第4章-物聯(lián)網(wǎng)接入安全第1次課

第4章課程目標(biāo)1.掌握物聯(lián)網(wǎng)接入安全的含義2.掌握信任管理的概念、模型和計算方法3.理解身份認(rèn)證、訪問控制的概念和方法4.掌握公鑰基礎(chǔ)設(shè)施的實現(xiàn)案例三、

物聯(lián)網(wǎng)信息安全體系二

、信息安全基本常識一

、課程介紹和考核4.1物聯(lián)網(wǎng)接入概述隨著物聯(lián)網(wǎng)的快速發(fā)展，大量的智能終端和傳感器系統(tǒng)的網(wǎng)絡(luò)與外部的通信愈加頻繁，安全管理和控制越來越困難、越來越復(fù)雜。物聯(lián)網(wǎng)系統(tǒng)的感知節(jié)點需要相互協(xié)作，并通過網(wǎng)絡(luò)接入互聯(lián)網(wǎng)。如何保證感知節(jié)點、智能終端和體系網(wǎng)絡(luò)的接入的安全性和可靠性是物聯(lián)網(wǎng)要解決的關(guān)鍵問題。一方面，大量具有無線通信功能的感知節(jié)點需要通過多跳通信完成感知數(shù)據(jù)傳輸和協(xié)助處理，這些節(jié)點在相互接入之前需要進(jìn)行有效的身份認(rèn)證。依據(jù)物聯(lián)網(wǎng)中各個層次接入物聯(lián)網(wǎng)方式的不同，物聯(lián)網(wǎng)接入安全分為節(jié)點接入安全、網(wǎng)絡(luò)接入安全和用戶接入安全。另一方面，感知節(jié)點數(shù)據(jù)需要借助各種網(wǎng)絡(luò)進(jìn)行傳輸、通信、通信節(jié)點的身份認(rèn)證也是物聯(lián)網(wǎng)必須關(guān)注的安全問題。

例：傳輸數(shù)據(jù)可以通過加密讓攻擊者一時得不到實際內(nèi)容，但計算機(jī)發(fā)展很快，破譯變得越來越容易，因此，感知數(shù)據(jù)需要可信鏈路。這就必須通過信任管理技術(shù)進(jìn)行可信的身份驗證以確保鏈路節(jié)點工作的高效和可靠。

此外。感知數(shù)據(jù)最終需要應(yīng)用于某種目的，需要用戶深度參與感知數(shù)據(jù)的處理。如何參與數(shù)據(jù)分析和處理也是物聯(lián)網(wǎng)系統(tǒng)必須面臨的重要問題。一、感知節(jié)點的安全接入1、感知節(jié)點的特點：感知層包括二維碼標(biāo)簽和識讀器、RFID標(biāo)簽和讀寫器、攝像頭、GPS、傳感器、M2M終端、傳感器網(wǎng)關(guān)等，主要功能是識別物體、采集信息。

設(shè)備類型比較復(fù)雜和多種多樣，各個設(shè)備節(jié)點之間通過有線或無線傳感網(wǎng)絡(luò)進(jìn)行互聯(lián)。目前沒有理想的安全防護(hù)方案，面臨的風(fēng)險主要包括：設(shè)備硬件簡單，固件版本低，軟件安全補丁更新不及時，存在安全漏洞等。物聯(lián)網(wǎng)系統(tǒng)中，要實現(xiàn)各種感知節(jié)點的安全接入，可行的安全保障技術(shù)是對每個感知節(jié)點進(jìn)行唯一編址。

IPV6擁有巨大的地址空間，可以為每個節(jié)點預(yù)留一個IP地址，并借用IPV6的安全機(jī)制，可以較好的保障物聯(lián)網(wǎng)感知節(jié)點的安全接入。

