走出家用物联网设备网络安全设计中的传统路径依赖

　　摘要：Q/CVC0028—2019《智能家电(IoT设备、互联设备)网络安全评价及测试规范》标准针对当前市场上物联网设备网络安全现状，规定了不同等级的安全要求，对提升家用物联网产品网络应用规范具有重要作用。本文从Q/CVC0028—2019标准中选取了数个技术要点来剖析编制思路和应用实践，对家电企业在产品设计过程中如何通过该标准改进和提升就可避免陷入传统产品设计的路径依赖进行研究。本文中还攫取数项常见网络安全缺陷问题，解读Q/CVC0028—2019标准的架构及其背后的技术脉络。

　　关键词：网络安全;物联网设备;标准;加密;身份验证

　　引言

　　传统家电制造商在物联网家电设计时容易存在两个惯有思路：一是重视电气安全，忽视网络安全;二是认为网络安全等级越高，产品成本越高。在这样的思路指导下，智能家电产品设计暴露出了很多安全隐患。虽然网络安全问题只是困扰家用物联网(IoT)产品的众多问题中的一个，但加密它们收到的用户隐私数据，并抵御网络攻击是最基本的要求。如何在有限的资源条件下，保证设备在使用过程中的网络安全，是所有生产企业都要面对的问题。在深入研究智能家电的网络安全问题之前，必须考虑网络安全漏洞的来源。从广义上讲，物联网设备中的大多数漏洞可以分为三大类：应用漏洞、实现漏洞和设计漏洞。

　　1)应用漏洞应用漏洞是指用户在日常使用过程中产生的漏洞。该类漏洞与用户在操作或安装设备时引入的问题有关，来源于用户未能正确安装和使用安全功能。常见的例子包括不更改默认密码，使用简单密码和不启用安全功能。这类漏洞属于用户使用习惯问题，并非产品固有漏洞缺陷。

　　2)实现漏洞实现漏洞是指制造商使用的技术所带来的固有缺陷，比如编码错误，缓冲区溢出等。其他例子包括不正确地使用随机数生成器，导致生成容易猜测的安全密钥。遵循科学的软件开发流程，使用应用程序加强软件开发生命周期的管理，以及遵守软件安全测试标准，可以帮助识别和解决实现漏洞。

　　3)设计漏洞设计漏洞源于在开发设备时未能周全考虑采用适当的安全措施，使产品留下设计缺陷，比如使用硬编码密码，没有用户身份验证的控制接口，以及在通信时以明文形式发送密码和其他敏感信息。具体到智能家电的常见例子还有没使用安全引导的设备或允许未经验证的远程固件更新的设备。这些漏洞问题并非是无解的难题，Q/CVC0028-2019标准作为一个通用标准，从中可以找到很多答案。Q/CVC0028-2019标准以简明的方式规定了三类设备的29种要求及其测试方法，对于指导企业迅速降低网络安全风险具有重要的意义，能够帮助传统家电企业在设计智能产品时，跳出固有的设计思路，适应物联时代新战场。

　　1密码和身份验证要求

　　在所有用户能够控制设备之前都必须对其进行身份验证，以防止对设备进行匿名更改，从而降低风险。密码仍然是许多设备上的默认身份验证方法。在系统中规定不允许使用默认密码，并且设备强制使用强密码，是目前通行的一种选择。因此，根据Q/CVC0028-2019中5.2条款的要求，无论使用何种密码机制，使设备的初始密码唯一，不与其他同型号设备重复;在初次使用时，设备内置的安全机制要求用户生成新的密码;在生成新的密码后，初始密码应失效等原则，在不增加产品成本的条件下，均可极大提高产品的身份验证门槛。当然，根据设备的性质和可用的接口，在成本可接受的范围内，使用RFID或生物特征识别进行身份验证未尝不是更好的选择。

　　2传输数据加密要求

　　物联网设备的通信机制因设备而异，可能包括从低功耗蓝牙和ZigBee到WiFi、蜂窝数据和以太网的无线协议。不管传输机制和通信协议如何，确保通信安全包含了设备端和传输过程两个方面的范畴。首先，设备识别是安全通讯的基石，可以防止伪冒设备进入网络。确保物联网设备的真实性对于整个物联网系统的安全至关重要。如果网络中的一个设备的身份是伪造的，那么它的行为很可能不可知。它可能窃取数据，中断操作或远程攻击，而系统甚至不知它是不伪造的。其次，使用安全协议进行通讯是保障物联网的基本要求。安全协议确保交换的数据和命令是加密的，不能被截取、伪造或操纵。

