021-54410609
毫无疑问，人们期待已久的物联网 (IoT) 不仅已经到来，而且在我们的日常生活中已经根深蒂固。
这是一件好事：物联网具有巨大的潜力。我们已经在许多领域受益，例如更好的医疗信息和设备的主动维护，可以帮助提高安全性，同时节省我们的时间和金钱。
但对于所有这些好处，物联网也带来了深刻的安全风险。随着联网设备这一阴暗面的出现，构建和发布这些设备的组织发现自己在许多情况下都没有做好准备。
随着我们继续步入物联网时代，端到端安全必须成为讨论的重要部分。我们需要将这些考虑放在首位和中心，以确保不遗余力。
考虑到物联网安全势在必行，这里整理了一些关于物联网设备安全的重要内容。
1) 物联网安全在规模和数量方面提出了独特的挑战
启动的最大障碍之一是物联网在如此短的时间内达到的绝对规模和数量。具体而言，IDC 报告称，到 2025 年将有 557 亿台连接设备，从 2019 年到 2025 年，物联网设备生成的数据将增加 300%。从安全角度来看，这个宇宙的规模与我们所见过的任何东西都不一样。
在这一点上，安全专业人员知道如何构建架构来保护成百上千甚至数百万台设备。但是当我们开始谈论数百亿台设备时，当前公认的安全流程标准开始瓦解。确定在更大范围内应用现代安全实践的最佳方式将是我们必须克服的首要障碍之一，以实现一个完全安全的互联世界。
以下许多要点提供了对需要安全性的物联网设备的所有不同元素的仔细研究。
2）保护谁可以与物联网设备交谈并控制物联网设备会产生真正的后果
保护物联网设备的最关键要素之一是锁定谁可以在现场与这些设备通话并控制这些设备。这种安全性对于确保设备不会落入恶意方的手中始终很重要。尽管如此，在直接影响个人健康和安全的联网医疗设备和车辆等情况下，这仍然至关重要。
在该领域提供必要的保护级别始于唯一标识配置，该标识规定谁可以与设备进行通信，他们可以发送哪些更新，以及他们可以在整个生命周期内做什么来控制设备。在此对话中，通过公钥基础设施(PKI)等功能进行身份验证对于验证身份并相应地授予（或拒绝）某些访问至关重要。
3) 没有“无辜”物联网设备这样的东西
随着越来越多的设备连接起来，很容易将其中许多设备视为“无辜的”。是的，与连接的空调装置相比，连接到患者身上的医疗设备如果被黑客入侵会带来更严重和直接的安全风险——但这并不意味着空调装置是“无辜的”。
无论看起来多么无辜，如果访问权落入坏人之手，任何连接的设备都可能成为武器。事实上，已经发生过这样的情况，即恶意方首先冒充这些“无辜”设备（如 HVAC 装置）来突破防火墙，从而获得对敏感数据的访问权限。这种情况使得必须密切关注保护每个物联网设备的安全（例如，通过身份验证和定期安全更新），无论其预期用途如何。
4) 没有“平凡”的物联网数据
同样，保护物联网设备收集的数据同样重要——无论它是什么，看起来多么微不足道——因为没有“平凡”的物联网数据这样的东西。考虑连接拖拉机的情况，该拖拉机报告有关其运行的田地的作物模式和收获的数据。从表面上看，这些数据当然看起来很平凡，而且对除少数人之外的所有人来说基本无用。然而，如果有人可以从成百上千台拖拉机上获取此类数据，他们就可以开始预测作物产量，并拥有一个强大的期货市场。
这只是众多示例中的一个，这些示例说明了来自物联网的数据流如何变得极具破坏性并且必须保持严格管理。深入研究，我们见过的最好的方法之一是通过基于证书的身份验证来围绕这些数据设置正确的信任边界并确保只有适当的方可以访问它。无论来自设备的数据看起来多么“平凡”，这种身份验证都必须是强大的。
5) 每个物联网设备都需要一个在其整个生命周期内进行更新的计划
今天发布的物联网设备很可能会在该领域使用 10-15 年，特别是在工业和车辆领域。毫无疑问，在这段时间里，缺陷会浮出水面，弱点会暴露出来，技术整体上会显着进步。 只要这些设备还在那里，制造商就需要一种方法来相应地更新它们，如果有任何希望它们在其生命周期内保持安全。
重要的是，制造商需要在设备首次发布之前为这些更新制定计划。该计划应包括安全推送固件更新、更新基于身份验证的加密库、在需要时撤销身份验证以及在证书过期时重新注册证书的方法。此外，该计划还需要考虑制造商如何在必要时提供这些更新，即使设备离线或移动位置。
6) 监管和竞争只会让物联网安全变得更加重要
迄今为止，物联网在安全方面有点像“狂野西部”，但这种情况正在迅速改变。首先，政府和行业团体开始制定指导方针和法规，从安全角度规定，在访问设备、提供更新和使用数据方面，最低限度需要什么。其次，这些设备的最终用户正在关注并超越物联网的纯粹优势和创新，以确保存在适当的安全性，这已开始将保护转变为该领域的竞争优势。
虽然在安全期望和法规方面肯定还有很长的路要走，但潮流已经开始转向正确的方向。例如，FDA 已开始发布有关医疗设备网络安全最佳实践的指南（这些指南主要侧重于通过唯一密钥和证书进行身份验证以及设备接收更新的能力），汽车制造商现在正在就类似的指南进行合作. 展望未来，我们可以期待看到更多的法规冲击市场，它们的存在将使物联网设备安全的深度关注比现在更加重要。
7）物联网安全最佳实践可能永远不会标准化
尽管我们预计在未来几年会看到法规的增加，但重要的是要认识到物联网安全最佳实践可能永远不会完全标准化。这是因为每个物联网设备都是不同的：它们的制造方式不同，用例也不同。这些差异对制定一套每个人都可以遵循的标准最佳实践提出了独特的挑战。
我们确实从安全角度看到了跨用例的共同线索，包括在每个设备上进行身份验证的唯一凭据的重要性以及提供更新的安全实践。然而，物联网安全领域的任何人都需要深入挖掘这些线程对每个独特设备的确切含义，而不是简单地根据通用建议运行。
8) 确保物联网安全需要循序渐进的方法
最后，考虑到所有这些细微差别、新的法规以及整体缺乏标准化，确保物联网安全并非易事。尤其如此。物联网安全与传统的企业安全有很大不同，即使对于构建这些设备的深厚领域专业知识来说也是一个新领域。
最好的方法是循序渐进，首先仔细研究最适合您的设备、公司和客户的独特需求的安全架构类型。从那里，您可以开始评估可用于身份验证、加密、代码签名等不同技术。在此过程中，要记住的一个最佳实践是使用已经构建的解决方案，这些解决方案可以尽可能帮助物联网设备的基本生命周期阶段，因为这样可以让您利用丰富的知识和经验，而不是在您的设备上构建一些东西。
揽阁信息可提供的部分安全产品和解决方案信息
联系揽阁信息，您可以获取到更多满足全球合规性要求的信息安全产品资料，以及相关的整体解决方案的相关资料。如：
-
数据库访问控制：揽阁LGPAC系统
-
通用HSM：Luna HSM、ProtectServer HSM
-
支付HSM：payShield 10K
您还可以得到揽阁信息所提供的优质服务。
揽阁信息 · 值得您信赖的信息安全顾问！
联系我们
免费试用留言
客服电话