国脉独家丨物联网时代下 谁来为物联网安全把关

2016-07-12 09:07 来源:国脉物联网
浏览量: 收藏:0 分享

物联网

  2016年7月7日由工信部人才交流中心、深圳集成电路设计中心和深圳市纽创信安共同筹办的首届物联网安全技术论坛在深圳开幕。

  Riscure inc.Netherlands CEO Marc Witteman进行领物联网安全:挑战,测评和认证演讲

物联网

  Marc Witteman认为越来越多设备联网,物联网安全应该受到重视。有3个原因容易让物联网受到攻击:1、市场发展快速厂商为抢占市场把安全放在最后;2、在不受控制(敌对)环境中操作;3、时间和成本对市场的压力。所有的安全都在于芯片本身安全系数,如芯片的大小,安全特性,存储等方面。攻击者喜欢找容易攻击的目标,我们要做好防护,让容易攻击的目标不复存在。黑客攻击主要分4种:1、侵略攻击2、逻辑攻击3、边缘通道攻击4、缺点故障攻击。为抵御黑客的攻击则需要利用独立测试,因为开发者需要考虑全局,攻击者只需要找到一个漏洞;开发者发现不了安全漏洞;安全漏洞不是'自动'发现并修复;独立测试能帮助开发者找到芯片的漏洞。企业也需要认证,因为它是第三方证明,能帮助检测产品质量,令产品获得进入市场资格,提高产品可信度。

  工业信息安全部主任潘娟进行物联网终端安全检测与认证演讲

物联网

  潘娟主任认为物联网蓬勃发展,需要安全为之保驾护航。聚焦消费者市场,经过发展和媒体的报道,物联网的安全问题在可穿戴设备、自动驾驶和智能家居等方面的问题受到大家的关注。隐私泄露是物联网终端应用的主要安全威胁,从而导致消费者的人身安全和财产安全等受到威胁。物联网终端攻击可分为软件攻击、通信协议攻击、基础硬件攻击和高级硬件攻击。造成物联网终端应用堪忧的原因是产品设计开发阶段对安全考虑较少;没有形成体系化安全防护对抗各种威胁;缺乏技术手段对安全弱点进行评估和没有正式的检测规范和流程验证评价物联网终端的安全性。我们可以从软件层面,通信协议和硬件层面进行防护,把有限的资源用在最需要保护的地方。

  泰尔实验室在进行车载终端安全检测,IoT加密方案安全评估和智能家居渗透测试时,发现企业虽然有考虑产品的安全可是落实的力度还不够,在产品设计初期安全防护没有专门的人员负责导致漏洞百出。智能家居,智能汽车,可穿戴设备相关技术规范与标准需要统一,并进行第三方检测认证,令行业更好更快地发展。

  华为技术有限公司无线安全解决方案专家汪淑华进行物联网安全架构和关键技术演讲

物联网

  汪淑华专家认为在物联网发展迅速的时代下场景安全是重点,各大公司都在大力投资互联网安全。华为基于”1+2+1“物联网解决方案的安全架构是端到端的安全防护;360°全方位安全,双向认证,分级授权做到应用安全、平台安全、接入安全和设备安全。华为从隐私保护,安全协议,设备认证,软件保护和代码混淆方面保护物联网安全。在硬件安全方面运用安全芯片、OS和终端安全技术;软件安全方面运用认证鉴权、安全传输和白名单控制技术。

  在运营商网络E2E安全方案中使用端到端加密传输的管道,在网络安全方面运用防火墙安全预分区,自动防攻击能力,网络层/传输层安全协议,802.1X访问控制,VLAN隔离和网络隔离保障网络安全。在智慧家庭安全设计,智能城市安全设计,车联网安全设计和工业4.0安全等领域正在研究对应的解决方案。

  Synopsys中国区IP销售总监Michael Wang进行针对物联网芯片的IP和解决方案演讲

物联网

  Michael Wang总监讲到半导体行业正进入饱和状态,物联网是半导体增长点。物联网对芯片的功能要求是连接,安全,感知周围环境和低功耗。在物联网安全方面信息泄露是个很严重的问题,iot安全需求不统一,行业需要订制标准。Synopsys全面的IP产品组合专门针对物联网设计进行了优化;安全威胁不断上升和变化;安全的成本也在增加。被攻击的风险连接的设备中SoC设计是实现设备安全的关键,Synopsys的安全解决方案能较好地保护SoC。做好加密,ARC EM处理器和增强安全包等措施。在中国IoT需求很大,Synopsys也很重视中国市场。

  阿里巴巴集团控股有限公司董侃进行物联网产品安全和唯一识别演讲

物联网

  董侃认为物联网安全面临的问题有厂商不重视,攻击面更广,成本和功耗要求高。阿里巴巴的YunOS,是云端一体,在层层协议之上,提高用户体验打通服务和芯片。物联网安全应该从底层做起,第一个是身份,它包括人,服务,设备;第二个是计算;第三个是通道。在YunOS里是物联网设备的“身份证”,它固化在芯片中,不可篡改,不可预测,基于传统数据加密技术。身份是万物互联及服务流转的基础,可信计算是物联网安全体系的基石。企业需要考虑的安全防护因素有算法,密钥长度,安全代码密度,个性化方式和产品要求等,而且要在成本和安全之间做一个平衡。

