【第8期】腾讯、阿里狂投新基建，物联网安全如何保障？

面对变革之风，有人砌围墙，有人转风车。

—中国谚语

尽管每一代人都对自己所处时代的技术进步深以为傲，认为同前人相比有过之而无不及，但是也总会有人忽视或者根本认识不到思想、创新、协作、竞争以及沟通在历史长河中所发挥的深远影响作用，这些人可能也并不少见，而恰恰正是思想、创新、协作、竞争以及沟通使得智能手机和无人机等新工具、新设备成为可能。事实上，虽然前人可能并未用过我们今天使用的工具，但是他们肯定设想过这些工具的出现。因为，科幻小说中已经多次出现过惊人的预测，无论是Arthur C.Clarke设想的地球轨道卫星，还是E.E.Doc Smith在经典科幻故事中提出的思想和行为的融合（这让我们想起了当前已经出现的新型脑机接口），都在今天成为现实。

 

虽然物联网（Internet of Things，IoT）是一个崭新的名词术语，但是当前以及未来物联网背后所蕴含的思想却并不是首次出现。作为工程领域中最伟大的先驱之一，尼古拉·特斯拉（Nikola Tesla）在1926年Colliers杂志的一次专访中提到：

“如果无线技术得以完美应用，那么整个地球就将变成一颗巨型大脑，实际上也就是说，所有事物都会成为真实而规律的整体中的一个粒子，而且相比于我们当前使用的电话，我们赖以实现的装备也会相当简单。人们在上衣口袋中就能装上这样一个。”

（来源：http://www.tfcbooks.com/tesla/1926-01-30.htm）

 

1950年，英国科学家阿兰·图灵（Alan Turing）也提到：

“建议最好能够为机器提供所能买到的最好的传感器部件，并教会机器理解和使用英语。就好像教小孩子学说话一样。”

（来源：Computing Machinery and Intelligence. Mind 49: 433-460）

 

无须怀疑，在数字信号处理、通信、制造、传感器和控制理论方面取得的惊人进展，正在将我们以及前人的梦想一步步地变为现实。这些进展强有力地证明了思想、需求和愿望构成了一个生态系统，促使人们出于对幸福生活的向往、生存发展的需要，不断地创造出新的生产工具，提出新的解决方案。

我们必须认识到当前人类的意识和行为尚未达到乌托邦的思想境界，并且以后也不会，即便我们对人类的未来充满希望，但是仍需要在美丽的幻想与上述现实中间取得平衡。人类社会中，总会有犯罪：或公开，或隐蔽；总会有无辜的人卷入到阴谋陷阱、金融诈骗和敲诈勒索当中；总会有意外；总会有奸商和骗子去伤害他人，并从他人的痛苦中牟取利益。简言之，就像总会有窃贼破门而入搜刮财物一样，也总会有人出于同样的原因入侵并破坏信息设备和系统。你的损失就是他们的收益。更糟的是，对物联网而言，攻击者的意图可能会包括物理破坏甚至人身伤亡。今天，如果正确配置了心脏起搏器，那么一次按键就可能救人性命。同样，简单的一次按键也可以导致汽车刹车系统失效，或者，使伊朗的核研究设施陷入瘫痪。

物联网安全的重要性不言而喻，在深入了解物联网安全之前，我们首先需要了解以下内容：

• 物联网的定义

• 网络安全与物联网安全

 

物联网的定义

现在，我们首先来考虑一个问题，就是如何定义物联网，以及如何将物联网同当前由计算机组成的互联网区分开来。物联网当然不只是一个关于移动端到移动端（mobile-to-mobile）技术的新名词，其中还蕴含着诸多含义。目前，已经有很多机构提出了对物联网的定义，这里我们主要选用以下3种定义形式：

• 国际电信联盟（International Telecommunication Union，ITU）成员均认可将物联网定义为：

“信息社会的全球性基础设施，基于现有的以及不断演进的、可互操作的信息与通信技术，通过（物理和虚拟）设备的互联互通来提供更加高级的服务。”

• 电气与电子工程师协会（the Institute of Electrical and Electronics Engineer，IEEE）对小型物联网应用场景的描述是：

“物联网是指能够将唯一标识的‘实物’（thing）连接到互联网的网络。这里的‘实物’具有感知／执行能力，同时可能具备一定的可编程能力。利用该‘实物’的唯一标识和感知能力，任意对象可以在任意时刻从任意位置采集相应‘实物’的信息，并且可以改变‘实物’的状态。”

• 电气与电子工程师协会对大型物联网应用场景的描述是：

“物联网构想了一种能够实现自我配置、可自适应的复杂网络，该网络采用标准通信协议建立实物与互联网之间的连接。连接互联网的实物在数字世界中具有物理或虚拟的表示形式、感知／执行能力、可编程特性以及唯一身份标识。表示形式包含了实物的身份标识、状态、位置等信息，也可以包含其他有关业务、社交乃至个人的信息。利用实物的唯一身份标识、数据采集与通信以及执行能力，实物可以对外提供服务，该过程中可以人工干预也可以不借助人工干预。可以通过智能接口调用服务，而且在考虑安全性的前提下，可以由任意对象在任意位置、任意时间发起调用。”

上述定义互为补充。同时也有所重叠，几乎囊括了所有能够设想出的、通过互联网或无线网络同其他实物在物理／逻辑层面建立连接的实物。读者无须在意定义之间的细微差别，物联网向商业团体、政府以及个人提供的服务才是物联网的价值所在，也是我们需要保障的内容。作为物联网安全从业人员，我们必须深刻了解这些服务的作用，并确保这些服务的可用性与安全性。

