物聯網安全：固有風險需要強大的解決方案

物聯網技術提供了許多顯著的好處。它們可以使複雜的任務變得更簡單、更容易，而且比以往任何時候都更具成本效益，比如跟蹤數千輛汽車的車隊、監控和調整制造流程，或者使智能家庭或辦公室自動化。然而，通過将物聯網裝置引入我們的家庭、工作場所和公共空間，我們也暴露了新的攻擊面。當我們指派物聯網系統負責一項關鍵任務或信任它監控我們最私密空間中的敏感資訊時，我們希望確定該系統是可信的。是以，在開發物聯網解決方案時，在所有階段應用安全最佳實踐是至關重要的。

熟悉的老朋友

盡管物聯網系統引入了許多新的安全注意事項，但我們還必須記住所有舊的網際網路安全最佳實踐。許多物聯網系統的目标是監視資訊并将其提供給人類使用者。我們需要確定使用最佳實踐進行使用者管理、授權以及身份驗證和資料存儲。哈希密碼、清理輸入、對所有連接配接使用SSL以及使用諸如雙因素身份驗證之類的工具是整個技術行業的标準做法。物聯網領域也不例外。

由于物聯網系統收集和生成的資訊往往是敏感的，有時是個人性質的，是以通路控制也至關重要。許可需要在項目、子系統、裝置類别甚至特定裝置級别的基礎上加以考慮。建立物聯網解決方案的最重要步驟之一是考慮誰應該有權通路哪些資料。雖然由于涉及的裝置數量太多，這種類型的系統的許可可能比其他許多系統更細粒度，但也适用相同的基本原則。

新視野

除了所有熟悉的安全考慮之外，物聯網系統還引入了許多新的風險和危險。

對于任何考慮部署IoT系統的公司來說，确定可信賴的硬體合作夥伴都是至關重要的，因為IoT系統固有的許多安全風險都始于硬體級别。

物聯網裝置存儲并使用加密密鑰通過網關在更廣泛的網際網路上傳輸資料。通路這些加密密鑰可以使惡意行為者欺騙裝置資料并在物聯網系統上造成嚴重破壞。由于在許多情況下無法像對傳統計算裝置那樣嚴格地控制對這些裝置的實體通路，是以采取措施防止實體裝置級别的篡改非常重要。在某些情況下，如果專有資料和代碼存儲在裝置上，則裝置甚至可能自我破壞，當檢測到未經授權的通路時，會破壞所有闆載資料。

在物聯網裝置控制涉及業務營運和人身安全的實體流程的世界中，不能适當地保護物聯網硬體可能導緻收入損失，或者在最壞的情況下會導緻生命損失。即使是看似不那麼兇險的攻擊，也可能對公司的品牌和客戶的信任造成極大損害。最近針對物聯網裝置(尤其是網絡攝像頭)的攻擊就是最好的例子，目的是建立用于發起分布式拒絕服務(DDOS)攻擊的巨型僵屍網絡。這些類型的攻擊的一個關鍵部分是攻擊不會被檢測到。從本質上講，這些攻擊不會立即破壞目标公司的硬體和軟體系統。一旦發現并洩露了公司的IoT裝置已遭到破壞，客戶對該公司産品的信任就會喪失。

在許多方面，物聯網軟體解決方案隻有在硬體提供資料的情況下才有效果。如果黑客要進入裝置、提取其加密密鑰或用惡意代碼給固件打更新檔，就很難檢測出該裝置已被入侵，因為在不對稱的現實世界中生成的物聯網資料通常是不可預測的。但是，運作資料分析以確定裝置按預期報告是很有幫助的。例如，如果一個裝置報告的頻率似乎比預期的要高，這可能是一個信号，表明該裝置的唯一id正在被用來欺騙資料。在資料上設定邊界和期望可以突出顯示資料不規範，這些資料可能表明網絡上存在不法活動。在許多情況下，知道裝置的消息規範應該遵循的确切參數，并且隻允許某些類型和字段的資料被寫入存儲器或對其執行操作，也是合适的。

未來的物聯網安全

随着由數千甚至數百萬裝置組成的物聯網解決方案的引入，這些系統的攻擊面可能比任何其他系統都要大。然而，平衡這些風險是巨大的、改變世界的回報的希望。通常情況下，與經驗豐富的物聯網解決方案提供商合作是至關重要的，他們可以幫助你駕馭這個新的、令人興奮的、有時甚至是可怕的世界。

原文連結