物联网安全初探51

1物联网安全初探泰安市公安局网络警察支队尹凯敏前言：物联网的概念自1999年提出，在十年间，物联网的科研成果不断涌现。但从我国发展情况来看，一部分应用属于泛概念化的炒作，离真正物联网的成熟还有很长的路要走。成熟的物联网将超越现有通信网络的地位，成为国家重要的基础设施，控制了物联网，就控制了世界，这也是奥巴马智慧地球的战略目的之一。因此我们应当未雨绸缪，尽快从国家安全和信息安全两个角度出发，建立完善相应的法律法规、标准机制和技术体系，为物联网的快速发展保驾护航。本文先从物联网的发展历程着手，分析了我们目前在认识和思路上的差距；描述了物联网的三大应用架构，三层系统体系模型和五层体系模型；在三大应用架构和五层体系模型的基础上，着重分析了物联网面临的威胁和风险；随后结合五层体系模型的安全需求，提出了相应的安全框架。1物联网简介1.1物联网的发展随着信息通信技术的不断进步，通信网络作为信息通信技术的重要基础，已经从人到人的通信发展到人与物以及物与物(M2M)，并逐渐趋向于从纵向的局部物物相连过渡到横向的跨应用、跨地域的物联网(InternetofThings，IOT)。物联网是指2物品通过各种信息传感设备如射频识别（RFID）、红外感应器、全球定位系统、激光扫描器等信息传感设备，按约定的协议，把任何物品与互联网连接起来，进行信息交换和通讯，以实现智能化识别、定位、跟踪、监控和管理的一种网络。其目的是让所有的物品都与网络连接在一起，方便识别和管理。“物联网”的概念是在1999年提出的。“物联网”就是“物物相连的互联网”。物联网颠覆了人类之前物理基础设施和IT基础设施截然分开的传统思维，使得政府管理、生产制造、社会管理以及人们的个人生活全面实现互联互通。根据2008年3月欧洲智能系统集成技术平台（EPOSS）在《InternetofThingsin2020》报告中分析预测，未来物联网的发展将经历四个阶段，2010年之前RFID被广泛应用于物流、零售和制药领域，2010-2015年物体互联，2015-2020年物体进入半智能化，2020年之后物体进入全智能化。据美国权威咨询机构Forrester预测，到2020年，物物互联业务将是现有人人互联业务的30倍，成为一个极具吸引力的万亿级信息产业。在“物联网”普及以后，用于动物、植物、机器和物品的传感器与电子标签及配套的接口装置的数量将大大超过手机的数量，物联网正在引发新一轮的生活方式变革，而且已经成为一个发展迅速、规模巨大的市场，被视为通信产业的巨大蓝海。1.2国外物联网发展动向2005年11月17日，在突尼斯举行的信息社会世界峰会3（WSIS）上，国际电信联盟发布了《ITU互联网报告2005：物联网》，引用了“物联网”的概念。报告指出，无所不在的“物联网”通信时代即将来临，世界上所有的物体从轮胎到牙刷、从房屋到纸巾都可以通过因特网主动进行交换。射频识别技术（RFID）、传感器技术、纳米技术、智能嵌入技术将到更加广泛的应用。2009年１月２８日，奥巴马就任美国总统后，与美国工商业领袖举行了一次“圆桌会议”，作为仅有的两名代表之一，IBM首席执行官彭明盛首次提出“智慧地球”这一概念，建议新政府投资新一代的智慧型基础设施。2009年2月24日消息，IBM大中华区首席执行官钱大群在2009IBM论坛上公布了名为“智慧的地球”的最新策略。概念一经提出，即得到美国各界的高度关注，甚至有分析认为ＩＢＭ公司的这一构想极有可能上升至美国的国家战略，并在世界范围内引起轰动。ＩＢＭ认为，ＩＴ产业下一阶段的任务是把新一代ＩＴ技术充分运用在各行各业之中，具体地说，就是把感应器嵌入和装备到电网、铁路、桥梁、隧道、公路、建筑、供水系统、大坝、油气管道等各种物体中，并且被普遍连接，形成物联网。2009年2月17日奥巴马签署生效的《恢复和再投资法案》（RecoveryandReinvestmentAct）（即美国的经济刺激计划），批准推进“智慧地球”中两个领域的发展—智慧的电网和智慧的医疗，“智慧的地球”得到美国各界的高度关注，并上升至美国的国家战略，由此引发了世界各国对物联网的追捧。