  国民技术副总经理梁杰进行可信平台模块在物联网中的应用演讲

物联网

  梁杰副总经理讲到认为现在与未来物联网安全需求巨大,存在缺乏强设备身份认证标准,安全设备内容管理,一致的设备安全基元等需求。IEEE 802.1AR芯片有较好的身份识别能力,提供受保护存储空间,非对称密钥计算能力等功能。可信平台模块TPM在密码算法灵活性,简化的操作模式,安全时钟,增强的管理模型等方面有重要改进,能运用到物联网安全防护中。

  浙江大学教授徐文渊进行物联网产品安全分析案例演讲

物联网

  徐文渊教授讲到在IoT大环境下,漏洞成倍增长。从自动驾驶,可穿戴设备和智能家居等方面举例物联网设备遭到攻击的情况。如检测胎压检测系统,对其进行逆向工程,发现其系统没有加密,用天线收集数据后,可跟踪汽车行程,发送假包,如发送太多真假包系统将会崩溃。在对智能医疗设备心脏起搏器实验中,起搏器对患者正在进行施救时,对其发送高频无线干扰,起搏器以为检测到患者恢复心跳便停止对病人进行起搏,危及患者生命。还有对乐小宝软件进行检测时,软件被攻击后会自动加载其他软件增加用户费用负担和窃取用户信息等几个实例。希望能通过这些例子引起人们对物联网安全的重视。

  杭州中天微系统有限公司首席技术官孟建熠进行中天嵌入式CPU及其安全架构演讲

物联网

  孟建熠工程师从CPU角度解决物联网安全问题,在虚拟内核中进行隔离,不引入专用的安全物理内核;增加securevisor模式,运用安全/非安全世界切换模式;对其建立编程模型;主动调用触发世界切换;并进行地址空间安全保护。当前IoT安全的困局的核心问题是“谁买单”和“怎么买单”。安全的方向是找到核心服务,分等级的安全策略和要先形成标杆和示范。

  百度主任架构师吴烨进行超大规模IDC资源安全管控演讲

物联网

  吴烨博士认为在大规模数据中心安全中面向IDC的访问控制很复杂,大规模云计算系统里有Giano技术堆栈和Giano基本面;分布式代表团逻辑和PCA应用。安全方面基于ORA访问控制模型,用于登录和过境许可,进行软件定义的隔离,使用IDC跟踪和取证,并进行加密/解密的数据保护,针对IDS用户MAL行为进行研究,建立安全性评价标准。对IDC的安全评估是建立在分布式系统之上的。

  华为技术有限公司张屹进行可信平台在IoT中的应用和规范演讲

物联网

  张屹认为TCG是可信计算组织,华为成为组织中的成员;它的组织架构里包括车辆服务,物联网,工作组项目快照和信任测量根。硬件安全了才能保证物联网真正的安全,TPM优秀的性能,算法,物件升级等方面在里面扮演重要的角色,尤其是在车载安全方面。

  论坛期间国脉物联网记者就物联网安全问题对徐文渊教授进行采访

  记者:互联网病毒会不会植入到智能家居等智能硬件上去?

  徐教授:这跟病毒版本有关,病毒是有针对性的,例如window系统病毒不会感染到android系统上。

  记者:如何提高手机安全性?

  徐教授:不乱点开短信中的链接,很多短信都是伪基站发出的,还有不随意安装APP或点击软件中的广告,因为软件中的广告得到手机授权会在后台安装恶意软件。

  记者:有些黑客通过黑进你朋友或者家人的账号,然后发来一些求助信息或者一些链接,如何避免上当受骗?

  徐教授:相信你认识的人,但是不要相信他发的链接。

  记者:黑客是如何攻击我们的手机的呢?

  徐教授:通过修改通信协议来攻击。例如安装伪基站,假装是运营商的设备,然后冒充我们亲朋好友的手机号给我们发恶意短信。

  记者:厂商在安全方面为什么做得不够好?

  徐教授:厂商为了争夺市场会抢先推出新产品,而安全性一开始并不是首要考虑的地方。安全意识需要大家认识的提高。

  记者:如何促进厂商提高产品安全性?

  徐教授:有白帽子团队做安全分析,他们会找出产品漏洞,然后反馈给厂家,厂家要及时修复漏洞。

  记者:可以通过政府设立产品标准提高安全性吗?

  徐教授:行业的确需要第三方对厂家进行安全认证。行业应该有安全标准,没有标准就会出问题。不过新科技在发展初期都会有各样的问题,就像当初互联网一样。另外,标准的设立还要考虑成本的因素,毕竟价格要让普通人都能接受才行。

  记者在提问时,另外一个企业家问道:终端的外部接口是会有安全隐患吗?

  徐教授:为了控制终端,都会留有登陆界面和缺省密码进行配置。而在云端的外部接口安全隐患更大,如果被攻击进入,整个后台都会受控制。

免责声明

标签:

责任编辑:admin
在线客服