物聯網安全威脅及關鍵技術研究

曹蓉蓉 韓全惜

摘 ? 要：物聯網的快速發展帶來的新型安全問題日益突現。文章結合國內外物聯網攻擊實例，分析了物聯網安全形勢，從物理安全、計算安全、數據安全三個維度分析了物聯網的安全威脅，并探討了物聯網安全需重點研究的關鍵技術。

關鍵詞：物聯網;安全威脅;輕量級加密;安全路由;隱私保護

中圖分類號： TP393 ? ? ? ? ?文獻標識碼：A

Abstract： With the rapid development of Internet of Things （IoT），new security issues are increasingly emerging. Based on IoT real attack cases both in China and overseas，this paper analyzes the security situation of IoT， analyzes the security threats of IoT from three dimensions of physical security， computing security and data security， and discusses the key technologies that need to be focused on in the security of IoT.

Key words： Internet of Things; security threat; lightweight encryption; secure routing; privacy protection

1 引言

物聯網（Internet of Things，IoT）是指通過射頻識別（RFID）、紅外感應器、全球定位系統、激光掃描器等信息傳感設備，按照一定的協議，將任何物品與互聯網連接起來進行信息交換和通信，以實現智能化識別、定位、跟蹤、監控和管理的一種網絡概念[1]。隨著物聯網技術的不斷發展，物聯網作為戰略性新興產業，在國家的大力推動下，已經開始在社會生產生活中大規模部署應用，滲透到社會生活的各個領域，萬物互聯的時代正在到來。然而，在物聯網給社會提供便利和服務的同時，其安全事件數量和規模也呈現迅猛增長態勢，面臨嚴峻的安全威脅和挑戰，物聯網安全正在成為信息安全領域的重大課題之一。如何根據物聯網的技術特性、應用場景、安全威脅事件，深入分析物聯網面臨的安全威脅，提出應對安全威脅的關鍵技術是一個值得研究的現實問題。

2 物聯網安全形勢

由于物聯網相關的安全標準滯后，以及智能設備制造商缺乏安全意識和投入，目前最流行的物聯網智能設備幾乎都存在高危漏洞，其中80%的物聯網設備存在隱私泄露或濫用風險，80%的物聯網設備存在弱口令漏洞，70%的物聯網設備在通信過程中無加密機制，70%的物聯網設備存在Web安全漏洞。物聯網安全事件從個人、家庭、企業到國家層出不窮，由于物聯網與實際物體產生關聯，一旦遭受攻擊和破壞，損失的不僅僅是個人資料，還會影響到人身安全、生產設備的運行安全。因此，物聯網已經成為個人隱私、企業信息安全、甚至國家關鍵基礎設施的頭號安全威脅。

2015年7月，菲亞特克萊斯勒美國公司宣布召回140萬輛配有Uconnect車載系統的汽車，黑客入侵了該車載系統，遠程操控車輛的加速和制動系統、電臺和雨刷器等設備，嚴重危害人身安全。2016年10月，美國域名服務提供商Dyn遭受大規模DDoS攻擊，導致美國東海岸地區遭受大面積網絡癱瘓。造成此次攻擊事件的罪魁禍首為一款名為“Mirai”的惡意程序，它通過控制大量的物聯網設備（包括網絡攝像頭、家庭用路由器等）對目標實施大規模的DDoS攻擊。繼Mirai事件之后，多種惡意軟件家族對物聯網設備發起攻擊，使大量物聯網設備淪為僵尸網絡的一部分，成為DDoS攻擊的直接攻擊者。2017年11月，德國電信受到Mirai變種僵尸網絡的攻擊，遭遇斷網。相比Mirai家族借助設備弱口令進行傳播攻擊，2017年9月出現的IoT_reaper則不再使用破解設備的弱口令，而是針對物聯網設備的漏洞進行攻擊，大大提高了入侵幾率。2018年攻擊者利用漏洞編寫惡意軟件感染大量物聯網設備，在暗網買賣攻擊服務，肆意發動破壞和勒索攻擊。2019年3月委內瑞拉電力設施遭受高技術網絡攻擊，委內瑞拉大部分地區持續停電，嚴重破壞了委內瑞拉社會的正常運轉，對委內瑞拉的國家安全、社會穩定和經濟發展產生嚴重威脅。

