淺談基于邊緣計算的安全防護設計

張瑋 樂勇

摘 要 邊緣計算已逐漸滲透到社會各個領域，邊緣計算具有分布式、異構型、計算和存儲資源相對有限等特性，然而作為一種新型的計算架構其安全問題還未得到有效改善，本文主要對當前邊緣計算面臨的安全威脅形勢以及典型的防護手段與能力進行分析與闡述。

關鍵詞 邊緣計算;物聯網;邊緣安全防護

引言

當今，云計算、物聯網、大數據、人工智能等技術迅猛發展，ZigBee、BlueTooth、 5G/6G等通信手段的助力驅動，物聯、數聯、智聯驅勢已然呈現，我們正面向“萬物互聯、萬物感知”的新時代。隨著接入網絡的設備數量激增，傳輸的數據也在爆炸式增長，傳統的云計算中心已無法滿足低時延、密集化的網絡接入和服務需求，邊緣計算作為減輕云計算中心負載的緩沖方式越來越受到重視，其面臨的安全威脅也十分嚴峻。

1面臨的安全威脅分析

邊緣計算作為云體系“最后一公里”的重要實施區域，必然面臨的是龐雜的邊緣設備接入、多樣的信息感知與采集手段、形態不一的多域接入環境，研究在邊緣計算環境中潛在的攻擊形態與方式，應結合邊緣計算部署框架。

1.1 邊緣計算部署架構

2017年11月份，工業互聯網產業聯盟和邊緣計算聯盟聯合發布了邊緣計算參考架構2.0白皮書，提出[1]邊緣計算通用參考架構，包含邊緣計算節點、邊緣數據中心、業務/數據編排和智能應用共四個橫向層次及管理服務、安全服務和數據全生命周期管理等縱向管理功能。

1.2 常見的安全威脅分析

（1）邊緣節點設備安全威脅

1）接入端侵入控制

邊緣節點連接的設備主要是無線連接并具有可移動性，會出現頻繁的、跨邊緣節點的接入和退出情況，導致拓撲和通信條件不斷變化，同時又因為遠離云中心的管理，接入端被惡意入侵的可能性大大增加。

2）系統與組件不可控

邊緣節點動態的連接大量、不同類型的設備，每個設備上嵌入或安裝了不同的系統、組建和應用程序，邊緣節點從云端安裝的如果是不安全的定制操作系統，攻擊者會通過邊緣節點的系統漏洞進行肆意篡改攻擊。

（2）邊緣網絡安全風險

1）網絡滲透入侵

邊緣計算網絡類型與傳統云計算網絡相比更加豐富、數據實時交互頻繁，傳統的網絡安全技術很難抵御這種多元、跨域、分層的攻擊和入侵，攻擊者會通過對網絡實施檢測、規避、誘騙、控制、非法監聽流量的等行為，修改/偽造的邊緣設備可以作為合法邊緣設備來獲取、處理、發送或重定向數據分組。

2）分布式拒絕服務

邊緣設備本身的計算資源與帶寬資源有限，攻擊者入侵后利用合理的服務請求發起DDos攻擊，通過填充式手段優先或飽和占用過多的服務資源，讓合法的邊緣設備無法得到系統服務響應，最終導致邊緣設備運行緩慢甚至宕機情況。

（3）邊緣數據安全風險

1）邊緣節點數據易破壞

網絡邊緣設備產生的海量級數據如果采取透明式傳輸，缺少有效加密與完整性審計手段，極易造成數據丟失與泄露，缺乏備份與恢復機制，就會因數據的易獲取、修改、偽造再注入等非法操作帶來數據一系列安全性問題。

2）隱私數據保護不足

網絡邊緣數據涉及個人隱私，在邊緣計算網絡數據交互過程中，攻擊者通過新型網絡攻擊實施竊聽、滲透、側心道攻擊、篡改等破壞手段，導致用戶的隱私、使用信息和密碼的泄露。

（4）邊緣應用安全

1）身份識別與賬戶管理

在大規模、異構、動態的邊緣網絡中，攻擊者可利用弱密碼、硬編碼密碼弱點偽造身份與賬戶對邊緣節點實施釣魚、欺騙等攻擊操作。因此，終端用戶和邊緣應用服務之間需統一的身份授權認證和高效的密鑰管理，提供訪問控制功能，對用戶賬號進行安全管理與權限分配。

