物联网安全导论第十-十二章

思维导图 ：第十章 - 幕布，第十一章 - 幕布，第十二章 - 幕布

                

• LBS（基于位置的服务）的应用类型有哪些

  • 服务种类
    • 大众应用（生活、娱乐、工作）
      • 位置信息查询
        • 加油站，酒店，交通信息等
      • 移动黄页查询
        • 查询所在区域内的相关信息（天气，电话，所处位置）
      • 游戏娱乐
      • 跟踪导航
    • 行业应用（公安消防，交通，企业，新闻媒体等）
      • 紧急救援
      • 智能交通
      • 外勤人员管理和调度
      • 物流和资产管理
      • 如果终端用户与位置服务提供商形成了合作关系，当到达预定区域时，他们以消费者或团体客户端的身份来触发位置敏感商业广告（像发传单一样）
      • 终端用户可向服务器定制自己感兴趣的新闻或商业信息，服务器将在固定时间发送这些信息
      • 巡检管理

  • 目前LBS提供的主要服务
    • 公共安全业务110
    • 跟踪业务
    • 基于位置的个性化信息服务
      • 为用户提供与当前所处位置相关的综合信息服务
    • 导航服务
    • 基于位置的计费业务

• LBS系统由哪些部分组成（6个）

  • 移动终端
    • 既可以充当定位装置，又充当查询和显示设备（手机、电脑）

  • 无线网络
    • 能准确确定移动终端的位置（4G,5G）

  • 定位平台
    • 是基于GPS或MPS技术的定位系统

  • 提供位置服务的服务器
    • LBS系统的核心部分
    • 处理分析并响应用户的请求

  • 提供位置服务的应用程序

  • 与位置信息相关的内容
    • 地理数据信息

• LBS系统工作的主要流程

  

  • 用户通过移动终端发出位置服务申请

  • 该申请经过移动通信网的各种通信网关后，为服务中心所接收

  • 经审核认证，服务中心调用定位系统或的用户的位置信息
    • （用户若配有GPS等主动定位设备，则可通过无线网络主动将位置参数发送给服务中心）

  • 服务中心根据用户的位置对服务内容进行响应
    • 发送路线图，具体的服务内容由位置服务提供商提供

• 网络个人信息隐私权的内容具体包括哪几个方面

  • 知情权
    • 任何个人都有权知道网站收集了关于自己的哪些信息，以及这些信息的用途、目的和使用等情况

  • 选择权
    • 个人在知情权的基础上，对网上个人信息的用途拥有选择权

  • 控制权
    • 个人能够通过合理途径访问、查阅、修改和删除网络上的个人信息
    • 个人信息非经本人同意不得被随意公开和处置

  • 安全请求权
    • 个人有权要求网络个人信息的持有人采取必要、合理的技术措施保证其信息的安全
    • 当要求被拒绝或个人信息被泄露后，个人有权提起司法或者行政救济

  • 法律保护
    • 《计算机信息网络国际联网安全保护管理法》
    • 《中华人民共和国网络安全法》
    • 《中华人民共和国数据安全法》
    • 《中华人民共和国个人信息保护法》

• 简述物联网隐私保护技术

  • 物联网隐私保护技术
    • 采用匿名技术
      • 基于代理服务器、路由和洋葱路由的匿名技术
    • 采用署名技术
      • P3P技术——隐私偏好项目平台
        • 仅增强了隐私政策的透明性，使用户可以清楚的知道个体的何种信息被收集、用于何种目的、存储多久时间
    • 主要发展方向
      • 对等计算
      • 语义Web

• 简述LBS中的3种基本隐私保护方法P317

  • 假位置
    • 服务提供商无法判断出哪个信息是真实的
  • 时空匿名
    • 用一个空间区域表示用户位置，商家不确定用户具体在哪
  • 空间加密
    • 通过对位置加密

• 从体系结构上看，物联网通常由哪几部分组成？各部分主要起什么作用

  • 执行器

  • 网关

  • 传感器

  • 云

  • 移动App

• 目前物联网设备存在的五大安全隐患是什么

  • 允许使用弱密码

  • 存在隐私泄露或滥用风险

  • 设备与互联网或局域网的通信没有加密

  • Web界面存在安全漏洞

  • 下载软件更新是没有使用加密

• 云安全的12大威胁分别是什么

  

