據後算出最終結果,再用各自的私鑰解密。在不了解對方數據的條件下,得到計算結果。

基於同態加密的廣泛應用前景,工業界也在進行商業化嘗試。MIT開發了Enigma項目,基於區塊鏈技術,部署了鏈下同態加密,加強數據隱私保護。

微軟開源了SEAL(Simple Encrypted Arithmetic Library)工具,用於提供同態加密方法。Intel的nGraph神經網絡後端也引入了對SEAL的支持。但同態加密方法本身的性能還不適合商用場景。以下是業界基於SEAL做的其中一個測試。基於此,一些加速方案也在研發中,例如使用GPU和FPGA進行同態加密的硬體提速。

[5]

可以看出,同態加密雖然前景廣闊,但還在探索實際商用之路。基於其性能瓶頸,在物聯網領域,目前只能考慮應用於處理需求頻率較低的隱私數據。

零知識證明用於在證明者能夠在不向驗證者提供任何有用的信息的情況下,使驗證者相信某個論斷是正確的。它是一種基於概率的驗證方式,分為交互式和非交互式兩種,後者利用hash函數挑選每次驗證的條件,可以在雙方離線的狀態下進行。零知識證明可以證明複雜度為NP的聲明。它能有效保證數據本身的安全性,同時驗證者的計算量小,適用於硬體異構的物聯網場景。

目前Zcash採用了零知識證明方案實現了一套私有區塊鏈,它在交易雙方及交易細節都私有的前提下,保證了鏈上所有交易的合法性。此外,一些雲服務提供商實現了用戶密碼的零知識證明,前者不保留任何用戶密碼信息,由用戶向前者證明私有密碼的合法性,進一步確保了用戶使用雲平臺的數據安全。

儘管零知識證明是保障用戶數據安全的又一利器,但相關文獻和實驗也表明目前完成證明需要花費的時間較長,還無法用於物聯網這類需要實時處理大量數據的場合。

總之,可信的多方參與環境目前還處於實驗室階段,但它未來對於雲計算和物聯網場景下的安全措施將產生深遠影響。

結語

在去中心化平臺和應用方面,業界已經有各項成熟有效的安全策略可以借鑑,在多方參與環境方面,學術界和工業界正在緊密合作,未來可期。為了構建面向未來的物聯網架構,在利用現有各類安全手段的基礎上,需要著力實現去中心化平臺、應用及多方參與環境三方的高效解決方案,打造安全、可擴展的下一代物聯網平臺。

快快點擊下方「閱讀原文」與其他技術愛好者一起互動吧!

