Proximity Based IoT Device Authentication翻译与理解

文章来源： J. Zhang, Z. Wang, Z. Yang, and Q. Zhang, ‘‘Proximity based IoT device authentication,’’ in Proc. IEEE Conf. Comput. Commun. (INFOCOM), May 2017, pp. 1–9.

摘要—物联网（IoT）设备在很大程度上是嵌入式设备，缺少复杂的用户界面，例如触摸屏，键盘等。因此，针对移动设备的基于传统预共享密钥（PSK）的身份验证变得难以应用。例如，根据我们对利用智能手机进行PSK输入的家庭自动化设备的研究，当前流程无法防范主动的模拟攻击，而且还会将Wi-Fi密码泄露给窃听者，即，目前可以利用这些IoT设备进入进入关键基础设施，例如家庭网络。受此现实世界安全漏洞的影响，在本文中，我们提出了一种新颖的基于物联网的物联网设备身份验证机制，称为Move2Auth，目的是增强物联网设备的安全性。在Move2Auth中，我们要求用户握住智能手机并在IoT设备之前执行两个手势之一（向后移动和旋转）。通过组合（1）大RSS变量和（2）RSS迹线与智能手机传感器迹线之间的匹配，Move2Auth可以可靠地检测距离并相应地对IoT设备进行身份验证。根据我们在Samsung Galaxy智能手机和商用Wi-Fi适配器上的实施，我们证明Move2Auth可以防御强大的主动攻击，即，假阳性率始终低于0.5％。

存在的漏洞及风险：

我们以家庭自动化设备为例来说明IoT设备认证问题。 （a）家用Wi-Fi路由器需要在连接之前对设备进行身份验证。 （b）利用智能手机输入Wi-Fi密码。 （c）攻击者可以通过嗅探Wi-Fi通道进行窃听，或冒充IoT设备以连接到路由器/智能手机从而进入家庭内网进行进一步的攻击。

为了应对PSK（预置密钥）存在的安全性，该文章为智能手机提出了一种基于近距离的机制来认证IoT设备，称Move2Auth。 如图2所示，我们要求用户握住智能手机并在IoT设备前面执行两个手势（由智能手机随机选择）之一，而与此同时，IoT设备仍在继续发送数据包。 这两个手势，即将智能手机移入和移离IoT设备以及旋转智能手机，分别由于衰减和天线极化快速变化而导致接收信号强度（RSS）的显着变化（大约15dB）。 在Move2Auth中，我们结合了（1）大的RSS偏差检测和（2）RSS跟踪与智能手机的传感器跟踪之间的匹配，以执行可靠的接近检测，其中（1）可以有效地区分设备的近距离和远距离，以及 （2）可以抵抗强大的主动攻击者，后者可以任意调整传输功率。

基于接近度的IoT设备身份验证。 在物联网设备传输过程中，用户握住智能手机并在物联网设备前面执行小手势（a。朝着和离开，b。旋转）。 智能手机将传感器跟踪与rssi跟踪进行比较，以确定设备是否在附近。
逆向获取密码攻击

我们的实验从所有（数百万）个Wemo设备中检索了可用于解密家庭Wi-Fi密码的秘密。 （a）智能手机和Wemo设备之间捕获的消息交换。 首先，Wemo设备将设备ID和MAC地址发送到智能手机（上行消息）。 然后，智能手机将加密的Wi-Fi密码发送到Wemo设备（底部消息）。 （b）我们在Wemo逻辑板上的SPI闪存芯片和USB闪存读取器（10美元）之间制作了飞线。 然后，我们使用此工具获取Wemo固件二进制文件并执行二进制分析以检索秘密。

方案原理

智能手机的移动导致发件人不亲近vs.发件人远亲之下的RSS差异。 由于小规模衰落，接近发送方可能导致超过15dB的RSS变异，而远离发送方只会导致5dB的RSS变异。 上层：往前走。 下：旋转
设计的协议
我们的最终协议集成了设备身份验证和密钥生成，如下所述。 1）用户通过按下IoT设备上的按钮三秒钟来触发配对模式。物联网设备以配对模式清除其状态，并将其自身设置为智能手机进行连接的访问​​点。
2）用户通过SSID查找物联网设备的Wi-Fi网络，然后将智能手机连接到物联网设备。
3）IoT设备从智能手机接收到连接后，会发送一个随机的公共密钥和一系列由相应的私有密钥加密的相同数据包。
4）智能手机通过检查RSS变化的强度并将其传感器迹线与RSS迹线相匹配来确定IoT设备是否在附近。
5）通过确定IoT设备在附近成功认证后，智能手机将通过解密数据包并检查数据包内容来验证公钥。
6）成功解密和检查内容后，智能手机会使用经过验证的公共密钥对随机共享会话密钥进行加密，然后将其发送到IoT设备。
7）最后，使用共享会话密钥建立安全的通信通道。用户可以通过此安全通信通道在智能手机上执行IoT-torouter关联。
8）如果上述步骤之一失败，则用户应重新触发配对模式。

协议的设计主要是通过RSS的变化来判断IOT设备的位置，之后通过共享会话进行加密通信建立安全通信信道，认证完成后进行数据传输。