网络安全长期以来一直是大型企业的关键重点。现在，IoT设备设计工程师必须从企业安全剧本中获取页面。
艾伦格雷，sectigo.，物联网副总裁
虽然物联网设备制造商投入巨资的新解决方案的开发投资，这些机构往往缺乏安全专业知识和技术资源，以确保高度安全性被内置到他们的产品。许多这些连接设备的采用新的协议，平台和没有安全问题被彻底核实中间件解决方案。的结果，这并不奇怪，是很容易被黑客入侵装置的摆。
近年来，已经提出或制定了一系列新的IOT网络安全标准和立法，要求OEM将安全性建立在其设备中。NIST，IETF和GSMA的标准为许多法规和其他相关标准提供了基础，导致行业的类似安全基本面，因此在这些物联网标准中寻找共同要求并不令人惊讶：
•使用硬件信任根安全引导
•安全软件更新能力
·确保每个设备具有较强的唯一的ID
•监控未经授权使用的网络活动
•禁用所有不必要的端口和服务
这些指导对IOT设备工作的工程师意味着什么？
使用多层保护，包括防火墙、身份验证、安全协议和入侵检测/入侵预防，是企业安全的一个长期驱动原则。相比之下，大多数物联网设备，尤其是传感器和低成本设备，缺乏基本的防火墙或安全协议，通常只依赖简单的密码认证。
几十年来，设备制造商一直认为这些设备对黑客没有吸引力，也不容易受到攻击。这不再是事实。许多攻击都是通过黑客机器人扫描IP地址范围来寻找易受攻击的目标而自动进行的。此外，这些边缘设备如果遭到破坏，可能成为进入更大系统和网络的入口点。针对所有类型嵌入式设备的攻击都在增加，现在需要更大的安全措施。
25年来，网络安全一直是大型企业关注的焦点。现在，设备设计工程师需要从企业安全手册中翻出一页。
在潜入如何保护嵌入式和IOT设备的问题之前，重要的是考虑安全漏洞的起源。广泛地说，嵌入式设备中的大多数漏洞可分为三类中的一个：实现漏洞，部署或使用漏洞以及设计漏洞。
当编码错误导致能够在网络攻击中被利用的弱点实施的漏洞出现。臭名昭著的，貌似神仙，缓冲区溢出攻击是执行漏洞的经典例子。其他例子包括不当播种随机数生成器，这可能会导致那些容易被猜到的安全密钥的生成。作为OWASP安全软件开发生命周期或微软的安全开发生命周期，以及全面的安全测试流程，有助于解决执行漏洞遵守软件开发流程等。
部署漏洞涉及一种由用户设备的操作或安装期间引入的问题。这包括如不改变默认的密码，使用弱密码，没有启用安全功能等问题，虽然这是，至少在表面上，一个用户的问题，面向安全的设计，消除了密码和用户控制，允许弱安全选项可以帮助防止部署的漏洞。
设计漏洞是本文的重点，是由于在开发设备时没有包括适当的安全措施而导致的弱点。导致安全漏洞的设计漏洞示例包括使用硬编码密码、无用户身份验证的控制界面，以及使用通信协议以明文形式发送密码和其他敏感信息。其他不太引人注目的例子包括没有安全引导或允许未经验证的远程固件更新的设备。
嵌入式安全
物联网设备包括广泛多样化的设备类型 - 从小到大，从简单到复杂。其中许多是嵌入式设备，与标准PC或其他消费设备完全不同。它们是专门用于执行专用任务的固定功能设备，该任务使用诸如VxWorks，Freertos或完整性的专用操作系统，或Linux的剥离版本。在字段中的系统上安装新软件要么需要专门的升级过程，要么根本无法实现。在大多数情况下，这些设备被优化以最大限度地减少处理周期和内存使用情况，并且没有必需支持传统安全机制所需的额外处理资源。
因此，标准PC安全解决方案将无法解决嵌入式设备安全性的挑战。事实上，鉴于嵌入式系统的专业性，甚至不会在大多数嵌入式设备上运行基于Windows的PC安全解决方案。
因此，对于物联网的安全所面临的挑战基本上是这些：
1。关键功能：物联网设备往往控制关键系统和管理敏感数据。工厂控制系统，运输系统，电力网和医疗系统都通过的IoT和嵌入式设备控制的。
2。复制：一旦设计和建造，物联网设备将大规模生产，产生数千到数百万个相同的设备。一旦发现漏洞，可以在所有设备上复制针对其中一个设备的成功攻击。
3.安全性假设：许多物联网设备工程师长期以来一直认为他们的产品不是黑客的目标，也没有将安全视为关键优先事项。
4.不易修补：大多数嵌入式设备不容易升级。部署后，它们只会运行最初安装在出厂的软件，包括任何漏洞。
5.生命周期长：嵌入式设备的生命周期可能长达10,15甚至20年。建立一个能够掌握的设备，即未来二十年的不断发展，增加安全要求是一个巨大的挑战。
6。部署在企业安全外围之外：许多物联网设备可能部署在家庭、远程位置或其他缺乏企业环境保护的环境中。
7。设备健康：通常有没有办法让最终用户能够轻松监控设备的安全健康或进行更改。
单击图像以放大。
物联网设备所需的安全级别取决于设备的功能。OEM应该询问设备是否足够安全，而不是询问设备是否安全。我们不再谈论保护设备不受格式错误的IP数据包或DoS数据包泛滥的影响。黑客知道如何研究他们的目标。他们通常拥有目标设备的详细操作信息，拥有复杂的工具包和技能，可用于开发微调攻击。
你有没有考虑如何保护连接的设备免受攻击与您的产品的内部工作原理的详细知识一组？黑客是不是无聊的青少年，黑客无人机，甚至动机的黑客小团体的只是域名。当赌注够高，网络攻击是多阶段，由大，资金雄厚的球队黑客进行了多年的努力。
对于物联网设备的安全解决方案必须保护固件被篡改，保证在设备，安全通信存储的数据，并防止网络攻击的装置。这只能通过从设计的最初阶段，在安全建设来实现。
不幸的是，对于连接的设备，没有一个一刀切的安全解决方案。工程师必须考虑安全故障的成本（经济、环境、社会等）、攻击风险、可用攻击向量以及实施安全解决方案的成本。
应考虑的特征包括与供应链相关的特征。多样化的供应链增加了开发安全设备的复杂性。最近的SolarWinds黑客攻击虽然不是物联网攻击，但表明确保供应链安全是一项关键要求。除了确保设备内置适当的安全措施外，OEM还必须对供应商实施安全的开发流程和监控，以防止固件组件中引入漏洞。
在任何事件中，包括IOT设备中的最新安全协议和技术是必不可少的。必须在设计过程开始时考虑安全功能，以确保设备将掌握可能面临的众多高级网络威胁。
你可能也会喜欢：
提交：技术+产品那微控制器提示那制造业那网站提示（EE世界）