  • 数据泄露
  • 凭据被盗，身份认证如同虚设
  • 界面和API被攻击
  • 系统漏洞利用
  • 账户劫持
  • 恶意内部人员
  • APT寄生虫
  • 永久数据丢失
  • 调查不足
  • 云服务滥用
  • DoS攻击
  • 共享技术，共享资源

 

• 物联网应用特有的安全问题有哪几种7

  • 略读
    • 在末端设备或RFID持卡人不知情的情况下，信息被读取

  • 窃听
    • 在一个通道的中间，信息被中途截取

  • 欺骗
    • 伪造或复制设备数据，输入系统中

  • 克隆
    • 克隆末端设备，冒名顶替

  • 谋杀
    • 损坏或盗走末端设备

  • 拥塞
    • 伪造数据，导致设备阻塞，正常功能不可用

  • 屏蔽
    • 用机械手段屏蔽电信号，让末端无法连接

• 物联网发展的中级和高级阶段面临的五大特有的信息安全挑战是什么

  • 四大类（有线长、短距离和无线长、短距离）网络互联组成的异构、多级、分布式网络导致统一的安全体系难以实现“桥接”和过渡

  • 设备大小不一以及存储和处理能力的不一致导致安全信息的传递和处理难以统一

  • 设备可能无人值守、已丢失或处于运动状态，连接可能时断时续，可信度差，种种因素增加了信息安全系统设计和实施的复杂度

  • 在要保证一个智能物品被数量庞大甚至未知的其他设备识别和接收的同时，又要同时保证其信息传递的安全性和隐私性

  • 用户单一实例服务器SaaS模式对安全框架的设计提出了更高的要求

• 试进行物联网特有安全问题的分析

  

  • 点到点消息认证

  • 重放攻击

  • 拒绝服务攻击

  • 篡改或泄露标识数据

  • 权限提升攻击

  • 业务安全

  • 隐私安全

• 物联网安全目标是什么

  • 是在数据或信息的传输、存储和使用过程中实现机密性、完整性、问责制和可用性

• 物联网的安全防护需要坚持哪几个原则

  • 坚持综合防范、确保安全的原则

  • 坚持统筹兼顾，分步实施的原则
    • 统筹信息化发展与信息安全保障,统筹信息安全技术与管理,统筹经济效益与社会效益,统筹当前和长远,统筹中央和地方。

  • 坚持制度体系、流程管理与技术手段相结合的原则
    • 保证充足、合理的经费投入和高素质的安全技术和管理人员,建立完善的技术支持和运行维护组织管理体系,制订完整的运行维护管理制度和明确的维护工作流程。

  • 坚持以防为主、注重应急的原则
    • 网络安全系统建设的关键在于如何预防和控制风险,并在发生信息安全事故或事件时最大限度地减少损失,尽快使网络和系统恢复正常

  • 坚持技术与管理相结合的原则
    • 安全体系是一个复杂的系统工程,涉及人、技术和操作等要素,因此必须将各种安全技术与运行管理机制、人员思想教育与技术培训、安全规章制度建设相结合。

• 物联网安全体系分为哪6个方面

  • 物理安全
    • 包括物理访问控制、环境安全(监控、报警系统、防雷、防火、防水、防潮和静电消除器等装置)、电磁兼容性安全、记录介质安全、电源安全和EPC设备安全6个方面

  • 安全计算环境
    • 包括感知节点身份鉴别、自主/强制/角色访问控制、授权管理（PMI系统）、感知节点安全防护(恶意节点、节点失效识别)、标签数据源可信、数据保密性和完整性、EPC业务认证和系统安全审计。

  • 安全区域边界
    • 主要包括节点控制(网络访问控制、节点设备认证)、信息安全交换(数据机密性与完整性、指令数据与内容数据分离、数据单向传输)、节点完整性(防护非法外联、入侵行为、恶意代码防范)和边界审计。

  • 安全通信网络
    • 主要包括链路安全(物理专用或逻辑隔离)和传输安全(加密控制、消息要或数字签名)。

  • 安全管理中心
    • 主要包括业务与系统管理(业务准人接入与控制、用户管理、资源配置和EPCIS 管理)、安全检测系统(人侵检测、违规检查和EPC数字取证)以及安全管理(EPC策略管理、审计管理、授权管理和异常与报警管理)。

  • 应急响应恢复与处置
    • 主要包括容灾备份、故障恢复、安全事件处理与分析和应急机制