相關焦點

  • 架構未來物聯網的新技術——Blockchain與DAG的比較分析
    但隨之而來的是物聯網將面臨更大更龐雜的物聯網生態系統的技術體系構建難題,沿用傳統網際網路技術的中心化平臺架構已無法滿足物聯網發展需求。當前,由比特幣等數字資產浪潮引爆的區塊鏈技術及其衍生優化的類區塊鏈技術等使物聯網似乎找到了一條將萬物互聯願景變為現實的新出路,它們去中心化、去信任、可追溯、不可纂改、公開透明等技術特性與5G物聯網有著天然的契合。
  • 未來物聯網的核心技術及意義
    未來物聯網內的各個獨立的物聯網的內外聯接方式可採用適合的一種或多種信息通道(通訊工具)傳輸信息來實現萬物互聯。如同人們可選用現代交通提供的航空、水路、公路等和步行自由出行一樣。未來物聯網將引發現有信息技術在數制、CPU、存儲器、傳感器、智能終端、智能製造、智能社會、軟體編程方法、作業系統、網絡架構、多網融合、網絡安全等諸多領域的變革和創新。未來物聯網將會完善現有信息技術體系和產業鏈。
  • 《NB-IoT物聯網系統架構》
    為了促使大家重新認識物聯網,在理解NB-IoT優勢的基礎之上,從全局的角度掌握複雜的物聯網系統架構,體會「雲、管、邊、端」「的相互支撐和融合,特編寫《NB-IoT物聯網系統架構》書籍。歡迎有興趣參與的資源聯繫我們,共同打造開放的服務平臺體系!
  • 深度解析:未來物聯網的核心技術
    未來物聯網內的各個獨立的物聯網的內外聯接方式可採用適合的一種或多種信息通道(通訊工具)傳輸信息來實現萬物互聯。如同人們可選用現代交通提供的航空、水路、公路等和步行自由出行一樣。未來物聯網將引發現有信息技術在數制、CPU、存儲器、傳感器、智能終端、智能製造、智能社會、軟體編程方法、作業系統、網絡架構、多網融合、網絡安全等諸多領域的變革和創新。未來物聯網將會完善現有信息技術體系和產業鏈。
  • 物聯網架構和技術協議
    但未來,物聯網的潛在應用將更加廣泛,規模也更大。試想一下,使用手機尋找停車位,或者您的冰箱清楚什麼時候需要補充物品並自動下單;橋梁和其他基礎設施中的傳感器會在需要維修或維護時自動通知工程師;當您非常接近高度傳染性疾病患者或者有害物質或環境時,定位技術會通知您,這會是怎樣一種體驗。這些未來應用將需要能夠在後臺進行大量數據傳輸和處理的物聯網架構平臺。
  • 物聯網架構的四個階段
    物聯網設備示例只要可以通過網際網路進行連接和控制,任何對象都可以是物聯網設備。它不僅限於計算機和智慧型手機,還包括通常不支持網際網路的對象。一些具體的例子包括電子電器、恆溫器、照明系統、汽車、安全系統、揚聲器等。它可用於噴氣發動機傳感器、企業中的數據處理、智慧農業實踐或醫療保健監測中等。物聯網設備通常分為三類。
  • 打造物聯網魔法
    而血液和血漿供應服務機構Haemonetics正在利用物聯網進行血液劑量分析,這無疑是未來發展的正確方向。Haemonetics提供了從血液處理和設備診斷再到供輸血軟體管理的一切服務。在投入大量資金用於設備維護幾十年後,Haemonetics充分抓住了一個將設備進行連接,以促進血液供應鏈各方之間更好的整合機會,因此該機構開始著手創建新產品,並開發了適合物聯網系統的商業模式。
  • 聚焦2017物博會|中科芯打造物聯網安全衛士
    「中科芯安全通訊系統」確保物聯網信息安全「萬無一失」中經社分析師  朱程它看上去和普通TF卡無異,可插入手機、攝像頭、網關等各類硬體設備中。它的體內藏有一顆1毫米見方的安全晶片,一旦被激活,就會隨機「生長」出兩把安全秘鑰。
  • 物聯網架構場景技術分析
    >
  • 【物聯網架構】什麼是物聯網平臺?
    畢竟,去年有超過300個物聯網平臺,這個數字繼續快速增長(我聽說現在有700多個)。物聯網平臺市場的複合年增長率(CAGR)為33%,預計在2021年將達到16億美元。物聯網平臺是物聯網生態系統的關鍵組成部分,但是我發現,對於許多人來說,目前還不清楚什麼是物聯網平臺或者它們之間的區別。在這篇文章中,我將為IoT平臺提供一個簡單的,非技術性的解釋。
  • 物聯網架構超強解讀來了!
    物聯網將傳感器與智能處理相結合,運用雲計算、模式識別等多種智能技術,拓展應用領域。從傳感器獲取的海量信息中,分析、處理得到有意義的信息,以滿足不同用戶的不同需求,找到新的應用領域和模式。物聯網的本質很簡單:傳感+通信+IT技術。
