物聯(lián)網(wǎng)(Internet of Things,IoT)是否會(huì)帶給我們安全的風(fēng)險(xiǎn)?但愿答案是否定的。但是,根據(jù)IBM和Intel安全專家的觀點(diǎn),物聯(lián)網(wǎng)時(shí)代已經(jīng)來(lái)臨,CIO必須把安全防護(hù)放到重要位置。
在不遠(yuǎn)的將來(lái),可能智能家電會(huì)被黑客入侵,導(dǎo)致整個(gè)家庭都完全失控:前門(mén)被人從遠(yuǎn)程打開(kāi),冰箱上的恒溫器被重置導(dǎo)致食物腐壞,電燈被反復(fù)開(kāi)關(guān),各種垃圾廣告被發(fā)送到眼鏡、手表和跑步機(jī)上。
“這些其實(shí)都算不上什么,真正的危害正在迫近!痹谧罱e行的馬薩諸塞技術(shù)領(lǐng)導(dǎo)力委員會(huì)物聯(lián)網(wǎng)會(huì)議上,Intel的應(yīng)用安全首席架構(gòu)師和技術(shù)官Andy Thurai表示。
實(shí)際上,在物聯(lián)網(wǎng)的世界中,任何連接到網(wǎng)絡(luò)上的人或者物都可能被遠(yuǎn)程侵入,這也賦予了恐怖攻擊這個(gè)詞全新的含義。比如,醫(yī)院設(shè)備被侵入,從而危及人們的生命;一個(gè)城市的交通控制中樞遭到服務(wù)拒絕攻擊;對(duì)電網(wǎng)的攻擊可能會(huì)導(dǎo)致人們斷電數(shù)日之久。據(jù)Thurai舉例,安全顧問(wèn)公司Red Tiger Security就已經(jīng)標(biāo)識(shí)出了美國(guó)能源領(lǐng)域的38000個(gè)薄弱環(huán)節(jié)。
“在物聯(lián)網(wǎng)世界中,我們需要保護(hù)的東西太多了。”IBM的WebSphere產(chǎn)品管理副總裁Michael Curry表示。Curry和Thurai一起主持了大會(huì)的閉幕環(huán)節(jié)“物聯(lián)網(wǎng)世界帶來(lái)的安全新趨勢(shì)”。
對(duì)于這個(gè)連接無(wú)處不在的世界,安全保護(hù)是非常困難的。迄今為止已有的各種攻擊都會(huì)擴(kuò)散到那些保護(hù)不夠或技術(shù)級(jí)別較低的基礎(chǔ)設(shè)施上。Curry認(rèn)為,很多物聯(lián)網(wǎng)中潛在的受攻擊目標(biāo)很難有物理層面的安全保障。至少到目前為止,很多設(shè)備上的電力供應(yīng)無(wú)法滿足解密或認(rèn)證的計(jì)算能耗需求,從而只能依賴于設(shè)備所連接到的云或者服務(wù)器架構(gòu)來(lái)提供安全性。除此之外,更為重要的一點(diǎn)是,現(xiàn)在還沒(méi)有針對(duì)物聯(lián)網(wǎng)的、統(tǒng)一的安全標(biāo)準(zhǔn)。
由于存在著如此多的廠商、設(shè)備和協(xié)議,如果沒(méi)有一致的標(biāo)準(zhǔn),很難制定出具有普適性的安全策略。Curry認(rèn)為,安全標(biāo)準(zhǔn)最終會(huì)出現(xiàn),但是之前仍需經(jīng)過(guò)一段漫長(zhǎng)的等待。
即便標(biāo)準(zhǔn)已經(jīng)就位,物聯(lián)網(wǎng)的安全也是個(gè)不可能的任務(wù)!拔覀兛梢宰龅模褪潜M力降低風(fēng)險(xiǎn)!盋urry說(shuō):“但是,攻擊是無(wú)法杜絕的。安全的含義是評(píng)估風(fēng)險(xiǎn)并盡可能地在風(fēng)險(xiǎn)下運(yùn)轉(zhuǎn)!毕旅婢褪荂urry關(guān)于物聯(lián)網(wǎng)安全的4個(gè)要素,CIO們可以據(jù)此來(lái)應(yīng)對(duì)那些難以避免的攻擊和損害。
物聯(lián)網(wǎng)安全的4個(gè)要素
1. 物理設(shè)備安全
在Curry看來(lái),已經(jīng)有一些非常不錯(cuò)的防篡改技術(shù)。比如,在設(shè)備被盜之后立即切斷其網(wǎng)絡(luò)連接并銷(xiāo)毀所有數(shù)據(jù)。
另一個(gè)防篡改的技術(shù)是芯片廠商發(fā)明的安全啟動(dòng)機(jī)制。在設(shè)備啟動(dòng)時(shí)通過(guò)簽名機(jī)制檢查是否有什么東西與上次啟動(dòng)時(shí)不一致。“如果發(fā)現(xiàn)有任何改變,設(shè)備就不會(huì)繼續(xù)啟動(dòng)!盋urry說(shuō)。
另一個(gè)例子是認(rèn)證控制,讓設(shè)備只能在特定的地點(diǎn)或區(qū)域內(nèi)工作,或只能與服務(wù)器進(jìn)行特定的連接。為此,還需要用遠(yuǎn)程服務(wù)軟件來(lái)管理設(shè)備。
“這些事情都是非常復(fù)雜的!盋urry說(shuō):“當(dāng)你面對(duì)成千上萬(wàn)的設(shè)備時(shí),難度可想而知!