2009年64月18日，欧盟委员会发布了世界第一个物联网发展战略—《欧盟物联网行动计划》（InternetofThingsAnactionplanforEurope），描绘了物联网技术应用的前景，并提出要加强欧盟政府对物联网的管理，消除物联网发展的障碍。2009年7月6日，日本IT战略本部发表了“I-Japan战略2015”，目标是“实现以国民为主角的数字安心、活力社会”。2009年10月13日，韩国出台了《物联网基础设施构建基本规划》，将物联网市场确定为新增长动力，提出到2012年实现“通过构建世界最先进的物联网基础实施，打造未来广播通信融合领域超一流信息通信技术强国”目标，并确定了构建物联网基础设施、发展物联网服务、研发物联网技术、营造物联网扩散环境等4大领域、12项详细课题。1.3中国物联网发展状况在中国，“物联网”最早被称为“传感网”，中科院早在1999年就启动了传感网研究。2004年，国家金卡工程办公室把RFID产业发展与行业应用列入国家金卡工程的重点工作，启动RFID的试点。2005年4月27日，中国RFID产业联盟正式宣布成立。2005年发布的《国家中长期科学和技术发展规划纲要(2006~2020)(国发[2005]第044号)》就早已明确将传感网作为重点领域和优先主题。2008年上半年无锡市与中科院上海微系统研究所合作成立中科院无锡微纳传感网工程技术研发中心，大力推进传感网、物联网产业化进程。2009年8月7日，国务院5总理温家宝到无锡微纳传感网工程技术研发中心视察并发表重要讲话，指出“在传感网发展中，要早一点谋划未来，早一点攻破核心技术”；“在国家重大科技专项中，加快推进传感网发展”；“尽快建立中国的传感信息中心，或者叫‘感知中国’中心”。温总理的号召进一步开启了中国全面关注和研究传感网的序幕。2009年11月3日，温家宝总理在人民大会堂向首都科技界发表了题为《让科技引领中国可持续发展》的讲话。他提出：“要着力突破传感网、物联网关键技术，及早部署后IP时代相关技术研发，使信息网络产业成为推动产业升级、迈向信息社会的‘发动机’”。这篇讲话对我国物联网的发表目标提出明确要求，把对物联网概念的研究推向了新的高潮。2009年11月30日．温家宝总理在南京市调研时指出，当前，流通行业要大力运用网络技术，特别是物联网技术，实现流通现代化。2009年如果是中国物联网元年，2010年将是中国物联网产业发展最关键的一年。2010年首个工作日，无锡物联网产业研究院在iParkⅡ-江苏软件外包产业园正式揭牌，包括市民中心、机场安检等首批三个示范项目同时签约，“感知中国”中心率先走出“科研实验室”，标志着物联网正式向民用市场普及。在2010年3月5日，温家宝总理在作政府工作报告时指出，要“大力发展新能源、新材料、节能环保、生物医药、信息网络和高端制造产业。积极推进新能源汽车、‘三网’融合取得实质性进展，加快物联网的研发应用。加大对战略性新兴产业的投入和政策支6持。”这是“物联网”首次被写进政府工作报告，这也意味着物联网的发展进入了国家层面的视野。2010年6月8日，中国物联网标准联合工作组在北京成立，以推进物联网技术的研究和标准的制定。2010年6月22日，在上海开幕的2010中国国际物联网大会上，工业和信息化部称，物联网已正式列入国家重点发展的五大战略性新兴产业之一。1.4中国物联网发展的差距物联网在中国迅速崛起得益于我国在物联网方面的几大优势：第一，我国早在1999年就启动了物联网核心传感网技术研究，研发水平处于世界前列；第二，在世界传感网领域，我国是标准主导国之一，专利拥有量高；第三，我国是目前能够实现物联网完整产业链的少数几个国家之一；第四，我国无线通信网络和宽带覆盖率高，为物联网的发展提供了坚实的基础设施支持；第五，我国已经成为世界第二大经济体，有较为雄厚的经济实力支持物联网发展。