为什么物联网安全仍然无法实现，初创公司如何创建不可能被黑客入侵的物联网解决方案?

如今，物联网设备的应用日益广泛，但很多企业仍然没有完全理解物联网安全的重要性。

根据调研机构进行的一项研究，去年有全球有10亿多个物联网设备遭到黑客攻击。考虑到全球目前大约有150亿个物联网设备，这意味着每15个设备中就有一个成为网络攻击的受害者，而泄露用户数据成为网络攻击者精心策划的僵尸网络的一部分。

任何企业和用户都不能对物联网安全掉以轻心。有时，罪魁祸首可能是硬编码的设备密码。在其他情况下，网络犯罪分子利用嵌入式系统或构成物联网基础设施的其他应用程序中的漏洞。在某些情况下，如果没有恶意的内部人员，黑客攻击是无法执行的。

为了更好地理解众多物联网安全挑战的根本原因，以下来定义物联网安全及其包含的流程。

什么是物联网安全?

物联网安全是指在物联网部署中保护连接设备的安全措施和保护措施。

由于物联网设备的范围从恒温器和智能音箱等智能家居解决方案到工业设备和自动驾驶汽车，物联网安全要求可能会因行业、用例和目标受众而有所不同。

预防物联网安全问题的一些普遍适用的最佳实践包括：

• 对传输和静态数据进行加密，使未经授权的用户无法读取。
• 通过强制使用强密码和其他用户授权方法(例如一次性短信密码和多因素身份验证)，防止对设备和物联网网络的未经授权访问。
• 实施防火墙、入侵检测系统和安全通信协议，以保护物联网设备所连接的网络。
• 保持为物联网设备提供语音的嵌入式软件的最新状态，并及时修复其安全漏洞。
• 在物联网设备的设计和开发阶段纳入安全措施，而不是事后考虑的事项。

虽然遵循这些物联网安全最佳实践是物联网解决方案供应商的特权，但同样重要的是要记住，物联网安全是一项共同的责任。除非最终用户采取必要的预防措施，例如更改默认密码和安装设备制造商发布的软件更新，否则减轻物联网安全风险将永远是一场失败的游戏。

为什么物联网安全经常受到威胁?

物联网安全漏洞的根源可能多种多样，通常是由物联网生态系统的独特特征和挑战造成的。

由于物联网解决方案在多个层面上运行，包括操作系统、底层软件、云计算基础设施、数据和网络协议、最终用户应用程序和硬件，物联网安全威胁可能来自这些功能组件中的任何一个。

最重要的是，许多物联网解决方案被设计为小型、廉价和节能的产品，通常具有有限的处理能力，这使得难以实施传统的安全措施。

事实上，所有物联网产品中有一半来自初创公司，这些初创公司通常致力缩短上市时间以击败竞争对手，这只会使问题复杂化。

以下是影响物联网安全的几个因素：

• 设计和制造不安全。除非是一家拥有雄厚IT预算的大型企业，否则很可能会以牺牲物联网设备安全为代价，优先考虑物联网项目的功能、成本效益和上市速度。这是因为全面的需求分析、质量控制和广泛的物联网安全测试需要付出高昂的代价。
• 缺乏更新和补丁管理。在通常情况下，物联网设备不会收到定期固件更新以修补漏洞，或者是因为制造商停止支持这些设备，或者是因为由于设计限制而难以更新。这使得网络物理系统暴露在已知的安全漏洞之下。
• 使用默认或弱凭证。许多物联网设备都带有默认的用户名和密码，这些用户名和密码可能是公开的，或者很容易猜到。如果最终用户没有更改这些凭据，则可以为网络攻击者提供访问物联网解决方案的简单方法。
• 缺乏数据加密。一些物联网设备在传输或存储数据时没有进行适当的加密，从而使敏感信息暴露给潜在的攻击者。
• 不良的网络安全实践。物联网设备通常连接到没有适当安全措施的网络，例如使用安全套接字层(SSL)和传输层安全(TLS)协议、多因素用户身份验证和入侵检测机制。因此，黑客可以精确定位受损设备，并利用它们攻击网络上的其他物联网解决方案。
• 缺乏标准化。物联网生态系统多样化，缺乏统一的物联网安全标准。这意味着供应商遵循不同的安全最佳实践，这些最佳实践可能是特定于地区或行业的，也可能仅由小工具的预期用例和设计特性决定。例如，智能灯泡制造商的首要任务是将他们的产品与流行的家庭自动化解决方案相结合。因此，他们可能会轻视物联网安全，未能实现更顺畅的固件更新机制或使用不太有效的加密协议。

