如何解決物聯(lián)網(wǎng)的安全問題

近年來物聯(lián)網(wǎng)創(chuàng)新應(yīng)用層出不窮，智慧終端的應(yīng)用場景不斷拓展。5G商用的加速推進(jìn)，更進(jìn)一步促進(jìn)物聯(lián)網(wǎng)終端連接數(shù)的爆炸性增長。如此多的終端在為我們生產(chǎn)生活提供便利的同時，也帶來了更多安全隱患：智慧服務(wù)的中斷(樓宇安防、智慧醫(yī)療等)、形成僵尸網(wǎng)絡(luò)(破壞國家電網(wǎng)、交通控制系統(tǒng)、網(wǎng)絡(luò)服務(wù)等)，對關(guān)鍵基礎(chǔ)設(shè)施和國家安全構(gòu)成嚴(yán)重威脅。

一、物聯(lián)網(wǎng)安全是產(chǎn)業(yè)問題，同樣事關(guān)個體生命財(cái)產(chǎn)安全

2017年美國自動售貨機(jī)遭遇黑客入侵，160多萬用戶個人隱私數(shù)據(jù)泄露，包括信用卡賬戶、生物特征識別等數(shù)據(jù);2018年我國藥監(jiān)局發(fā)布大批醫(yī)療器械召回公告，共計(jì)24萬逾臺麻醉系統(tǒng)、人工心肺機(jī)等關(guān)鍵醫(yī)療設(shè)備存在安全漏洞，可悲遠(yuǎn)程操控;來自維基解密手機(jī)的CIA(美國中央情報局)資料顯示網(wǎng)絡(luò)電視被用來秘密監(jiān)視和錄制監(jiān)控視頻;2007年德國曾就“遠(yuǎn)程殺人芯片”嘗試申請專利，將芯片隨關(guān)鍵設(shè)備植入被控人體，一旦被控目標(biāo)反抗便可觸發(fā)裝置，殺掉此人……物聯(lián)網(wǎng)安全問題不再僅僅停留在企業(yè)和產(chǎn)業(yè)的發(fā)展討論上，同樣也聚焦到了每一個消費(fèi)個體的生命財(cái)產(chǎn)安全上來。

二、物聯(lián)網(wǎng)安全問題更立體，涉及層面更多元

物聯(lián)網(wǎng)安全問題不同于傳統(tǒng)的互聯(lián)網(wǎng)安全，物聯(lián)網(wǎng)安全是全方面的、立體化的，涉及物聯(lián)網(wǎng)感知終端、傳輸網(wǎng)絡(luò)、服務(wù)平臺和移動應(yīng)用等多個方面，任何一個層面的入侵都可能引起系統(tǒng)性的嚴(yán)重后果。

首先是物聯(lián)網(wǎng)終端與人解耦后引發(fā)物理層次的安全問題。2018年鄭州市電動自行車防盜車牌批量被暴力拆解、風(fēng)靡一時的共享單車頻繁被盜竊……由于感知終端或節(jié)點(diǎn)缺乏人員的看護(hù)和管理，處于不安全物理環(huán)境，極有可能被偷盜、非法位置移動、人為破壞以及自然環(huán)境引發(fā)的威脅，造成感知終端或節(jié)點(diǎn)的丟失和工作異常，將嚴(yán)重影響物聯(lián)網(wǎng)設(shè)備功能特性和智能服務(wù)提供。

