物联网安全第1章-绪论

物联网安全,参考书,李联宁物联网安全导论北京：清华大学出版社，2013WilliamStallings.密码编码学与网络安全原理与实践（第6版）.电子工业出版社，2015乔舒亚莱特.黑客大曝光:无线网络安全(原书第3版).机械工业出版社，2016梁栋.Java加密与解密的艺术(第2版).机械工业出版社，2013,物联网信息安全技术,本课程讨论的信息安全问题包括：数据安全（第3章）：包括密码学、散列函数、消息摘要、数字签名、文本水印和图像水印等；实践MD5算法案例和数字签名案例隐私安全（第4章）：隐私安全的概念，隐私度量方法，数据库隐私保护技术，位置隐私保护技术，数据共享隐私保护方法，外包数据加密计算案例接入安全（第5章）：信任管理、身份认证、访问控制、公钥基础设施（PKI）的结构和实现案例系统安全（第6章）：恶意攻击、入侵检测、攻击防护、防火墙、病毒查杀、网络安全通信协议。无线网络安全（第7章）：WiFi安全技术、3G安全技术、ZigBee安全技术、蓝牙安全技术。,物联网安全的重要性,信息安全在物联网中重要性和作用显而易见。现在军事中的物、地探测现在交通中的车辆检测智能小区中的RFID物联网信息安全关系到国家的信息安全2014年2月27日电，据央视新闻报道，习近平主持召开中央网络安全和信息化小组首次会议，要求把我国建设成为网络强国。习近平任小组组长。加强网络安全，才能维护国家安全。安全是互联网发展的前提和基础。物联网以互联网为依托。,开设物联网安全课程的必要性,现有网络与信息安全课程可否替换物联网信息安全？早期的想法：可以替换现在的想法：不可替换，有其特殊性物联网信息安全教材应该涵盖网络与信息安全课程内容，并有所拓展。二者差异：“专用”、“通用”二者协同：通用寓于“专用”二者贯通：有“通用”贯通“专用”物联网信息安全可以上升为新的研究热点感知中的；RFID数据传输与处理中的：大数据、多维、时间序列应用中的：开放、跨域、共享、云,西安交通大学桂小林6,物联网安全：物联网工程专业的核心知识体系,物联网安全课程大纲,本课程作为物联网工程专业的核心专业课程课程目标：针对物联网工程专业的需要，对物联网信息安全的内涵、知识领域和知识单元进行了科学合理的安排，目标是提升读者对物联网安全的“认知”和“实践”能力。课程内容：本课程采用分层架构思想，由底而上地论述物联网信息安全的体系结构和关键技术。具体包括物联网安全特征、物联网安全体系、物联网数据安全、物联网隐私安全、物联网接入安全、物联网系统安全和物联网无线网络安全等内容。,第一章物联网与信息安全,本章导引,物联网作为战略性新兴产业，在各国政府大力推动下，正在迎来一轮建设高峰，其信息安全和风险问题也得到各国政府的广泛重视。由于物联网是一个融合计算机、通信和控制等相关技术的复杂系统，因而物联网面临的信息安全问题更加复杂。本章主要论述物联网的基本概念和特征,探讨物联网的信息安全现状和面临的信息安全威胁。,IOT时代的网络安全威胁,周鸿祎三大安全问题：第一，个人隐私的安全。以前是电脑里的数据，涉及到工作。以后是手机里的数据，涉及到照片等个人隐私。现在的智能设备直接关系到身体，比如我们佩戴的手环收集个人健康数据。第二，个人支付的安全。在中国，越来越多的人习惯于用手机里的支付宝、微信等付账，那将来会是用手表、手环付账，因为很方便，但这也对个人财产的安全产生了威胁。第三，人身的安全。2014年7月，360安全团队研究了特斯拉ModelS型汽车，发现利用汽车软件里的某个漏洞，可以远程控制车辆，实现开锁、鸣笛、闪灯，可以在汽车行进的过程中远程开启天窗。如果汤姆-克鲁斯再次出演碟中谍的时候远程遥控敌人的汽车，这一点也不奇怪。我相信黑客将来有能力通过互联网制造交通事故，这个大家可以讨论。,惠普IoT安全报告指出物联网存在五大安全隐患,一些关键数据如下：80%的IoT设备存在隐私泄露或滥用风险80%的IoT设备允许使用弱密码70%的IoT设备与互联网或局域网的通讯没有加密60%的IoT设备的web界面存在安全漏洞60%的IoT设备下载软件更新时没有使用加密,物联网安全市场虽然不大，但随着企业和个人对智能和联网设备的应用增长迅速。2015年物联网安全投入为2.815亿美元，2016年将增长23.7%，即3.48亿美元。Gartner预测今年全球将有64亿台联网设备得到使用，比2015年增长30%，2018年联网设备将达到114亿台，物联网安全投入将达到5.47亿美元。全球大量的资金投入将花在汽车、商用航空、农业和建筑领域的联网设备上，到2020年有25%的网络攻击是与物联网相关的，而物联网安全投入将占整个IT投入的10%。