目前IPv4正在向IPv6過渡，使用IPv6不僅能滿足物聯(lián)網(wǎng)的地址需求，還能滿足物聯(lián)網(wǎng)對節(jié)點移動性、節(jié)點冗余、基于流的服務(wù)質(zhì)量保障的需求和對通信兩端的信息和通信過程進(jìn)行加密的安全需求。因此，IPv6很有希望成為物聯(lián)網(wǎng)應(yīng)用的基礎(chǔ)網(wǎng)絡(luò)安全技術(shù)。2、感知節(jié)點安全接入措施（1）代理接入方式3、當(dāng)前基于IPv6的無線接入技術(shù)，主要有以下兩種方式：定義：代理接入方式是指將協(xié)調(diào)節(jié)點通過基站（基站是一臺計算機(jī)）接入到互聯(lián)網(wǎng)。傳感網(wǎng)絡(luò)把采集到的數(shù)據(jù)傳給感知協(xié)調(diào)節(jié)點，再通過基站把數(shù)據(jù)通過互聯(lián)網(wǎng)發(fā)送到數(shù)據(jù)處理中心，同時用一個數(shù)據(jù)庫服務(wù)器緩存數(shù)據(jù)。用戶可以通過互聯(lián)網(wǎng)向基站發(fā)命令，或者訪問數(shù)據(jù)中心。

在代理接入方式中，傳感器不能直接與外部用戶通信，而是要經(jīng)過代理主機(jī)對接收的數(shù)據(jù)進(jìn)行中轉(zhuǎn)。優(yōu)點：安全性較好。利用PC作為基站減少了協(xié)調(diào)節(jié)點軟硬件的復(fù)雜度及能耗?？稍诖碇鳈C(jī)上部署認(rèn)證和授權(quán)等安全技術(shù)，且保證了傳感器數(shù)據(jù)的完整缺點:PC作為基站，其代價、體積與能耗都較大，不便于布置。在惡劣環(huán)境中不能正常工作。（2）直接接入方式定義：指通過協(xié)調(diào)節(jié)點直接連接互聯(lián)網(wǎng)與傳感網(wǎng)絡(luò)，協(xié)調(diào)節(jié)點可通過無線通信模塊與傳感網(wǎng)絡(luò)節(jié)點進(jìn)行無線通信，也可利用低功耗、小體積的嵌入式Web服務(wù)器接入互聯(lián)網(wǎng)，實現(xiàn)傳感網(wǎng)與互聯(lián)網(wǎng)的隔離。這樣，傳感網(wǎng)就可采用更加適合其特點的MAC協(xié)議、路由協(xié)議以及拓?fù)淇刂频葏f(xié)議，已達(dá)到網(wǎng)絡(luò)能量有效性、網(wǎng)絡(luò)規(guī)模擴(kuò)展性及簡單性等目標(biāo)。全I(xiàn)P方式：

