TECHNICAL BRIEF

物聯網安全必須內建而不是加裝Rich Nass

若論裝置完整性、資料保護和裝置管理，自己動手做 (DIY) 的安全方案並不足夠，就算您是經驗豐富的工程師亦然。最近物聯網裝置被惡意攻擊的事件就是最佳的證據。最近發現超過 50 億台藍牙裝置無力抵擋 藍牙惡意 軟體攻擊。駭客們只需等待藍牙裝置開啟，接著便可以注入惡意程式碼，而且在某些情況下，還可以攔截 Windows PC 傳入和傳出的網路流量並任意修改。這並 不是單獨的事件。一次快速搜尋便會招來數十次攻擊。由於製造商採用預設密碼和不必要的開放連接埠，致使物聯網裝置門戶大開，這些裝置可能被利用來攻擊整個物聯網堆疊。這就是物聯網安全攻擊如此嚴重的原因：犯罪者不但竊取資料並中斷服務，而且從裝置到雲端的資料流之中隨處對設備和使用者造成傷害。是的，設計師可以下載一些開放原始碼的傳輸與加密程式碼，並把它內建到應用程式內。但是，這肯定會有缺口，讓駭客有機可乘。儘管現在市面上的商用安全平台無法完全 摒除風險，但一定有辦法降低風險。要達到最佳的安全狀態，這些解決方案必須與平台緊密整合，而不是等到產品設計都要交到客戶手上前才加裝。

物聯網安全與傳統安全比較物聯網安全與相對傳統的安全措施之間有若干重大差異。傳統安全功能假設 IT 可以在隔離式網路上控管裝置和資料的存取，且裝置和資料兩者皆存在於已定義的實體環境中。端點必須具備相當高的運算能力，才能執行保護這些裝置和資料的解決方案，例如防毒軟體、防火牆和入侵偵測/預防系統 (IDS/IPS)。若需要更新安全方案， 可在裝置上輕鬆下載和安裝最新的修補程式。另一方面，物聯網安全則比較不受管束。裝置一般都在相對開放的網路上運作，通常是在缺乏實體防護的地方。運算能力有限，尤其用電池供電的裝置，發佈軟體更新的能力 亦然。物聯網系統的端點可能沒有多餘空間可以安裝安全軟體。因此物聯網安全必須先驗證邊緣裝置才能進行通訊，並一路保護資料從終端裝置傳送到雲端。所以這意味著裝置出貨前必須內建安全功能，而不是在裝置都售出後再加裝套用。

內部自行開發的安全方案之缺點要更貼切體會物聯網安全工程的艱鉅程度，可從典型的系統架構著眼：

• 裝置端：包含物聯網裝置、應用程式、資料以及網路交換器/閘道的連線能力

• 網路交換器/閘道：包含一個網路交換器/閘道、路由軟體和其他應用程式，以及裝置端和雲端的通訊

• 雲端：包含伺服器基礎架構、已儲存的資料、原生應用程式，也許可以存取硬體安全模組 (HSM)， 以及連接網路交換器/閘道或是裝置的南向通訊機制

要自行開發一套物聯網安全解決方案來因應上述領域的需求，設計團隊必須在範圍、時間和成本之間有所折衷。通常會向內部開發部門和開放原始碼社群借用建構這類解決方案所需的元件，例如 SSL/TLS、OpenSSH、 OpenVAS、AES、TrueCrypt 和其他。不幸地，在許多情況下，這些元件早在物聯網還沒出現之前便已開發，因此通常沒有考慮物聯網會延伸到防火牆之外，而且在許多情況下是實際上地超出所有外牆，因為物聯網裝置會懸掛在電線桿和在戶外的其他建築物上。許多無法預見的攻擊都可能從這裡發生（圖 1）。

物聯網系統包含多個裝置、設備、服務和軟體套件， 把多種安全解決方案拼湊在一起並不是最理想的選擇。一方面，它可能造成一個無法整合的龐大安全解決方案組合。每個單點解決方案必須個別管理，加重了工程支援的負擔。單點解決方案也無法相互分享資料，所以無法全面統整安全狀況，偵測威脅的能力亦有限。複雜度更高也會製造更多磨擦，因為新的應用程式和服務必須與非常多專門的技術相容，而每個都有本身的 API、 政策和要求。若是選錯了安全方案，可能嚴重影響敏捷性與上市時程。打造一個緊密整合的物聯網安全解決方案是一個必須耗費數年才能克服的挑戰，並非數小時就能解決。

TECHNICAL BRIEF

整合式安全方案Centri IoT Advanced Security (AS) 平台適合想要從一開始便整合安全功能的設計師（圖 2）。該平台允許開發人員在物聯網解決方案堆疊中整合遵循標準的加密與進階密碼，從晶片到雲端可以進行安全通訊、保護靜置的資料並提供資料鑑識所需的管理主控台。IoTAS 平台的主要元件包括：

• 安全通訊端點：允許開發人員利用裝置的軟體堆疊附帶的小型安全通訊程式庫或代理伺服器用戶端，整合裝置端的安全功能與物聯網應用程式。再與 安全通訊服務搭配運作，即可保護傳入傳出雲端的資料。

• 資料保護工具：可以使用 API 從物聯網應用程式呼叫小型的資料保護程式庫來加密資料，然後再傳送到裝置或內部部署的儲存裝置。

• 安全通訊服務：這項工具在現有的應用程式伺服器上執行，保護雲端基礎架構的安全。

CENTRI 安全通訊程式庫與安全通訊服務能讓物聯網裝置與雲端基礎架構之間立即執行的加密型單階段交握加速完成。這樣一來，簡化了複雜的認證管理綱要而且不必採用第三方憑證授權單位 (CA) 解決方案。系統也採用無保存庫的金鑰管理技術，在資料中嵌入已加密的金鑰資訊。故不需要 HSM 或是第三方金鑰儲存機制。智慧快取與資料壓縮技術最低可讓安全功能經常超支耗用的資源降低至 1% CPU 使用率，讓資源有限的物聯網裝置能夠使用這個平台。CENTRI IoTAS 的每個元件皆是不限裝置和作業系統均可使用，經驗豐富的開發人員只要一天即可把這些技術與應用程式的程式碼整合。

圖 1. SSL 擁有許多弱點。（資料來源：Centri Technology）

TECHNICAL BRIEF

© 2017 insight.tech. Sponsored by Intel®

安全功能：內建與加裝雖然許多第三方商用安全解決方案提供的保護比自行開發的替代方案更好，但是在設計的後段階段中執行時，卻會產生極高的成本和管理費用。盡早在端點和雲端安裝安全解決方案是更好的做法。兩者皆可降低裝置攻擊和資料外洩的風險，並加速上市時程。

圖 2. CENTRI IoTAS 提供端對端保護。（資料來源：Centri Technology）