以上安全事件表明，針對物聯網的攻擊或由物聯網發動的攻擊，已對國家關鍵信息基礎設施、企業和個人的安全構成了嚴重的威脅。在未來幾年里，隨著國家IPv6戰略的大力推動，物聯網設備的數量會急劇增長，隨之而來的安全問題也會增多，物聯網安全形勢更加嚴峻。

3 物聯網安全威脅

3.1 物聯網安全體系結構

物聯網安全體系結構離不開物聯網的體系結構，而物聯網的體系結構根據應用領域的不同，有相應的工業標準和規范，比如工業控制領域物聯網、車載物聯網、智能家居物聯網等，根據業務形態的不同，其具體的體系結構也不盡相同。本文探討的是通用物聯網體系結構下的安全問題，因此本文基于國際上普遍采用的三層體系結構模型（感知層、網絡層、應用層）[2]，提出一種擴展的立體式的物聯網安全模型。如圖1所示，在三層物聯網安全體系結構模型下，本文將從物理安全、計算安全、數據安全三個維度探討物聯網安全體系架構。

3.2 物聯網感知層安全威脅

物聯網感知層通過對信息的采集、識別和控制，達到全面感知的目的。由感知設備和網關組成，感知設備可為RFID裝置、各類傳感器（如紅外、超聲、溫度、適度、速度等）、圖像捕捉裝置（攝像頭）、全球定位系統（GPS）、激光掃描儀、融合部分或全部上述功能的智能終端等。由于感知設備數量大、種類多，具有多源異構、能力脆弱、資源受限等特點，且感知層設備大多部署在無人值守環境中，更易遭受破壞和攻擊。根據本文提出的立體式網絡安全模型，將感知層的安全威脅分為三類。

（2）輕量級安全協議

安全協議是指在攻擊者的干擾下仍能達到一定安全目標的通信協議。在復雜的網絡環境下，安全協議需要保障協議各參與方的身份信息、位置信息以及傳輸的秘密信息不被泄露。物聯網感知層的特點是多源異構、資源受限、設備類型復雜等，傳統的計算、存儲和通信開銷較大的安全協議無法滿足物聯網感知層的需求，因此需要研究開發輕量級的安全協議。與傳統的安全協議相比，輕量級安全協議的目標是減少通信次數、減少通信流量、減少計算量，同時保證數據傳遞的正確性、安全性。目前，物聯網安全感知層的安全協議主要包括RFID認證協議、RFID標簽所有權轉移協議、RFID標簽組證明協議、距離約束協議等。

4.2 物聯網網絡層安全關鍵技術

在物聯網結構中，網絡層是以互聯網為基礎而存在的，有些因素在危及互聯網信息安全的同時，也會破壞物聯網的信息服務，但是由于傳統的網絡路由方式單一，并且其主要目的不是針對安全性，所以傳統的網絡通信技術不能完全適應物聯網[6]。

（1）物聯網安全路由協議

物聯網的路由要跨越多類網絡，有基于IP地址的互聯網路由協議、有基于標識的移動通信網和傳感網的路由算法，因此至少解決兩個問題：一是多網融合的路由問題;二是傳感網的路由問題[7]。通過構建統一的路由體系，解決多網融合的多協議路由融合問題;針對傳感網資源受限、易受到攻擊和破壞的特點，設計抗攻擊的輕量級傳感網安全路由算法。

（2）容侵容錯技術

容侵就是指在網絡中存在惡意入侵的情況下，網絡仍然能夠正常地運行[7]。攻擊者往往利用物聯網無人值守的惡劣環境和部署區域的開放性、無線網絡的廣播性等特點，對網絡節點進行捕獲、攻擊和毀壞，使網絡無法正常運行。物聯網的容侵可采用網絡拓撲容侵、安全路由容侵、數據傳輸容侵等容侵技術。