其次是物聯(lián)網(wǎng)終端部署的規(guī)?；屯|(zhì)化擴(kuò)大了物聯(lián)網(wǎng)絡(luò)的風(fēng)險敞口。任何一個終端或節(jié)點(diǎn)被物理俘獲或邏輯攻破，攻擊者可利用簡單的工具分析出同類型終端或節(jié)點(diǎn)所存儲機(jī)密信息、隱私信息開展規(guī)?；途蘖炕簦蛘弑焕米鳛楣粑锫?lián)網(wǎng)設(shè)備所連接的網(wǎng)絡(luò)滲透入口等。2018年名為Jenx的惡意帶軟件感染的物聯(lián)網(wǎng)設(shè)備發(fā)起290-300Gbps 的DDoS 攻擊，并在暗網(wǎng)中出租DDoS ，控制的設(shè)備數(shù)至少2.9 萬臺。相似的案例還有赫赫有名的Mirai、BASHLITE、Lizkebab、Gafgyt等。物聯(lián)網(wǎng)智能服務(wù)架構(gòu)更立體，更加廣泛的連接，更加嚴(yán)重依賴數(shù)據(jù)的傳遞和交換，因此對網(wǎng)絡(luò)安全性和穩(wěn)定性要求更加苛刻。

最后是物聯(lián)網(wǎng)終端全連接數(shù)的指數(shù)增長和接入方式的異構(gòu)化、泛在化，增加了物聯(lián)網(wǎng)服務(wù)網(wǎng)絡(luò)的脆弱性和數(shù)據(jù)泄露風(fēng)險。物聯(lián)網(wǎng)設(shè)備經(jīng)常需要滿足實(shí)驗(yàn)室、廠房、設(shè)備等多場景的連接需求，訪問授權(quán)或認(rèn)證機(jī)制多種多樣，不健全、不規(guī)范現(xiàn)象突出。這不僅造成終端自身的服務(wù)不穩(wěn)定，更加重了整個物聯(lián)網(wǎng)的安全風(fēng)險。一方面受攻擊后終端可向行業(yè)應(yīng)用服務(wù)平臺回傳偽造的數(shù)據(jù)，帶來源數(shù)據(jù)污染風(fēng)險數(shù)據(jù)泄露風(fēng)險。另一方面，終端之間也存在數(shù)據(jù)泄露渠道，在同一網(wǎng)段或相鄰網(wǎng)段的終端可能會查看到其他終端的信息，比如屋主名字，精確的地理位置，甚至消費(fèi)者購買的商品等。2018年繼曝發(fā)出怪異笑聲后，美國科技巨頭亞馬遜的人工智能助手Alexa又被控竊聽、監(jiān)聽用戶生活。

三、提升物聯(lián)網(wǎng)安全能力，終端安全能力是關(guān)鍵

物聯(lián)網(wǎng)終端作為物聯(lián)網(wǎng)的神經(jīng)末梢，承擔(dān)著對物理世界真實(shí)信息的采集、模式識別和實(shí)體控制功能;同時終端的通信接入模塊塊將采集到的數(shù)據(jù)信息傳輸至決策服務(wù)端，并接收決策指令。因此可見物聯(lián)網(wǎng)終端不僅僅是物聯(lián)網(wǎng)的關(guān)鍵“網(wǎng)關(guān)”，同時也是物聯(lián)網(wǎng)的核心功能模塊。物聯(lián)網(wǎng)終端的安全必然是物聯(lián)網(wǎng)安全的核心內(nèi)容。終端自身的傳感器失效、信號噪聲、通訊延遲或中斷、斷電等都將造成物聯(lián)網(wǎng)服務(wù)的巨大損害。

物聯(lián)網(wǎng)的開放性(異構(gòu)接入、弱認(rèn)證等)和物聯(lián)網(wǎng)終端弱口令和弱協(xié)議普遍。這來源于兩個方面：一方面是物聯(lián)網(wǎng)終端應(yīng)用場景豐富、功能各異，物聯(lián)網(wǎng)無法提供統(tǒng)一的接入認(rèn)證機(jī)制，必須要做到普適、靈活可調(diào)整;另一方面是物聯(lián)網(wǎng)終端受能耗和資源限制，無法構(gòu)建完整的安全策略(無法完成復(fù)雜安全計(jì)算或認(rèn)證等)。無論哪一方面最終都可以歸結(jié)為物聯(lián)網(wǎng)終端的異構(gòu)和多樣對物聯(lián)網(wǎng)整體安全水平的影響，因此加強(qiáng)安全代理/安全網(wǎng)關(guān)的使用，標(biāo)準(zhǔn)化終端接入方式、提高終端安全認(rèn)證等級將是提升物聯(lián)網(wǎng)安全水平的重要方式。

