淺析物聯網的安全問題

吳同

中國人民公安大學 北京 100038

0 前言

隨著網絡技術的迅速發展和廣泛應用，物聯網的概念進入人們的視野。但是，物聯網（The Internet of Things）的概念早在1999年就被提出，它是指將所有物品通過射頻識別（RFID）技術、傳感技術與互聯網相連接，以實現信息交換和智能化管理。物聯網用途廣泛，可遍及智能交通、環境保護、政府工作、公共安全、工業監測、老人護理、個人健康等多個領域。專家預計物聯網將是繼計算機、互聯網與移動通信網之后的又一次信息產業浪潮。

有業內專家認為，物聯網一方面可以提高經濟效益，節約成本，另一方面可以為全球經濟復蘇提供技術動力。2010年3月5日，溫家寶總理在十一屆全國人大三次會議上作政府工作報告時首次提及物聯網，他明確指出要加快物聯網的研發應用。物聯網的應用，是將傳感器嵌入我們日常生活中的各種物品中，然后將“物聯網”與現有的互聯網進行整合，在這個整合后的網絡中，人們可以對網絡內的人員、設備進行遠程交互和管理，這將進一步提高資源的利用率和生產力水平，從而改善人與自然間的關系。毫無疑問，如果“物聯網”時代來臨，人們的日常生活將發生翻天覆地的變化。然而，由于現有互聯網的安全問題，再加上傳感器和射頻識別技術的不完善，可以預見物聯網時代的安全問題，將更加嚴峻。

1 物聯網與安全相關的特征

1.1 可感知性

物品與互聯網相連接，是通過射頻識別（RFID）、傳感器、二維識別碼和GPS定位等技術隨時隨地的獲取物體的信息。換言之，無論何時何地，人們都可以知道物品的確切位置和周圍環境。物聯網的應用，必須以物品的可感知為前提。只有物品、設備和設施的相關信息均可惟一識別，并數據化描述，才可通過網絡進行遠程監控。例如，當公安機關接到報案，有車輛丟失，警方只需通過GPS定位系統就可實時獲取車輛的狀況、確切位置，周圍環境等信息。

1.2 可傳遞性

物品通過各種電信網絡與互聯網的融合，將物體的信息實時準確地傳遞出去，才能真正的實現遠程的人物交互和智能管理控制。因此，物聯網是與互聯網、無線網絡高度融合的產物。物品設備的信息通過各種通信網絡進行傳遞，才能將各種物品相連接。例如，易發生火災的森林中布有相應的傳感器，一旦發生火災，傳感器通過周圍的無線網絡將著火點的信息動態傳播出去，無線網絡與互聯網或移動通信網相連接，將信息自動傳遞給距離著火點最近的森林警察，這樣可以快速出警，有效防止火災的蔓延。

1.3 可處理性

所謂智能處理，就是利用云計算，模糊識別等各種智能計算技術，對海量的數據和信息進行分析和處理，對物體實施智能化的控制。據美國權威咨詢機構forrester預測，到2020年，世界上物物互聯的業務，跟人與人通信的業務相比，將達到30比1。因此，物聯網時代，我們將面對的是海量信息。充分發展智能處理技術，減少人工操作，才能實現物品彼此進行“交流”而無需人工干預，真正提高生產力水平。以酒后駕車為例，如果在汽車啟動系統上裝有酒精含量傳感器，司機每次啟動車輛前，都需要對其進行檢測。如果酒精含量超標，啟動系統將停止發動機的工作，并通過無線網絡通知司機的親人或警方，從而杜絕酒后駕車，保障司機與行人的安全。

2 物聯網的安全問題

物聯網的應用，可使人與物的交互更加方便，給人們帶來諸多便利。在物聯網的應用中，如果網絡安全無保障，那么個人隱私、物品信息等隨時都可能被泄露。而且如果網絡不安全，物聯網的應用為黑客提供了遠程控制他人物品、甚至操縱城市供電系統，奪取機場管理權限的可能性。不可否認，物聯網在信息安全方面存在很多問題。根據物聯網的上述特點，其除了面對一定通信網絡的傳統網絡安全問題之外，還存在著一些與已有移動網絡安全不同的特殊安全問題。這是由于物聯網是由大量設備構成，而相對缺乏人的管理和智能控制所造成的。這些安全問題主要體現在以下幾方面。