容錯性是指在故障存在的情況下系統不失效、仍然能夠正常工作的特性[7]。物聯網網絡層需要在部分節點或鏈路失效后，能夠進行網絡結構自愈，恢復數據傳輸，減小節點或鏈路失效對網絡的影響。物聯網的容錯可通過無線自組織網絡等技術進行網絡拓撲容錯、網絡傳輸容錯。

4.3 物聯網應用層安全關鍵技術

物聯網應用層是物聯網業務和安全的核心，由于物聯網的廣泛應用具有多樣復雜性，物聯網應用層對應安全解決技術也相差各異，綜合不同的物聯網行業應用可能需要的安全需求，物聯網應用層安全的關鍵技術可以包括兩個方面。

（1）隱私保護技術

物聯網應用層安全的核心是數據安全，在保證數據可用性的前提下保護數據的隱私。設計實現不同等級的隱私保護技術，確保用戶隱私信息不被泄漏。隱私保護技術主要有兩個方面：一是身份隱私，就是在傳遞處理數據時，不泄露發送設備的身份信息;二是位置隱私，就是告訴物聯網的控制中心具體某個設備的運行狀態，但不泄露設備的具體位置信息。可采用假名技術、密文驗證、門限密碼等隱私保護技術，特別是大數據下的隱私保護技術。

（2）云平臺的安全技術

物聯網應用層要對從感知層獲取的大量的數據進行分析和處理，物聯網構建中，這部分工作往往通過構筑云服務平臺來完成。如何保證云計算、云存儲的環境安全及設備設施的安全;如何保證云平臺在遭到攻擊或系統異常時及時恢復、隔離問題服務;如何保證API安全，防止非法訪問和非法數據請求;如何確保在數據傳輸交互過程中的完整性、保密性和不可抵賴性等，保證端到端的安全，都是構建云平臺必須要解決的關鍵技術問題。

5 結束語

隨著物聯網在各行各業的快速普及以及物聯網威脅事件的大量出現，物聯網安全越來越引起產業界和學術界的關注。本文從國內外針對物聯網安全威脅事件出發，分析了物聯網的各類安全威脅，提出了一種立體式的物聯網安全模型并闡述了每一層的安全關鍵技術。物聯網作為一個由多層集成的大系統，許多安全問題都還在研究之中，隨著人工智能、量子計算、安全和網絡自動化工具等相關技術的飛速發展，這些新技術將會運用到物聯網的安全領域，為物聯網安全提供強有力的技術支撐。

參考文獻

[1] 黎勇，徐元根，王軍.物聯網安全框架與風險評估研究[J].電子測試，2015（19）：81-84.

[2] ITU Internet Reports 2005.The Internet of Things[R].International Telecommunication Union. 2005.

[3] 武傳坤.物聯網安全關鍵技術與挑戰[J].密碼學報， 2015，2（1）：40-53.

[4] Bogdanov A， Knudsen L， Leander G， et al.PRESENT： an ultra-lightweight block cipher[C].In： Cryptographic Hardware and Embedded Systems—CHES 2007. Springer Berlin Heidelberg 2007： 450–466.

[5] Wu W L， Zhang L. LBlock： a lightweight block cipher[C].In： Applied Cryptography and Network Security—ACNS 2011. Springer Berlin Heidelberg， 2011： 327–344.

[6] 朱新良.物聯網技術及安全問題[J].上海理工大學學報（社會科學版），2015，37（2）：190-196.

[7] 楊庚，許建，陳偉，祈正華，王海勇.物聯網安全特征與關鍵技術[J].南京郵電大學學報（自然科學版），2010，30（4）：20-29.

[8] 畢然，李小剛，姜建.物聯網安全事件案例和問題分析[J].電信網技術，2014（19）：10-13.

[9] 張遠晶，畢然.我國物聯網安全及解決方案[J].信息通信技術與政策，2019（2）：35-39.

[10] 孫長江.試論物聯網感知層的信息安全防護策略[J].通訊世界，2019.26（2）：7-8.

[11] 劉志誠.物聯網網絡信息安全生態體系構建新論[J].網絡空間安全，2018.9（12）：85-89.