2）不安全的接口和API

智能應用的多元化發展必然有豐富的API編程接口，邊緣數據中心既要面對大量的邊緣設備接口又要與上層應用實現對接，在分布式架構的復雜環境下，眾多的接口與API接口管理都缺乏安全性考慮，很容易被意外或惡意的接入。

2安全防護手段分析

邊緣計算安全白皮書中提出采用分層防護方式對不同安全防護對象，提供相應的安全防護功能，進而保障邊緣安全[2]。邊緣安全防護架構如圖1所示。

2.1 邊緣基礎設施安全

邊緣基礎設施需為整個邊緣計算節點提供可靠的軟硬件基礎及邊緣計算操作系統。典型的可執行環境TEE作為可靠技術之一，采用硬件虛擬化技術將硬件和軟件資源劃分為安全和非安全兩個區域，在執行前做完整性驗證，確保應用沒有被篡改。邊緣計算操作系統向下需要管理異構的計算資源，向上需要處理大量的異構數據以及多用的應用負載，如機器人操作系統（ROS）、無人機引入數據分發服務（DDS）提供硬件抽象和驅動、消息通信標準、軟件包安全管理等一系列工具。

2.2 邊緣網絡安全

邊緣網絡的[3]主動防御區別與以往的入侵防御技術，基于擬態防御合移動目標防御技術發展形成動態網絡，通過輪轉發送方和接受方的IP地址來保密信息和避免網絡攻擊;蜜罐類攻擊誘捕驗證技術主要針對APT等位置攻擊具有高級復雜、持續、目標針對性強的特點，通過在系統中布置一些具有漏洞的主機或者網絡服務作為誘餌欺騙攻擊方，使攻擊方對這些誘餌實施攻擊，防御方捕獲這些攻擊行為。

2.3 邊緣數據安全

邊緣設備產生的隱私數據保護，需將傳統的隱私保護方案和邊緣計算環境中的邊緣數據處理特性相結合，常規流程是由數據所有者預先對外包數據進行加密處理和上傳操作，并在需要時由數據使用者解密。傳統的加密算法包括對稱加密算法和非對稱加密算法，但傳統加密算法加密后的數據可操作性低，對后續的數據處理造成很大阻礙，目前比較常用的數據加密算法有基于屬性加密（ABE）、代理重加密（PRE）和全動態加密（FHE）算法等。

2.4 邊緣應用安全

基于身份認證與密碼學可對邊緣安全應用服務進行安全保護，用戶身份認證的技術分為兩類：簡單認證機制和強認證機制。簡單的認證中認證方只對被認證方的名字和口令進行一致性的驗證，一般解決辦法是使用一次性口令（OTP，One-Time Password）[4]機制。強認證機制運用多種加密手段來保護認證過程中相互交換的信息，其中，Kerberos協議是此類認證協議中比較完善、較具優勢的協議，得到了廣泛的應用。

3結束語

由于邊緣計算安全防護涉及多個層面多種技術，目前尚未形成統一的國際標準。總體上看防御措施仍滯后于攻擊，同時需考慮當前邊緣計算實行性、時效性等開放環境的高要求，防御效能與可靠性之間的矛盾也會長期存在，在智聯世界的未來還要持續摸索，不斷探求兩者之間的最佳平衡。

參考文獻

[1] 佚名.邊緣計算參考架構 2.0[ED/OL]. http：//www.ecconsortium.org/Uploads/file/20171128/1511871147942955.pdf，2017-11-1.

[2] 佚名.邊緣云計算技術及標準化白皮書（2018）[ED/OL].http：//www.cesi.cn/201812/4591.html，2018-12-14.

[3] 楊正東，曾夢岐，王堅，等.數據鏈安全保密體系[J].指揮信息系統與技術，2018（6）：42-45.

[4] 蔣誠智，馬瀟瀟，朱立新，等.基于安全生命周期的網絡安全審查架構[J].指揮信息系統與技術，2016（7）：14.