由于我国特有的优势所在，物联网在我国的发展已经进入了白热化的阶段，目前，北京、上海、天津、无锡、福州、深圳、广州、重庆、昆山、成都、杭州等城市已迅速加入物联网发展的队伍中，中国物联网产业城市首发阵容日渐清晰。这是不是存在一个过热的问题，从整个国家部署和温家宝总理的讲话中看，现在我们的思路是，先发展标准，同时关注在关键领域的研发，最后再发展整个产业链。显然，国家在整个物联网部署中还处于研7发阶段，特别是在物联网自身的安全环节，我国和发达国家还有一定的差距。1.4.1对物联网发展思路认识上有所不同我们谈及推动物联网发展，目标就是“突破关键核心技术”。一言以蔽之，我们的发展路径追求的物联网短期内快速实现产业化和工业化的直接目标。还是技术驱动和唯技术论的唯工业论的狭窄视角和思路。技术为先，工业化为目标。但是，反观欧盟，在一开始的时候，欧盟的行动首先选择的是建立可竞争的公开和透明的管理架构，以及如何确保信息和个人安全的可信任的政策模型。而对问题的讨论，欧盟首先开始的就是法律方面的讨论，架构为先，立法保障。1.4.2信息安全的保障机制未受到关注如果物联网是连接物理世界和人类世界的网络，那么，信息安全如何保障，将直接决定着物联网发展的前景和规模，没有人愿意把自己暴露在紫外线的直接暴晒之下。物联网时代，当机构或企业的信息都存储在网络上，业务也都需要网络才能维系时，一旦面对黑客或是后门，无论断网与否，都必然遭受损失。一组计算机科学家研究发现，面对黑客的入侵，汽车电脑甚至比个人电脑更容易遭到黑客的进攻，黑客入侵车辆内联网的电脑甚至会给司机带来生命危险。而且据推测，这种黑客入侵车辆电脑的现8象不久将会十分普遍。2010年2月，美国媒体曾报道，一名西雅图黑客利用廉价的RFID信息采集器，在20分钟内悄然窃取两个美国护照身份资料，而只要将其克隆到空白标签中，该黑客甚至能制造出新的护照。因此，没有多层面的安全保障，有了突破的核心芯片，只能成为为虎作伥的工具或者成为新兴工具所谓被原罪的来源。《欧盟物联网行动计划》中，欧盟希望通过构建新型物联网管理框架来引领世界物联网的发展。该行动计划提出了促进物联网发展的一些具体措施：严格执行对物联网的数据保护立法，建立政策框架使物联网能应对信用、承诺及安全方面的问题；公民能读取基本的射频识别（RFID）标签，并可以销毁它们以保护隐私；为保护关键的信息基础设施，把物联网发展成为欧洲的关键资源；在必要的情况下，发布专门的物联网标准化强制条例；启动试点项目，以促进欧盟有效地部署市场化的、相互操作性的、安全的、具有隐私意识的物联网应用；加强国际合作，共享信息和成功经验，并在相关的联合行动中达成一致。由此可见，研究并制定一整套的安全保障机制已经成为物联网发展的一个前提。1.4.3物联网管制政策理论架构还未建立。根据欧盟的观察，物联网在未来可能出现的信任、可接受性和安全性挑战，并为此专门开展政策框架研究。而在我们，对物联网的发展应用只是把目光放在了技术突破和产业化的突破上，9缺少对管制政策的研究。对于中国而言，在建设“智慧地球”的过程中，如不能坚持“自主可控”原则，对信息流进行严密控制，国家风险将会凸显。物联网中的关键环节如传感器网络、云计算、超级计算、软件服务化、数据整合与挖掘、操作系统、数据库、中间件软件、嵌入式软件、集成电路等，都是美国IBM、微软等大型公司的核心技术优势，如果通过物联网络覆盖医疗、交通、电力、银行等关系国计民生的重要领域，以现有的信息安全防护体系，难以保证敏感信息不外泄。一位业内人士说，目前，国内的iPhone用户只能通过刷外币信用卡，才能在苹果的软件商店AppStore中购买服务。在此过程中，中国用户购买了苹果的服务，但由于交易和服务都通过网络进行，中国并不能在交易中获得任何关税或境内税收，事实上，坐享收益的是美国政府。2物联网体系模型通俗地讲。物联网就是“物物相连的互联网”。这有两层意思：第一，物联网的核心和基础仍然是互联网，是