2.1 傳感器的本體安全問題

之所以物聯網可以節約人力成本，是因為其大量使用傳感器來標示物品設備，由人或機器遠程操控它們來完成一些復雜、危險和機械的工作。在這種情況下，物聯網中的這些物品設備多數是部署在無人監控的地點工作的，那么攻擊者可以輕易接觸到這些設備，針對這些設備或其上面的傳感器本體進行破壞，或者通過破譯傳感器通信協議，對它們進行非法操控。如果國家一些重要機構依賴于物聯網時，攻擊者可通過對傳感器本體的干擾，從而達到影響其標示設備的正常運行。例如，電力部門是國民經濟發展的重要部門，在遠距離輸電過程中，有許多變電設備可通過物聯網進行遠程操控。在無人變電站附近，攻擊者可非法使用紅外裝置來干擾這些設備上的傳感器。如果攻擊者更改設備的關鍵參數，后果不堪設想。

傳感器通常情況下，功能簡單、攜帶能量少，這使得它們無法擁有復雜的安全保護能力，而物聯網涉及的通信網絡多種多樣，它們的數據傳輸和消息也沒有特定的標準，所以沒法提供統一的安全保護體系。

2.2 核心網絡的信息安全問題

物聯網的核心網絡應當具有相對完整的安全保護能力，但是由于物聯網中節點數量龐大，而且以集群方式存在，因此會導致在數據傳輸時，由于大量機器的數據發送而造成網絡擁塞。而且，現有通行網絡是面向連接的工作方式，而物聯網的廣泛應用必須解決地址空間空缺和網絡安全標準等問題，從目前的現狀看物聯網對其核心網絡的要求，特別是在可信、可知、可管和可控等方面，遠遠高于目前的IP網所提供的能力，因此認為物聯網必定會為其核心網絡采用數據分組技術。

此外，現有的通信網絡的安全架構均是從人的通信角度設計的，并不完全適用于機器間的通信，使用現有的互聯網安全機制會割裂物聯網機器間的邏輯關系。龐大且多樣花的物聯網核心網絡必然需要一個強大而統一的安全管理平臺，否則對物聯網中各物品設備的日志等安全信息的管理將成為新的問題，并且由此可能會割裂各網絡之間的信任關系。

2.3 物聯網的加密機制問題

互聯網時代，網絡層傳輸的加密機制通常是逐跳加密，即信息發送過程中，雖然在傳輸過程中數據是加密的，但是途經的每個節點上都是需要解密和加密，也就是說數據在每個節點都是明文。而業務層傳輸的加密機制則是端到端的，即信息僅在發送端和接收端是明文，而在傳輸過程中途經的各節點上均是密文。

逐跳加密機制只對必須受保護的鏈接進行加密，并且由于其在網絡層進行，所以可以適用所有業務，即各種業務可以在同一個物聯網業務平臺上實施安全管理，從而做到安全機制對業務的透明，保障了物聯網的高效率、低成本。但是，由于逐跳加密需要在各節點進行解密，因此中間所有節點都有可能解讀被加密的信息，因此逐跳加密對傳輸路徑中各節點的可信任度要求很高。

如果采用端到端的加密機制，則可以根據不同的業務類型選擇不同等級的安全保護策略，從而可以為高安全要求的業務定制高安全等級的保護。但是，這種加密機制不對消息的目的地址進行保護，這就導致此種加密機制不能掩蓋傳輸消息的源地址和目標地址，并且容易受到網絡嗅探而發起的惡意攻擊。從國家安全的角度來說，此種加密機制也無法滿足國家合法監聽的安全需要。

如何明確物聯網中的特殊安全需要，考慮如何為其提供何種等級的安全保護，架構合理的適合物聯網的加密機制亟待解決。

3 總結

隨著射頻識別、傳感器、GPS定位以及通信網絡等技術的不斷發展和完善，物聯網將在社會生活的各個領域得到充分應用。在此過程中，物聯網的安全問題絕不容忽視。物聯網時代的病毒、惡意軟件將會更加強大，黑客不但能夠竊取我們的數據信息，還能操控我們的日用物品、機器設備等。物聯網的發展固然離不開技術的進步，但是更重要的是涉及規劃、管理、安全等各個方面的配套法律、法規的完善，技術標準的統一與協調，安全體系的架構與建設。

[1]蔣林濤.互聯網與物聯網[J].電信工程技術與標準化.2010.

[2]劉兆元.物聯網業務關鍵技術與模式探討[J].廣東通信技術.2009.

[3]封松林，葉甜春.物聯網/傳感網發展之路初探[J].中國科學院院刊.2010.