基于物聯網設備指紋的情境認證方法

杜俊雄 陳偉 李雪妍

摘 要：針對物聯網設備中因非法設備接入帶來的遠程控制安全問題，提出一種基于設備指紋的情境認證方法。首先，通過提出的對交互流量中單個字節的分析技術，提取物聯網設備指紋;其次，提出認證的流程框架，根據設備指紋在內的六種情境因素進行身份認證，設備認證通過才可允許訪問;最后，對物聯網設備進行實驗，提取相關設備指紋特征，結合決策樹分類算法，從而驗證情境認證方法的可行性。實驗中所提方法的分類準確率達90%，另外10%誤判率為特殊情況但也符合認證要求。實驗結果表明基于物聯網設備指紋的情境認證方法可以確保只有可信的物聯網終端設備接入網絡。

關鍵詞：物聯網;網絡安全;設備指紋;情境認證;遠程控制

中圖分類號： TP399

文獻標志碼：A

Abstract： Aiming at the security problem of remote control brought by illegal device access in Internet of Things （IoT）， a contextual authentication method based on device fingerprint was proposed. Firstly， the fingerprint of IoT device was extracted by a proposed single byte analysis method in the interaction traffic. Secondly， the process framework of the authentication was proposed， and the identity authentication was performed according to six contextual factors including device fingerprint. Finally， in the experiments on IoT devices， relevant device fingerprint features were extracted and decision tree classification algorithms were combined to verify the feasibility of contextual authentication method. Experimental results show that the classification accuracy of the proposed method is 90%， and the 10% false negative situations are special cases but also meet the certification requirements. The results show that the contextual authentication method based on the fingerprint of IoT devices can ensure that only trusted IoT terminal equipment access the network.

Key words： Internet of Things （IoT）; network security; device fingerprint; contextual authentication; remote control

0 引言

物聯網（Internet of Things， IoT）是建立在互聯網基礎上的泛在網絡發展的一個新階段，它可以通過各種有線和無線網絡與互聯網融合，綜合應用海量的傳感器、智能處理終端、全球定位系統等，實現物與物、物與人的隨時隨地連接，實現智能管理和控制。IoT引領了信息產業革命的第三次浪潮，將成為未來社會經濟發展、社會進步和科技創新的最重要的基礎設施，也關系到國家在未來對一些物理設施的安全利用和管控。根據Gartner公司的報告[1]，2016年有64億個IoT設備上線，其中很大一部分是智能家居系統，如智能恒溫器、健身追蹤器、冰箱等，預計數量到2020年將達到200億以上。雖然IoT發展日趨迅猛，但IoT的安全問題卻日趨突出。

首先，雖然IoT設備計算和存儲能力較弱，但由于IoT設備眾多，且具有一定的網絡能力，依然可以發起多種攻擊。已有實驗驗證了IoT設備的網絡發包能力，2016年Mirai僵尸網絡的爆發也證明IoT設備可以產生嚴重威脅[2]。

其次，IoT設備涉及用戶隱私，關聯用戶敏感設備，如可以控制攝像頭或家用電器[3]。作為IoT應用的代表——智能攝像頭，在給人們日常生活帶來便利的同時，由此產生的隱私泄露等安全風險也如影相隨。360攻防實驗室稱近八e成智能攝像頭產品存在用戶信息泄露、數據傳輸未加密等問題，黑客可以遠程獲取用戶實時監控畫面[4]。

如果能改進IoT設備的認證問題，就可以有效解決以上兩點問題。目前，在IoT中，IoT終端設備一般處于無人值守的環境中，其設備容易受到攻擊、破壞，從而帶來利益的爭端問題;同時，竊取用戶身份的非法設備接入網絡后也可能會對網絡實施進一步的破壞。因此，網絡側有必要驗證接入網絡的設備合法性。基于設備指紋的身份認證機制可以確保只有合法的用戶才能遠程管理IoT設備，從而避免因非法設備接入帶來的利益爭端問題及網絡安全問題，有效推動IoT應用的開展。

本文的主要工作包括：

1）提出一種設備指紋的提取方法，通過分析交互流量提取設備獨有的指紋特征，可以作為情境認證的重要因素，能有效地對設備身份信息進行判斷。