　　安全协议能够使用强身份验证来防止未经授权的设备向物联网设备发送控制命令。基于以太网的常见安全协议是TLS(TransportLayerSecurity，传输层安全协议，它取代了SSL——SecureSocketLayer安全套接字层)、DTLS(DatagramTransportLayerSecurity，数据报传输层安全协议，非常适合于资源有限的设备使用)和SSH(SecureShell，安全壳协议)。

　　特别对于允许通过网络进行远程访问的设备，绝对需要基于证书的身份验证协议来进行安全的远程身份验证。当设备使用这些协议进行通信时，它们首先相互验证，然后再共享命令或数据。它们通过使用证书验证另一方的身份来处理身份验证。虽然Zigbee或低功耗蓝牙可能在协议中内置了加密协议，但它们的漏洞也在使用中不断被发现。因此，只要条件允许，旧的、不安全的协议应替换为更新的、更安全的协议。Q/CVC0028—2019中对软件升级和传输数据加密均作了要求，制造商可以比照这些要求，评估自身产品的通讯安全性。

　　3启动安全保护要求

　　为了确保设备仅执行受信任方提供的代码，设备应能使用加密代码签名技术来保证引导过程的完整性。在具有安全引导的设备中，引导加载程序在加载之前计算加载文件的加密安全哈希码，将这个哈希值与存储的哈希值进行比较，引导确保只安装和执行经批准和授权的软件，以确保文件是真实的原文件。

　　存储散列值的公钥签名可防止恶意第三方欺骗软件，并确保只有来自可信任方的软件才会被执行。当软件更新或升级时，同样需进行安全引导。Q/CVC0028—2019中规定，如果设备提供多个引导配置，设备置于安全引导配置中时应能正常启动该设备。此外，物联网设备可以在下载新固件映像之前使用设备到设备的身份验证方法来对升级服务进行身份验证，从而增加了额外的保护措施。

　　4数字签名的生成及验证要求

　　一般地，物联网设备使用实时操作系统与云端系统，网关和其它物联网设备进行通讯。系统和网络运营商应能够识别它们网络中的设备。当一个设备被联入网络或系统中时，确保它的真实性是很关键性的工作。黑客和假冒设备的威胁应通过一系列的验证工作来杜绝。因此身份标识对于安全通信和防止假冒设备的攻击是必要的。使用PKI(公钥基础设施)进行基于数字证书的身份验证是一种经济可行的方法，它可跨多个网域设置设备标识，非常适合于目前尚未形成完整体系的家电物联网。

　　数字证书消除了基于密码的身份验证和其他弱身份验证机制的固有问题，能够给用户提供强大而有效的认证。设备还可以可靠地验证其他合法设备，防止与恶意设备和未经授权的系统进行未经授权的通信。如果设备没有有效的证书，则不允许该设备进入网络。尽管造假者可能会仿造设备固件来制造克隆设备，但他们不能复制有效的证书。证书对于由证书颁发机构签名的每个设备都是唯一的。足够的技术难度使得造假者无法伪造证书，因此能够阻止造假者将其伪冒设备注册为正品。

　　基于PKI技术的管理过程允许设备安全地自动地请求新证书、验证证书并识别证书何时被吊销。证书颁发机构还提供自动化证书链支持，以确保所有证书都得到正确验证。从在制造过程中将证书妥善地装入设备开始，设备标识就在设备的整个生命周期中发挥作用。当设备开始启用并安装在网络上时，它们将经历一个添加的过程。设备启用时，首先使用在制造过程中安装的证书自动验证这些证书，然后颁发新的证书以供在网络上使用。设备退役后，可以吊销证书。

　　如果设备缺少有效的证书，则不允许它进入网络。尽管造假者可以窃取设备固件来制造克隆设备，但他们不能复制证书。证书对每个设备都是唯一的，伪造者无法绕过证书颁发机构或复制PKI系统来生成证书，也就无法把自己的设备冒充为正品。数字签名的生成及验证测试程序可以通过Q/CVC0028-2019中8.14的方法进行测试评定。