物聯(lián)網(wǎng)與人聯(lián)網(wǎng)的另一個顯著區(qū)別在于物聯(lián)網(wǎng)終端所采集和傳輸?shù)臄?shù)據(jù)特征單一、穩(wěn)定，對于異常狀況可以通過監(jiān)測技術(shù)及時發(fā)現(xiàn)和預(yù)警。因此提升物聯(lián)網(wǎng)安全水平的另外一個重要方式便是強(qiáng)化物聯(lián)網(wǎng)終端使用狀態(tài)監(jiān)測，實(shí)現(xiàn)對威脅事件的及時捕捉，及時處置。

四、政產(chǎn)學(xué)研用，“以端促網(wǎng)”的安全生態(tài)建設(shè)

物聯(lián)網(wǎng)安全管理和能力提升是多方的，全行業(yè)的。國內(nèi)外各企業(yè)加速布局物聯(lián)網(wǎng)終端安全產(chǎn)業(yè)、積極參與安全生態(tài)建設(shè)。中國電信、中國移動、中國聯(lián)通紛紛成立“安全聯(lián)盟”或“產(chǎn)業(yè)聯(lián)盟”，吸納傳感器、芯片、模組、終端、網(wǎng)絡(luò)、平臺、應(yīng)用等產(chǎn)業(yè)鏈相關(guān)企業(yè)，積極打造統(tǒng)一的物聯(lián)網(wǎng)終端安全連接平臺或方案。阿里巴巴、華為、小米等互聯(lián)網(wǎng)或通信企業(yè)也紛紛發(fā)布物聯(lián)網(wǎng)戰(zhàn)略，聚集設(shè)備生產(chǎn)商、安全芯片廠商、模組廠商、測試實(shí)驗(yàn)室等IoT安全全產(chǎn)業(yè)鏈的合作伙伴，致力于提升整個物聯(lián)網(wǎng)產(chǎn)業(yè)鏈的安全能力，為垂直行業(yè)提供端到端的物聯(lián)網(wǎng)安全測試和驗(yàn)證服務(wù)，全面構(gòu)建終端安全能力。

中國信通院安全研究所聯(lián)合中國移動研究院等多家單位發(fā)起成立了“物聯(lián)網(wǎng)安全創(chuàng)新實(shí)驗(yàn)室”，面向物聯(lián)網(wǎng)產(chǎn)業(yè)逾千家芯片、模組、終端等相關(guān)企業(yè)，共同推動物聯(lián)網(wǎng)終端安全能力認(rèn)定及檢測、“分級分類”安全管理和“安全代理”等一系列物聯(lián)網(wǎng)終端安全能力提升策略。并在實(shí)踐中總結(jié)出“以卡促端”“卡端一體”“以端促網(wǎng)”的綜合性、一攬子物聯(lián)網(wǎng)(終端)安全管理方案，致力于物聯(lián)網(wǎng)終端認(rèn)證能力提升、終端安全態(tài)勢感知預(yù)警能力建設(shè)和全行業(yè)物聯(lián)網(wǎng)安全生態(tài)的構(gòu)建。

從源頭-安全終端入手，提升終端安全內(nèi)核、推動終端安全標(biāo)準(zhǔn)化和體系化發(fā)展;從行業(yè)-產(chǎn)業(yè)聯(lián)盟入手，推動行業(yè)自律和安全生態(tài)建設(shè);“技管結(jié)合”保障行業(yè)健康發(fā)展，同時提升行業(yè)安全管理能力和執(zhí)法能力。凝聚“政產(chǎn)學(xué)研用”多方力量，“以端促網(wǎng)”構(gòu)建物聯(lián)網(wǎng)安全生態(tài)，共同打造我國安全、可靠、清朗的網(wǎng)絡(luò)空間。