今年六月在荷蘭舉辦的「世界論壇」(World Forum)資安會議中,一名來自美國綽號「網路忍者」的 11 歲電腦神童魯賓.保羅(Reuben Paul)應邀上台演說,他表示:「從飛機到行動電話,從智慧手機到智能房屋,任何東西或玩具都能成為物聯網(IOT)的一環;而從魔鬼終結者到泰迪熊,任何東西或玩具都能將之武器化。」並實際示範如何駭入與會者的藍牙裝置,進而操縱泰迪熊。
保羅將一個信用卡大小、名為「樹莓派」(raspberry pi)的電腦裝置插入筆電,然後掃描在場所有可用的藍牙裝置,當場下載數十人的電話號碼,包含在場許多高層官員的電話號碼。再利用一個電腦程式語言 Python,透過其中一組號碼駭入泰迪熊,開啟玩具熊的燈,並播出一段語音訊息。這位電腦神童不僅展現了驚人的超齡能力之外,也透露了:「物聯網雖然很方便,但沒有適當的保護就會害死你」。
IoT安全的三大關鍵:複雜的網路、成本與安全團隊。
根據HP的研究報告,大約70%的消費型IoT設備存在安全隱憂,具有易「駭」體質。而根據OTA(Online Trust Alliance)的研究,近期被揭露的IoT安全漏洞中,100%完全可事先避免。這不免讓人疑惑,IoT的安全既然有功法護體,為何實際落實還是那麼難?
複雜的網路
現實中,影響IoT安全策略的第一個因素,是物聯網系統的複雜性。一個典型的物聯網系統結構包括邊緣節點(用戶設備端)、閘道和雲端平台三部分,在邊緣節點之間、邊緣節點與閘道之間以及閘道與雲端之間,又是通過不同的無線或有線通訊協議互聯的。理想的安全解決方案,應該是能實現「端(用戶設備)對端(雲端)」全面的安全防護。而現實的情況是,物聯網系統通常是經由不同製造商和使用者的軟、硬體組成,並由不同人進行管理和維護,每個環節都會有自己不同的安全策略,而系統整體的安全性往往就由「最短的那塊木板」所決定。
![圖一 : 現今的物聯網系統複雜,數據在傳輸過程中需要在閘道間進行多次轉化和加解密操作,更增加了安全體系的複雜性。](/art/2017/09/061151163510/p1.jpg)
圖一 : 現今的物聯網系統複雜,數據在傳輸過程中需要在閘道間進行多次轉化和加解密操作,更增加了安全體系的複雜性。 |
|
特別重要的一點是,我們熟知的網路(Internet)是基於IP技術的網路,在過去的20多年中,網路已經形成了一套基於IP的比較成熟的安全體系,比如TLS(安全傳輸層協議),構成了網路安全的基石。而IoT的名稱中雖然也有「Internet」,但實際部署時由於低成本、低功耗、特殊應用場景等方面的考慮,物聯網系統中採用了大量非IP的通訊協議,如ZigBee。這種「混合」網路讓物聯網系統變得更為複雜,數據在傳輸過程中需要在閘道間進行多次轉化和加解密操作,增加了安全體系的複雜性。同時,非IP網路環境的存在也使得很多基於IP的成熟的安全技術,如TLS協議、加解密算法,無法直接被IoT設備所利用。雖然這種「複雜」的局面在技術上並非無解,但是對於開發者和使用者來說需要額外的時間和資源的投入,將是一筆不小的負擔。
成本,成本,成本
IoT安全設備的第二個影響因素是「成本」。以邊緣節點而言,物聯網中多數使用者的終端設備都是結構簡單、低功耗、低成本的,在設計規劃時往往很少、甚至根本沒有考慮安全預算。提升邊緣節點的安全層級,最直接的方式就是投入額外的硬體,不論是採用具備安全性能的MCU,還是嵌入安全晶片。這對於很多OEM,特別是對於增加幾塊錢的BOM成本就斤斤計較的消費型物聯網產品來說,確實是件讓人為難的事。類似的成本「糾結」,在網路閘道和雲端安全性提升時,一樣也會出現。
然而,這還不是全部的安全成本。整個物聯網系統生命週期中,需要人力對系統中的設備連接進行安全性的設置和管理,如授權、加密等,這種對設備安全性的「個人化」管理也是一個可觀的成本,不論是設備製造商還是使用者、運營商,都需要有人去承擔成本。隨著網路的規模逐年增長,這一類的成本壓力也將更為顯著。此外,將不安全設備的廢止或改造以提升物聯網的安全性,還會為使用者帶來「沉沒成本」,導致過往的投資損失。為了保護既有投資,使用者在決策時稍做折衷也是在所難免,但這也是影響物聯網安全「革命」難於徹底的原因之一。
安全團隊
![圖二 : 一個稱職的物聯網安全團隊,能確保產品和系統設計之初,就將安全議題考慮進去,而不是在出現問題之後再亡羊補牢。](/art/2017/09/061151163510/p2.jpg)
圖二 : 一個稱職的物聯網安全團隊,能確保產品和系統設計之初,就將安全議題考慮進去,而不是在出現問題之後再亡羊補牢。 |
|
影響IoT安全的第三個因素,就是人。傳統的技術認知中,設備安全是嵌入式開發者的事,而網路安全是IT工程師的事,然而物聯網帶來了技術的融合,也需要相關專業人士的意識與知識重構。在物聯網發展的初期,這樣的「人」是很難得的。
一個稱職的物聯網安全團隊,能確保產品和系統設計之初,就將安全議題考慮進去,而不是在出現問題之後再亡羊補牢。因為越來越多的事實證明,在物聯網系統啟用之後再考慮增加安全性的問題,注定會是一場失敗的戰鬥。
以上這些,就是我們在IoT安全所面臨的困境。不過,IoT的安全性確實是一件不得不做的事情,也應該是我們物聯網價值觀中的底線基準。