　　5静态数据加密要求

　　智能物联网设备储存了大量用户隐私数据，许多大型数据泄露的事件都是由于从被盗或废弃设备中恢复的数据造成的。因此设备应具备用于加密存储在设备中的数据的有效机制，加密设备上存储的任何敏感数据。安全协议在数据通过网络传输时保护数据，静态数据加密技术对数据存储在设备上时提供保护。得益于技术的发展，有多种加密算法可以选择，比如将设备配置为支持使用带有128位密钥的AES加密文件，只有以具有足够权限的用户身份登录，才能将设备配置为具有使用加密文件系统或文件的加密机制，能够使用带有密钥保护的文件。

　　6超越本版标准的远期要求

　　除了在Q/CVC0028-2019标准中列出的安全评价要求，还有一些在当前消费级家用产品市场未广泛应用的技术方案，这些方案试水新的领域，前瞻性地提升了物联网设备网络安全。基于硬件的安全密钥存储虽然将使产品成本上升，但无疑能够带来更高级别的网络安全性。这种新的物联网硬件模块一般包括一个可信平台模块，提供安全密钥存储并提供保护的内存和实现加速加解密的硬件。硬件安全模块支持的候选对象有PUFs(PhysicallyUnclonableFunctions，物理上不可克隆的函数)，安全协处理器和可信执行环境(如ARM的信任区)。PUFs使用随机模式来区分芯片，并创建一个唯一的随机数。随机数用于为设备ID和加密密钥设定初始码，从而创建硬件信任根。

　　安全协处理器是物理上独立的芯片，提供私钥的真正隔离。即使黑客破坏了物联网设备的主处理器，私钥的物理隔离能够防止它们被发现。可信执行环境是一种安全芯片，它使用真正的随机数生成器来安全地生成加密密钥。它还能使用芯片上的密钥执行加密功能。然而，这种强大的功能的代价是高昂的价格成本，所以它们目前只出现在高端的物联网设备。随着集成芯片工艺的升级，在芯片上划分出信任区是一种单芯片级的硬件解决方案，它将执行空间分隔成安全和不安全的区域，两个区域进行了隔离，确保不安全的应用程序无法访问关键性的安全信息，杜绝了非法篡改。

　　当然也有一些芯片供应商提供另一个物理上独立的芯片，用于保护和管理用于身份验证和加密处理的数字密钥。这种芯片元件的成本低于硬件安全模块，因此非常适合成本敏感的物联网设备。虽然这些技术尚未编制入当前版本的Q/CVC0028标准条款，但足以供我们窥视未来的技术发展方向。随着这些技术的普及，也将推动标准随之更新迭代。当然现今市场上的消费级物联网设备普遍还缺少保护存储密钥的硬件设备，在这种情况下，保护私钥的方法仍然以使用前文所述的基于软件的存储方法为主流。这仍不失为现阶段的一种妥协。

　　结语

　　基于成本因素的考虑，当前消费型物联网设备小至电池供电的无线传感器，大至复杂的带有网关的大型家电，多少都会在存储和算力方面有所掣肘。这与传统家电产品低价竞争的策略具有相同的发展思路。但是所有物联网设备都需要安全性，无论它们有多小或看起来微不足道。很多情况下，工程师可能选择降低安全要求来加快上市时间，比如使用硬编码密码，忽视有可利用的后门的安全漏洞。但其实一些基本的安全配置就能够有效确保物联网设备的安全。Q/CVC0028-2019标准值得智能市场的多方入局者参照应用。

　　参考文献：

　　[1]RFC4253,TheSecureShell(SSH)TransportLayerProtocol[S].

　　[2]RFC5246,TheTransportLayerSecurity(TLS)ProtocolVersion1.2[S].

　　[3]RFC5280,InternetX.509PublicKeyInfrastructureCertificateandCertificateRevocationList(CRL)Profile[S].

　　[4]RFC6071,IPSecurity(IPsec)andInternetKeyExchange[S].

　　[5]RFC6347,DatagramTransportLayerSecurityVersion1.2[S].

　　物联网方向评职知识：物联网应用方面怎么在sci期刊发表

　　首先作者需要提高物联网应用论文的创新性和逻辑性，论文需要有很新颖，很系统，很深入的观念，要有自己的论点和能阐明自己观点的数据，文章组织要有科学性，数据链条要有逻辑性，统计分析要有严谨性。严密的数据统计分析是文章立据的基础，也需要采用国际通用的分析方法，什么样的分析可以用检验，什么样的样本需要用单因素方差分析以及分析是否有显著性差异等等，都要弄清楚。

转载请注明来自发表学术论文网：http://www.fbxslw.com/dzlw/22444.html