信息物理系统的定义

信息物理系统（Cyber-Physical System，CPS）是物联网的一个大型重叠子集。其涉及众多工程学科领域的交叉融合，其中每个学科领域都早已明确定义了学科范畴，包括了基础理论、学科传统、应用技术以及各个学科领域从业人员需掌握的相关课程。在信息物理系统中涉及的学科包括工程动力学、流体力学、热力学、控制理论、数字电路设计等等。那么，物联网与信息物理系统的区别在哪里呢？根据IEEE的定义，两者之间的主要区别在于信息物理系统并非一定要建立互联网之间的连接，其中信息物理系统由联网传感器、执行器和监测与控制系统组成。在同互联网隔离的情况下，信息物理系统依然可以实现其业务功能。从通信的角度来看，根据定义，物联网一般由连接到互联网的实物组成，并且通过应用聚合在一起，进而实现其业务功能。下图展示了信息物理系统、物联网以及互联网之间的关系。

换言之，只要信息物理系统与互联网建立连接，就可以将信息物理系统纳入到物联网当中，所以可以将物联网看作信息物理系统的一个超集。通常来说，在功能安全、信息安全、可用性和功能性等方面，信息物理系统均经过了严格设计。如果有企业想部署物联网系统，应当注意从信息物理系统严谨的设计当中吸取经验教训。

信息物理系统、物联网以及互联网之间的关系

 

需要注意的是，即使从技术上实现了与互联网的隔离，但几乎所有的信息物理系统仍会以某种方式建立与互联网之间的连接，用到的方式包括供应链、操作人员或者带外软件更新管理系统等。因此，针对物理隔离系统的安全研究也从未中断，同时研究结果不断表明即便采用了物理隔离，能够有效入侵隔离系统的方法也依然存在。

 

网络安全与物联网安全

与传统意义上的网络安全不同，物联网安全是网络安全与其他工程学科相融合的产物。相比于单纯的数据、服务器、网络基础架构和信息安全，物联网安全的内涵要更加丰富。而且，物联网安全还需要包括对联网物理系统状态的直接或分布式的监测和控制。如果读者喜欢使用“网络安全”这个名词的话，会发现对于硬件设备以及同硬件设备交互的现实物理世界的物理安全和信息安全隐患，网络安全通常并不关注。而正是通过网络对物理处理流程的数字化控制，使得物联网安全与传统安全有所区别，即物联网安全不再仅仅局限于包括机密性、完整性、不可否认性等基本信息安全保障原则，还需要包括对现实世界中收发信息的实体资源和设备的安全保障。换言之，物联网能够真实模拟现实世界中的操作，并且拥有实体部件。也正是因为物联网设备都是物理实体，所以大多数物联网设备都涉及系统的功能安全。因为如果这样的设备遭到攻击，就可能会危害到人身和财产安全，甚至导致人身伤亡。

因而，与联网设备和主机不同，孤立、静态的通用安全规则对于物联网相关的安全问题而言并不适用。因此，如果系统和复杂系统（system-of-system）用到了物联网设备，就需要专门定制适用的安全规则。现如今，只要配备了合适的电子接口，那么几乎所有实体设备都可以连接到互联网上。因此，物联网设备的安全性也会受到设备使用方式、设备控制或影响的物理流程或状态、设备所接入系统的敏感程度等诸多因素的影响。

信息物理系统在功能安全和信息安全设计方面通常和很多物联网系统存在交集，两个领域虽然之前沿着截然不同的路径不断发展，但是如今这两条路径出现了重叠。在本书的后续章节中，我们会对物联网安全中的功能安全进行更加深入的研究，但现在我们首先在这里简要说明一下功能安全和信息安全之间的区别，该区别由知名学者Barry Boehm博士指出，Axelrod W.C.在美国马萨诸塞州Artech出版社于2013年出版的《Engineering Safe and Secure Software Systems》一书中对此进行了完整表述。

Axelrod在书中深刻而精准地指出了功能安全和信息安全两者之间的关系：

• 功能安全：信息系统不会危害现实世界的安全。

• 信息安全：现实世界不会危害信息系统的安全。

因此，相比于传统的网络、主机和网络安全，物联网和物联网安全显然要复杂得多。对于航空航天等关注功能安全的行业而言，经过多年的演进，它们已经找到了一套行之有效的功能安全设计方法并形成了相关标准，因为，如果飞机出现故障可能会对现实世界以及现实世界中的人员造成伤害。与汽车制造业类似，飞机中接入互联网的设备也在急速增多，所以当前飞机制造业在信息安全领域正在奋起直追。

 

推荐语：本书全面阐释了物联网面临的安全挑战，为构建安全的物联网世界提供了切实可行的安全指南，从物联网的基本概念开始讲起，从开发、设计、运维角度对如何保障物联网安全进行了详细介绍，针对于密码学基础知识及其在物联网中的应用做了分析，基于物联网特点，从隐私保护、合规性监管、云安全、安全事件响应与取证等人们较为关心的问题进行了专门的介绍。

点击链接了解详情并购买

第007期赠书活动中奖名单公布

留言赠书

送书规则：感谢大家对华章图书的信任与支持。留言谈谈你想要本书的理由。留言点赞数最多的前2名，小编会包邮分别送出1本正版书籍。

截止日期：6月19日下午17：00

特别注意：1、请按规则留言。2、每人每月至多可参与2次。

更多精彩回顾

书讯 | 6月书讯 （上）| 初夏已至，书香有约，六月宜静心读书

书讯 | 6月书讯 （下）| 初夏已至，书香有约，六月宜静心读书

上新 | 周志华领衔撰写，历时4年，宝箱书问世！
书单 | 创建字节跳动之前，张一鸣读过哪些硬核技术书？

干货 | G1垃圾回收算法概述

收藏 | TIOBE 5月榜单：时隔五年，C语言重返第一