解决这些问题需要整个物联网领域的共同努力。然而，自从“物联网”这一术语出现近四分之一个世纪以来，物联网安全仍然像以往一样难以捉摸。

作为物联网初创公司，能做些什么来预见物联网安全问题，并在开发过程中及早采取适当的措施? 其答案很大程度上在于可靠的物联网通信技术。

物联网安全前沿的通信技术

以下是什么让连接技术成为物联网安全基石的简要解释：

• 物联网协议对端点设备与中央集线器和云服务器之间传输的数据进行加密，使第三方无法读取。
• 安全的有线和无线连接技术确保数据完整性，这意味着数据在传输过程中无法被篡改。
• 通信协议通过登录和密码、预共享密钥、网络密钥和令牌强制用户身份验证。
• 一些协议可以实现基于角色的访问控制，为特定的用户和设备组指定权限。
• 最后，连接技术促进了固件更新的安全部署和安装，以及有效的设备管理，提高了物联网部署的安全性。

物联网协议及其安全特性概述

以下是源连接技术及其对物联网安全的影响的总结：

• 传输层安全(TLS)保护设备和服务器之间的通信。TLS提供端到端加密，使网络攻击者难以拦截和破译数据。
• 安全套接字层(SSL)还有助于物联网设备与服务器安全通信。然而，由于最近发现的一些安全漏洞，安全套接字层(SSL)已经在很大程度上被TLS所取代。
• 轻量级M2M(LwM2M)用于物联网系统中的设备管理。除了确保设备与服务器之间的安全通信外，LwM2M还支持固件更新和远程管理等其他特性。
• 数据报传输层安全(DTLS)保护实时应用中的数据传输，如视频流或VoIP(voice-overIP)。DTLS提供端到端加密，设计用于处理延迟和数据包丢失。
• 消息队列遥测传输(MQTT)用于物联网系统中的轻量级消息传递。MQTT提供了用于消息交换的发布/订阅模型，并支持用于安全通信的TLS加密。

物联网技术的选择取决于物联网系统的具体情况及其安全要求。通常情况下，用户必须同时使用几种技术来满足这些需求。

如何在产品设计中应对物联网安全挑战

例如，企业为仓库设施建立一个智能暖通空调系统，它将使用连接的恒温器、湿度和温度传感器、网关和暖通空调。

这是一个需要端到端物联网安全的网络物理系统的例子：如果受到攻击，连接的设备将成为供应链公司IT基础设施和存储在其中的所有敏感信息(包括客户数据)的入口点。

通过使用安全协议和AWS服务，将保护暖通空调系统免受物联网安全威胁，例如恶意软件感染、数据泄露和拒绝服务攻击。

此外，实现强大的身份验证和访问控制机制以防止对系统的未经授权的访问是明智的。这可以包括多因素身份验证、基于角色的访问控制和敏感数据的加密。如果定期进行物联网安全测试，包括审计和漏洞评估，及时发现和弥补漏洞，也不会有什么坏处。

另一个需要注意的物联网安全问题是固件代码以及它可能包含的安全漏洞。固件是运行在物联网设备上的低级软件。它控制设备的硬件，启用其业务逻辑，并支持数据交换。

企业可以通过遵循安全编码实践来保护固件。这包括使用安全编码技术，例如代码审查和静态分析，以识别代码中的潜在漏洞。它还涉及安全编码标准，例如SEICERTC编码标准，以确保以抵抗常见安全漏洞的方式编写代码。如果企业计划在物联网软件开发中使用开源或第三方库，也必须检查它们是否有记录的漏洞。

实现安全引导和固件更新机制也很重要。安全引导是一个确保设备只引导授权固件的过程，防止恶意代码渗透到物联网系统。固件更新机制允许对设备固件进行安全且经过身份验证的更新，确保设备始终运行包含必要安全补丁的最新固件。

最后，监视固件代码以发现潜在的安全威胁非常重要。这包括使用入侵检测系统和监控工具来识别和响应潜在的物联网安全事件。

从忽视流行软件开发框架和库中的安全漏洞到使用不适当的连接技术堆栈，企业的物联网项目有很多方式可能出错，这样可能将敏感数据置于风险之中，并损害品牌声誉。

好消息是，只要从一开始就遵循物联网安全最佳实践，大多数物联网安全挑战都可以缓解。