直接在無線傳感網(wǎng)所有感知節(jié)點中使用TCP/IP協(xié)議棧，使無線傳感網(wǎng)與IPv6網(wǎng)絡(luò)之間通過統(tǒng)一的網(wǎng)絡(luò)層協(xié)議實現(xiàn)互聯(lián)。兩種不同的爭論：持贊同態(tài)度---全I(xiàn)P方式是最方便、最簡單的方式，理由是現(xiàn)存的IP網(wǎng)絡(luò)技術(shù)的廣泛基礎(chǔ)設(shè)施將為無線傳感器網(wǎng)絡(luò)的接入提供極大方便。持反對態(tài)度---IP是一種以地址為中心的工作機(jī)制，采用全I(xiàn)P方式用于以數(shù)據(jù)為中心應(yīng)用的無線傳感器網(wǎng)絡(luò)將會使效率的降低，在各節(jié)點上完全實現(xiàn)IPv6協(xié)議棧會遇到很多問題。另外，許多以數(shù)據(jù)為中心的工作機(jī)制不單獨設(shè)置網(wǎng)絡(luò)層，只在MAC層或應(yīng)用層實現(xiàn)路由功能，也是對全I(xiàn)P方式的不贊成。因此，對全I(xiàn)P方式需要認(rèn)真細(xì)致地深入研究。應(yīng)用網(wǎng)關(guān)方式：此方式是設(shè)置一個或多個代理服務(wù)器連接無線傳感器網(wǎng)絡(luò)和IPv6網(wǎng)絡(luò)，代理服務(wù)器工作在應(yīng)用層，所以該方式稱為應(yīng)用網(wǎng)關(guān)方式。網(wǎng)關(guān)節(jié)點必須同時支持IPv6協(xié)議和無線傳感器網(wǎng)絡(luò)方協(xié)議，無線傳感器網(wǎng)絡(luò)可以獨立或者跨層設(shè)計適合自身特點的各層協(xié)議。重疊方式：在IPv6網(wǎng)絡(luò)與傳感網(wǎng)之間通過協(xié)議承載方式來實現(xiàn)互聯(lián)。該方式不同于協(xié)議轉(zhuǎn)換。重疊方式有兩種:WSNoverIPv6和IPv6overWSN。WSNoverIPv6：傳感器網(wǎng)絡(luò)被看作是實網(wǎng)絡(luò)，由IPv6網(wǎng)絡(luò)上所有與無線傳感器網(wǎng)絡(luò)通信的節(jié)點組成的網(wǎng)絡(luò)被稱作虛網(wǎng)絡(luò)，虛網(wǎng)絡(luò)被看作是實網(wǎng)絡(luò)在IPv6網(wǎng)上的延伸。每個傳感器節(jié)點都運行適應(yīng)自身特點的專門協(xié)議，把無線傳感器網(wǎng)絡(luò)的專門協(xié)議的網(wǎng)絡(luò)層作為應(yīng)用被封裝在TCP/UDP/IP上，以隧道的方式實現(xiàn)虛節(jié)點之間的數(shù)據(jù)通信。該方式類似于在IP網(wǎng)絡(luò)上實現(xiàn)虛擬專用網(wǎng)VPN(virtualprivatenetwork)的連接方式。IPv6overWSN：在IPv6網(wǎng)絡(luò)的某些應(yīng)用情況下，用戶可能需要對無線傳感器網(wǎng)絡(luò)內(nèi)部的某些特殊節(jié)點，如擔(dān)負(fù)某些重要職能的群首節(jié)點、具有執(zhí)行能力的節(jié)點(actuator)等進(jìn)行直接的控制或者訪問，這些特殊節(jié)點就需要運行IPv6協(xié)議。通常這些節(jié)點之間以及與網(wǎng)關(guān)節(jié)點之間通信可能不能單跳實現(xiàn)，因此，采用了這種IPv6overWSN的形式實現(xiàn)它們之間的聯(lián)通。該方式下，除了某些特殊節(jié)點運行IPv6協(xié)議外，無線傳感器網(wǎng)絡(luò)的主體部分仍采用適合自身特點的專門通信協(xié)議。二、網(wǎng)絡(luò)節(jié)點的安全接入網(wǎng)絡(luò)層負(fù)責(zé)感知層與應(yīng)用層之間安全、穩(wěn)定、高效的數(shù)據(jù)交互，面臨中間人攻擊、重放攻擊、偽造數(shù)據(jù)包攻擊等安全威脅，目前常采用數(shù)據(jù)加密、數(shù)字簽名和深度包過濾等安全技術(shù)保障數(shù)據(jù)傳輸安全。

簡單的對稱加密技術(shù)雖然能夠滿足物聯(lián)網(wǎng)對實時性的要求，但安全性不足。

數(shù)字簽名技術(shù)雖然利用極難的數(shù)學(xué)算法保證了安全性，但由于物聯(lián)網(wǎng)采用中心化結(jié)構(gòu)，使得攻擊者的攻擊具有針對性，只需破壞或者欺騙相應(yīng)的設(shè)備即可達(dá)到篡改和竊取數(shù)據(jù)的目的。

深度包過濾技術(shù)則太過復(fù)雜，要實現(xiàn)深度包過濾，首先要對應(yīng)用層協(xié)議進(jìn)行解析，由于協(xié)議的多樣性(有些廠商甚至采用專有協(xié)議)，使得協(xié)議解析工作量巨大。而且，在深度包解析過程中會對數(shù)據(jù)包內(nèi)容完全解析，此時數(shù)據(jù)內(nèi)容更容易泄露。

