物聯網的平安體系萬國根2023/7/18

2物聯網的平安體系結構物聯網感知層平安物聯網網絡層平安物聯網應用層平安物聯網平安關鍵技術本章小結本章內容

3物聯網的平安體系根本要求熟悉物聯網的平安體系結構了解物聯網平安體系結構中各層的平安威脅和應對策略

41、物聯網的平安體系結構從信息和網絡平安的角度看，物聯網是一個多網并存的異構融合網絡，不僅存在與傳感器網絡、移動通信網絡和互聯網同樣的平安問題，而且也存在其特殊的平安問題，如隱私保護、異構網絡認證與訪問控制、信息平安存儲與管理等等。從物聯網的信息處理過程來看，感知信息經過采集、會聚、融合、傳輸、決策與控制等過程，整個信息處理的過程表達了物聯網平安的特征與要求，也揭示了所面臨的平安問題物聯網的體系結構被公認為有三個層次：感知層、網絡層、應用層，但各個層次的平安措施簡單疊加并不能提供可靠的平安保證。

51、物聯網的平安體系結構感知網絡的信息采集、傳輸與信息平安問題。感知節點呈現多源異構性，感知節點通常情況下功能簡單〔如自動溫度計〕、攜帶能量少〔使用電池〕，使得它們無法擁有復雜的平安保護能力，而感知網絡多種多樣，從溫度測量到水文監控，從道路導航到自動控制，它們的數據傳輸和消息也沒有特定的標準，所以沒法提供統一的平安保護體系。核心網絡的傳輸與信息平安問題。核心網絡具有相對完整的平安保護能力，但是由于物聯網中節點數量龐大，且以集群方式存在，因此會導致在數據傳播時，由于大量機器的數據發送使網絡擁塞，產生拒絕效勞攻擊。此外，現有通信網絡的平安架構都是從人通信的角度設計的，對以物為主體的物聯網，要建立適合于感知信息傳輸與應用的平安架構。