  • 物聯網架構的4個必要階段
    數據流:從邊緣到伺服器/雲物聯網體系架構通常被描述為一個四階段的過程,在這個過程中,數據從傳感器通過網絡傳輸,最終到達企業數據中心或雲端進行存儲、處理和分析。在物聯網中,「物」可以是機器,可以是建築,甚至可以是人。
  • 三線一體——富加居布局AIOT物聯網架構
    公司研發團隊自1994年成立,致力於智能家居核心技術的打造,並放眼整個物聯網行業規劃。當時的物聯網行業資源匱乏,基礎設施不完善,比如:電源管理、數據採集以及傳感設備等支撐物與物相連的基礎條件均不完善。而公司研發團隊著力打造的以Windows系統為核心架構,搭建家庭私有雲伺服器的系統,不但在終端市場得到印證,更為物聯網搭建打下基礎。
  • 物聯網架構:構建模塊及其工作方式
    在本文中,我們的物聯網諮詢專家將分享他們的實踐經驗,並展示他們對可擴展且靈活的物聯網架構的最初構想。圖片來源:http://pxhere.com/zh/photo/657970編譯:iothome您能想像一個「大腦」能夠集中控制各種智能設備嗎?從某種程度上來說,隨著物聯網的發展,這是可能的。
  • 共建物聯網生態鏈,打造物聯網域名生態圈
    物聯網域名基於ISO/IEC和ITU國際機構聯合研製並發布30餘項國際標準,針對物聯網域名(開放對象標識)的命名規則、分配方案、傳輸編碼、解析管理體系等內容進行規範,實現正式、無歧義和精確的唯一標識機制來命名不同對象。物聯網域名是開放的,在遵從國際標準的前提下,允許各國自主研製開發相關的技術。
  • 物聯網作業系統架構之RTOS
    物聯網作業系統主要是指運行在物聯網設備上的嵌入式作業系統,包括RTOS(Real-time Operating System),也可以包括Android
  • 攜手洞見未來,2018年研華物聯網共創峰會即將登場
    針對製造業需求,將軟硬體產品配套並模塊化,使用者可選擇適合的套裝模塊,快速導入相關架構。共創夥伴之——奇雲國際。研華以WISE-PaaS物聯網軟體服務平臺為核心結合奇雲國際的SaaS-「富立提(Fleetivity)主動式安全行車管理平臺」,共創智能車隊管理SRP,提供物流業者主動、實時且更具智能的車隊管理解決方案。
  • 物聯網安全大勢:構建物聯網安全共同體
    IT角度的物聯網安全產業鏈物聯網有著不可計數的感知終端、複雜的信息通信渠道、龐大的數據存儲與處理中心。抽象來看,物聯網正是一個十分標準的「終端-傳輸管道-雲端」架構。要做好物聯網安全就必須實現對每個物聯網環節的安全保護,進而針對每一環節的保護產生一條相對比較完善的物聯網安全產業鏈。梆梆安全董事長闞志剛博士表示:「其中終端側最為複雜。總結起來,物聯網終端的安全體系架構包括三大層面:硬體層、固件層和應用軟體層。」物聯網終端安全架構首先要保證硬體的安全性,打造硬體級的可信平臺。
  • 物聯網架構、雲平臺和相關技術
    物聯網架構、雲平臺和相關技術lLoRa 需要專用網關才能工作,而 NB-IoT 不需要。NB-IoT的基礎設施是直接連接基站和傳感器設立的,LoRa 架構需要通過網關來完成。lLoRa 的生態系統比 NB-IoT或其他蜂窩物聯網通信標準的生態系統要強。lLoRa已經在許多地區被採納為物聯網網絡標準,包括美國、澳大利亞、紐西蘭、中國臺灣地區,荷蘭和印度。lNB-IoT 相比之下較新,2017年初才在西班牙進行商業首秀(愛爾蘭也將使用 NB-IoT 網絡)。但在未來幾年內,NB-IoT 將有很多機會迎頭趕上。lLoRa 物聯網技術在非授權頻譜上工作。
  • 物聯網城市生態圈
    把握物聯網新時代的大趨勢創業舞臺——【物物地圖】生態架構信息,不但在網上看,還需要緣份、福份、眼光、智慧、並親臨現場了解和體驗!這是我們每個胸懷創業夢想的中國人共同的物聯網創業時代機遇!世界即將進入物聯網新商業時代!眾多有智慧、有眼光的有志之士已紛紛參與【物物地圖】, 把握物聯網新時代機遇,共創輝煌。消費找【物物地圖】,將成為未來全球的時尚潮流。【物物地圖】物聯網生態系統,覆蓋全國消費領域,構建全球生態消費第一管理服務平臺。