網(wǎng)絡(luò)接人技術(shù)最終要解決的是如何將成千上萬個物聯(lián)網(wǎng)終端快捷、高效、安全地融入物聯(lián)網(wǎng)應(yīng)用業(yè)務(wù)體系中，這關(guān)系到物聯(lián)網(wǎng)終端用戶的切身利益，包括物聯(lián)網(wǎng)服務(wù)的類型、服務(wù)質(zhì)量、資費等，因此也是物聯(lián)網(wǎng)建設(shè)中要解決的一個重要問題。1、常用的網(wǎng)絡(luò)接入控制技術(shù)（1）NAC

NetworkAccessControl（網(wǎng)絡(luò)準(zhǔn)入控制）為什么需要這個技術(shù)呢？病毒、蠕蟲和間諜軟件等威脅損害客戶利益并使機(jī)構(gòu)損失大量的金錢、生產(chǎn)率和機(jī)會。借助NAC客戶可以只允許合法的、值得信任的端點設(shè)備(例如Pc、服務(wù)器、PDA)接入網(wǎng)絡(luò)，而不允許其它設(shè)備接入。NAC，網(wǎng)絡(luò)接入控制是思科最先提出的一種端到端的安全結(jié)構(gòu)，NAC主要由以下三部分組成：1)端點安全軟件----包括AntiVirus防病毒軟件，個人防火墻軟件或思科安全代理，這些軟件負(fù)責(zé)端點安全，并與CiscoTrustAgent(思科信任代理)通訊，共同決定對終端的信任關(guān)系。殺毒軟件、信任關(guān)系2)網(wǎng)絡(luò)接入設(shè)備:網(wǎng)絡(luò)接入設(shè)備--實施準(zhǔn)入控制的網(wǎng)絡(luò)設(shè)備包括路由器、交換機(jī)、無線接入點和安全設(shè)備。這些設(shè)備接受主機(jī)委托，然后將信息傳送到策略服務(wù)器，在那里實施網(wǎng)絡(luò)準(zhǔn)入控制決策。網(wǎng)絡(luò)將按照客戶制定的策略實施相應(yīng)的準(zhǔn)入控制決策:允許、拒絕、隔離或限制。3)策略服務(wù)器。策略服務(wù)器負(fù)責(zé)評估來自網(wǎng)絡(luò)設(shè)備的端點安全信息，并決定使用哪種接入策略。（2）NAPNAP微軟公司為WindowsVista/7/10設(shè)計的一套網(wǎng)絡(luò)操作系統(tǒng)組件，它可以在訪問私有網(wǎng)絡(luò)時提供系統(tǒng)平臺健康校驗。NAP平臺提供了一套完整性校驗方法來判斷接入網(wǎng)絡(luò)的客戶端的健康狀態(tài)，對不符合健康策略需求的客戶端限制其網(wǎng)絡(luò)訪問權(quán)限。NAP主要由以下部分組成：