61、物聯網的平安體系結構物聯網業務的平安問題。支撐物聯網業務的平臺有著不同的平安策略，如云計算、分布式系統、海量信息處理等，這些支撐平臺要為上層效勞管理和大規模行業應用建立起一個高效、可靠和可信的系統，而大規模、多平臺、多業務類型使物聯網業務層次的平安面臨新的挑戰，需要針對不同的行業應用建立相應的平安策略，建立一個相對獨立的平安架構。7物聯網的平安體系結構圖2-1物聯網平安體系結構2、感知層平安在感知層，要確保平安通信機制，因此需要從如下幾個方面考慮平安性：1、提供點對點的平安通信效勞，需要相應的密鑰管理方案作為支撐；2、針對傳感網絡的多樣性，保證平安路由和連通性，機密性和認證性是必須的，對稱密碼方案效率高、計算量小，優先考慮；3、針對不同的平安需求，配置不同的平安模塊，提供不同的平安效勞。感知層平安主要分物理平安和信息平安兩類，本節只討論感知層的信息平安。8感知層平安可以提供以下平安效勞：1保密性保密性是無線傳感網絡軍事應用中的重要目標，在民用系統中，除局部隱私信息，很多信息并不需要保密2完整性完整性是無線傳感器網絡平安最根本的需求和目標。雖然很多信息不需要保密，但這些信息必須保證沒有被篡改3鑒別和認證對于無線傳感網絡，組通信是經常使用的通信模式。對于組通信，源端認證是非常重要的平安需求和目標4可用性可用性也是無線傳感器網絡平安的根本需求和目標。可用性是指平安協議高效可靠，不會給節點帶來過多的負載導致節點過早消耗完有限的電能95容錯性容錯與平安相關，也可以稱為使可用性的一個方面。當一局部節點失效或者出現平安問題時，必須保證這個無線傳感器網絡的正確和平安運行6不可否認性利用不可否認性，節點發送過的信息可以作為證據，證明節點是否具有惡意或者進行了不符合協議的操作。但是，由于傳感器的計算能力很弱，該不可否認性不能通過傳統的非對稱密鑰的方式來完成7擴展性WSN的可擴展性表現在傳感器節點數量、網絡覆蓋區域、生命周期、感知精度等方面的可擴展性級別，所以平安保障機制必須提供支持該可擴展性級別的平安機制和算法，來使傳感器網絡保持正常運行103、網絡層平安網絡層的平安機制可分為端到端機密性和節點到節點機密性。需要建立相應的認證機制、密鑰協商機制、密鑰管理機制和算法選取機制。網絡層平安防護主要涉及如下平安機制：1加密機制采用加密算法對數據或通信業務流進行加密。它可以單獨使用，也可以與其他機制結合起來使用2數字簽名機制用于保證通信過程中操作的不可否認性，發送者在報文中附加使用自己私鑰加密的簽名信息，接收者使用簽名者的公鑰對簽名信息進行驗證113數據完整性機制發送者在報文中附加使用單向散列算法加密的認證信息，接收者對認證信息、進行驗證4實體認證機制通信雙方相互交換實體的特征信息來聲明實體的身份5訪問控制機制根據實體的身份及有關屬性信息確定該實體對系統資源的訪問權6信息過濾機制根據平安規那么允許或禁止某些信息流入網絡127路由控制機制8公證機制9主動防御10其他機制根據報文中的平安標簽來確定報文的轉發路由，防止將敏感報文轉發到某些網段或子網由第三方參與的數字簽名機制，通過雙方都信任的第三方的公證來保證雙方操作的不可否認性在動態網絡中，直接對網絡信息進行監控，并能夠完成吸引網絡攻擊蜜罐網絡，牽制和轉移黑客對真正業務往來的攻擊，獲取攻擊特征，對攻擊源回溯節點認證、數據機密性、完整性、數據流機密性、DDOS攻擊的檢測與防御、移動網中AKA機制〔AuthenticationandKeyAgreement,AKA〕的一致性或兼容性、跨域認證和跨網絡認證等13物聯網的應用層是物聯網核心價值所在，而物聯網的應用層的典型應用有很多，如：智能交通、支付、智能家居、智能電網、智能城市、智能水務、食品溯源和智能醫療等，這些應用會產生巨大量的數據，由于數據量大，需要云計算、云存儲等為應用層提供支持。多樣化的物聯網應用面臨各種各樣的平安問題，因此應用層需要一個強大而統一的平安管理平臺，否那么不同的應用需要不同的平安平臺，而這些平安要求不一樣會割裂平臺之間的平安信任關系。4、應用層平安14信息處理需要的平安機制1234可靠的認證機制和密鑰管理高強度數據機密性和完整性效勞可靠的密鑰管理機制5678入侵檢測和病毒檢測惡意指令分析和預防保密日志跟蹤和行為分析可靠的高智能處理手段密文查詢、秘密數據挖掘、平安多方計算、平安云計算技術等910移動設備識別、定位和追蹤機制移動設備文件的可備份和恢復15信息應用需要的平安機制1234有效的數據庫訪問控制和內容篩選機制不同場景的隱私信息保護技術叛逆追蹤和其他信息泄露追蹤機制56平安的計算機數據銷毀技術平安的電子產品和軟件的知識產權保護技術有效的計算機取證技術165、物聯網平安關鍵技術〔1〕多業務、多層次數據平安傳輸技術〔2〕身份認證技術〔3〕基于多網絡的網絡平安接入技術〔4〕網絡平安防護技術〔5〕密碼技術〔6〕分布式密鑰管理技術〔7〕分布式平安管控技術17〔1〕多業務、多層次數據平安傳輸技術主要表達在以下：物聯網是一個多網絡融合應用的網絡——應支持多業務、多通道的寬帶傳輸應用。終端到網絡的數據傳輸需要一個多業務、多層次平安傳輸技術——加密傳輸采集的語音、數據、圖像等業務數據，通過專用的數據平安傳輸技術保證數據在空中無線信道和有線信道中的傳輸平安。18〔2〕身份認證技術1、基于PKI/WPKI輕量級認證技術物聯網安全認證體系：研究保證PKI/WPKI能夠向終端設備安全發放設備證書的方式；終端身份安全存儲：研究終端身份信息在終端設備中的安全存儲方式及終端身份信息的保護；身份認證協議：研究并設計終端設備與物聯網承載網絡之間的雙向認證協議；分布式身份認證技術：建立分布式輕量級鑒別認證系統。19〔2〕身份認證技術2、新型身份認證技術動態令牌、USBKey、短信密碼等；生物識別技術：利用固有的生理特征（如指紋、掌紋、虹膜等）和行為特征（如動態簽名、聲紋、步態等）；零知識身份認證技術：被認證方P掌握某些秘密信息，P想方設法讓認證方V相信他確實掌握那些信息，但又不讓V知道那些信息。20〔3〕基于多網絡融合的網絡平安接入技術物聯網網絡接入技術主要用于實現物聯網信息的雙向傳遞和控制，重點在于適應物物通信需求的無線接入網和核心網的網絡改造和優化，以及滿足低功耗、低速率等物物通信特點的網絡層通信和組網技術。各網絡接入技術包括：GSM、TD-SCDMA等蜂窩網絡與WLAN、WPAN等專用無線網絡，以及Internet等各種IP網絡。研究內容：1、IPv6平安接入與應用——能滿足物聯網地址需求、物聯網對節點移動性、節點冗余、基于流的效勞質量保障的需求，用于物聯網需精簡IPv6協議棧和路由機制。2、滿足多網融合的平安接入網關——網關可以實現協議轉換、信息轉換；接入網關可以提供根底的管理效勞；各種網絡的互連整合。21〔4〕網絡平安防護技術物聯網網絡層的平安防護技術主要是對網絡通信、應用業務和根底設施三局部提供平安防護。網絡通信平安防護包括對網絡的保護，如IP層傳輸加密、入侵檢測、網絡隔離等；應用業務平安防護包括對分組數據業務網上運行的各類業務系統的保護，如用戶身份認證和應用資源的授權訪問、應用平安審計等；根底設施平安防護包括為核心系統提供綜合平安管理、證書和授權管理、密碼管理效勞等根底設施效勞平安保障。物聯網網絡安全防護技術體系結構體系結構應用環境安全防護技術可信終端、身份認證、訪問控制、安全審計等網絡環境安全防護技術無線網安全、虛擬專網、傳輸安全、防火墻、入侵檢測、安全審計等信息安全防護關鍵技術攻擊檢測、內容分析/過濾、病毒防治、訪問控制、授權管理、應急聯動等信息安全基礎核心技術密碼技術、高速密碼芯片、PKI/WPKI基礎設施、網絡安全管控平臺等22〔5〕密碼技術（1）低功耗、低成本的安全RFID標簽（2）無線傳感網絡安全（3）安全管理（4）智能處理安全（5）安全芯片以密碼算法為基礎，研究抗物理攻擊、能量分析和暴力破解的安全的RFID標簽，降低運算復雜度，嚴格控制芯片功耗和成本。基于密碼算法，研究針對無線傳感器節點寬帶和能量有限、無人值守、應用耦合緊密特點的節點自身安全和路由協議安全技術。研究適合RFID標簽和傳感器節點數量大、分散性高、可控性差等的密鑰管理技術，降低密鑰管理復雜度、降低物聯網安全系統的安裝和運維成本。分析物聯網智能處理中間件安全漏洞和應對措施。占用系統資源少或者輕型的密碼算法，同態加密技術，輕型加密（部分加密）技術。23〔6〕分布式密鑰管理技術1.密鑰管理是制約物聯網信息機密性的主要瓶頸2.物聯網的密鑰管理面臨兩個主要問題：a.如何構建一個貫穿多個網絡的統一密鑰管理系統b.如何解決物聯網網絡傳輸業務的密鑰管理3.分布式管理通過在物聯網承載網絡中構建不同層次、不同區域、

不同網絡的區域密鑰管理中心，形成層次式密鑰管理網絡結構24〔7〕分布式平安管控技術1.分布式網絡管理技術是近幾年開展起來的以面向對象為根底的支持分布式應用的軟件技術，它實現了異構環境下對象的可互操作性，有效地實現了系統集成。2.分布式網絡管理架構中各個區域管理節點之間通過專用的平安通信中間件進行數據傳輸。3.分布式網絡管理架構易于規模的擴展。25〔8〕信息完整性保護技術數字簽名是附加在一段信息上的一組數據，這組數據基于對信息進行的密碼變換，能夠被接受者用來確認信息的來源及其完整性，從而防止數據被篡改和偽造。數字水印技術將與多媒體內容相關或不相關的一些標志信息嵌入到圖像、音頻、視頻等多媒體載體中，在不影響原內容的使用價值的前提下，可以通過這些隱藏信息確認內容的創立者、購置者或者鑒別多媒體內容是否真是完整1、數字簽名技術2、數字水印技術26〔9〕訪問控制技術訪問控制可以限制用戶對應用中關鍵資源的訪問，防止非法用戶進入系統及合法用戶對系統資源的非法使用。基于角色的訪問控制——用戶所能訪問的權限由該用戶所擁有的所有角色的權限集合的并集決定；基于屬性的訪問控制——利用主客體關聯的屬性作為授權決策的根底；基于任務的訪問控制——不僅依賴主體、客體，還依賴于主體當前執行的任務、任務的狀態；基于對象的訪問控制——將訪問控制列表與受控對象相關聯，并將訪問控制選項設計成為用戶、組或角色及其對應權限的集合；同時允許策略和規那么進行重用、繼承和派生操作。27〔10〕隱私保護技術基于數據失真的技術基于數據失真的隱私保護技術包括隨機化、阻塞、交換、凝聚等。2.基于數據加密的技術采用加密技術在數據挖掘過程中隱藏敏感數據的方法。3.基于限制發布的技術限制發布即有選地發布原始數據、不發布或者發布精度較低的敏感數據，以實現隱私保護。28〔11〕入侵檢測技術〔12〕病毒檢測技術入侵檢測包括：被動監聽和主動監聽被動監聽檢測主要是通過監聽網絡流量的方法展開，而主動監聽檢測是指檢測節點通過發送探測包來反響或者接收其他節點發來的消息，然后對這些消