1)適于動態(tài)主機(jī)配置協(xié)議和VPN、IPSec的NAP客戶端計算機(jī)。

2)NAP服務(wù)器。3)策略服務(wù)器。4)證書服務(wù)器。向基于IPSec的NAP客戶端頒發(fā)運行狀況證書。5)管理服務(wù)器。負(fù)責(zé)監(jiān)控和生成管理報告。（3）TNC可信網(wǎng)路連接(TrustedNetworkConnect，TNC)是建立在基于主機(jī)的可信計算技術(shù)之上的，其主要目的是通過使用可信主機(jī)提供的終端技術(shù)實現(xiàn)網(wǎng)絡(luò)訪問控制的協(xié)同工作。TNC的權(quán)限控制策略采用終端的完整性校驗。TNC結(jié)合已存在的網(wǎng)絡(luò)控制策略(如802.1x、IKE等)實現(xiàn)訪問控制功能。TNC架構(gòu)包括請求訪問者、策略執(zhí)行者和策略定義者。這些都是邏輯實體，可以今布在任意位置。TNC將傳統(tǒng)接入方式的“先連接，后安全評價”變?yōu)椤跋劝踩u估，后連接”，大大增強(qiáng)了接入的安全性。1)網(wǎng)絡(luò)訪問控制層。從屬于傳統(tǒng)的網(wǎng)絡(luò)連接和安全層，支持現(xiàn)有的VPN和802.1x等技術(shù)。這一層包括NAR(網(wǎng)絡(luò)放棄訪問請求)PER(策略執(zhí)行)和NAA(網(wǎng)絡(luò)訪問授權(quán))三個組件。2)完整性評估層。這一層依據(jù)一定的安全策略評估AR和完整性狀況。3)完整性測量層。這一層負(fù)責(zé)收集和驗證AR的完整性信息。TNC由三個部分構(gòu)成:（4）UAC這是管理員專門阻止在您的計算機(jī)上運行的程序。若要運行此程序，必須與管理員聯(lián)系并且要求解除阻止此程序。建議您大多數(shù)情況下使用標(biāo)準(zhǔn)用戶帳戶登錄計算機(jī)?？梢詾g覽Internet，發(fā)送電子郵件，使用字處理器，所有這些都不需要管理員帳戶。當(dāng)您要執(zhí)行管理任務(wù)(如安裝新程序或更改會影響其他用戶的設(shè)置)時，不必切換到管理員帳戶。在執(zhí)行該任務(wù)之前，Windows會提示您進(jìn)行許可或提供管理員密碼。組成單元：1)Infranet控制器。2)UAC代理。3)UAC執(zhí)行點。2、網(wǎng)絡(luò)接入控制的新趨勢通過對上述網(wǎng)絡(luò)接人控制技術(shù)的研究發(fā)現(xiàn)，終端設(shè)備安全接入與認(rèn)證是網(wǎng)絡(luò)安全接入中的核心技術(shù)，并呈現(xiàn)出新的趨勢。1)基于多種技術(shù)融合的終端接入認(rèn)證技術(shù)。從信息安全的遠(yuǎn)期目標(biāo)來看，在接入認(rèn)證技術(shù)領(lǐng)域芯片、操作系統(tǒng)、安全程序、網(wǎng)絡(luò)設(shè)備等多種技術(shù)缺一不可。2)基于多層防護(hù)的接人認(rèn)證體系。終端接入認(rèn)證是網(wǎng)絡(luò)安全的基礎(chǔ)，為了保證終端的安全接入，需要從多個層面分別認(rèn)證、檢查接入終端的合法性和安全性。3)接入認(rèn)證技術(shù)標(biāo)準(zhǔn)化、規(guī)范化。標(biāo)準(zhǔn)與規(guī)范是技術(shù)長足發(fā)展的基石，因此標(biāo)準(zhǔn)化、規(guī)范化是接入認(rèn)證技術(shù)的必然趨勢。3、滿足多網(wǎng)融合的安全接入網(wǎng)關(guān)多網(wǎng)融合環(huán)境下的物聯(lián)網(wǎng)安全接入需要一套完整的系統(tǒng)架構(gòu)，這種架構(gòu)可以是一種泛在網(wǎng)多層組織架構(gòu)。底層是傳感器網(wǎng)絡(luò)，通過終端安全接入設(shè)備或物聯(lián)網(wǎng)網(wǎng)關(guān)接入承載網(wǎng)絡(luò)。物聯(lián)網(wǎng)網(wǎng)關(guān)的安全接入有三大功能。1)實現(xiàn)協(xié)議轉(zhuǎn)換，同時可以實現(xiàn)移動通信網(wǎng)絡(luò)和互聯(lián)網(wǎng)之間的信息轉(zhuǎn)換。2)接入網(wǎng)關(guān)可以提供基礎(chǔ)的管理服務(wù)，為終端設(shè)備提供身份認(rèn)證、訪問控制等安全管理服務(wù)。3)通過統(tǒng)一的安全接人網(wǎng)關(guān)，將各種網(wǎng)絡(luò)進(jìn)行互聯(lián)整合，從而借助安全接入網(wǎng)關(guān)平臺迅速開展物聯(lián)網(wǎng)業(yè)務(wù)的安全應(yīng)用。三、終端用戶的安全接入在物聯(lián)網(wǎng)系統(tǒng)中，應(yīng)用層負(fù)責(zé)物聯(lián)