,密码泄露危机暴露个人信息保护短板,2011年12月21日，国内最大的程序员社区CSDN上600万用户资料被公开，同时黑客公布的文件中包含有用户的邮箱账号和密码。随后，密码泄露事件开始大范围发酵。2014年12月25日，乌云漏洞报告平台报告称，大量12306用户数据在互联网疯传，内容包括用户帐号、明文密码、身份证号码、手机号码和电子邮箱等。这次事件是黑客首先通过收集互联网某游戏网站以及其他多个网站泄露的用户名和密码信息，然后通过撞库的方式利用12306的安全机制的缺欠来获取了这13万多条用户数据。对此，专家建议用户在不同网站设置不同密码，并避免网站注册密码与邮箱密码相同，以更好地保证个人隐私。,“物联网”是近年来最火也最接地气的新兴科技概念之一，智能家电已经开始全面走向大众消费市场。不法分子入侵智能家居系统、对你家的电器为所欲为，你该怎么办?生产智能马桶、电器等设备的厂商通常并不特别关注数据安全问题。这些设备上的安全漏洞可能会让坏人扰乱家庭生活、窃取重要个人数据甚至利用窃取的信息对受害者进行敲诈勒索。在物联网大规模应用的今天，各硬件厂商多会在自己的设备中，增值WiFi组件一应市场需求，而这些硬件一旦投入使用连接到网络中，就都有可能沦为黑客的阶下囚。,2007年，时任美国副总统迪克切尼心脏病发作，被怀疑缘于他的心脏除颤器无线连接功能遭暗杀者利用。这被视为物联网攻击造成人身伤害的可能案例之一。2008年，波兰一名14岁少年用一个改装过的电视遥控器控制了波兰第三大城市罗兹的有轨电车系统,导致数列电车脱轨、人员受伤。2010年，一名前雇员远程入侵了美国得克萨斯州奥斯汀市汽车经销商的电脑系统，招致大量客户投诉车辆故障,包括喇叭无故半夜鸣响、车辆无法发动等。2011年，伊朗2011年俘获美国RQ-170“哨兵”无人侦察机，据称就是伊朗网络专家远程控制了这架飞机的操作系统。,2013年，美国知名黑客萨米卡姆卡尔在“优兔”网站发布一段视频，展示他如何用一项名为SkyJack的技术，使一架基本款民用无人机能够定位并控制飞在附近的其他无人机，组成一个由一部智能手机操控的“僵尸无人机战队”。2014年，360安全研究人员发现了特斯拉TeslaModelS车型汽车应用程序存在设计漏洞，该漏洞可致使攻击者可远程控制车辆，包括执行车辆开锁、鸣笛、闪灯以及车辆行驶中开启天窗等操作。2015年，HackPWN安全专家演示了利用比亚迪云服务漏洞，开启比亚迪汽车的车门、发动汽车、开启后备箱等操作。,物联网安全事故入侵机器马桶,芝加哥企业数据安全公司Trustwave成功入侵了一台由日本建材和住宅设备巨头骊住(Lixil)生产的机器马桶，能通过蓝牙连接操纵马桶盖的开启和关闭，甚至能让马桶向用户喷射水流。骊住声称，其生产的机器马桶其实很难被黑客操纵，因为这需要借助与马桶配套的专用遥控器让黑客的智能手机与厕所联网。甚至一些科技公司也会生产出缺乏足够保护的设备也，奥尔曼的团队就入侵了由贝尔金(Belkin)生产的模块化智能家居遥控系统WeMo该系统能让用户通过智能手机应用控制台灯、电扇、咖啡机等家用电器。,物联网安全事故火灾隐患,IOActive发现了一种操纵上述电器开关的方法，从而能让它们大搞恶作剧，甚至可以开启加热装置和电熨斗这样不但很费电，还有可能造成火灾。随着家居自动化技术的普及，家用电器厂商必须对购买者进行安全教育，包括强调更改设备出厂密码的重要性如果不更改出厂密码，那么黑客无需水平很高也有可能入侵你的设备。,物联网安全事故婴儿监控器,俄亥俄州的一对夫妇告诉Fox19电视台：他们有一天半夜醒来，听到了10个月大的女儿的联网婴儿监控器里传出了一个奇怪的男声，该名男子发出的尖叫并试图唤醒宝宝。相关婴儿监控器厂商Foscam已经向用户发布了紧急通知，提醒他们更改设备默认的用户名和密码并下载新版软件。,物联网安全事故联网汽车,2015年7月，CharlieMiller与ChrisValasek两位安全员便像公众展示了黑客是如何利用车载无线系统，进而远程操控一辆正在行驶的JeepCherokee，令车子的变速器与刹车不受驾驶者控制，而这一发现也令该吉普品牌的所有者菲亚特克莱斯勒，急忙召回已售出的140万辆汽车。2015年8月，在黑客防御会议上，CloudFlare公司主要研究员KevinMahaffey又公布了一套他们从特斯拉Models上发现的安全漏洞。通过笔记本如何黑进Models的仪表盘背后的计算机系统，又或是远程植入木马，让车子在行驶途中熄火。,物联网安全事故联网汽车,安全研究员SamyKamkarshowed也在大会上，通过一款OwnStar设备，远程向一辆通用汽车植入拦截通讯软件，可定位汽车、打开车门和解锁、启动引擎等等，令偷车轻而易举。可怕的是，类似的技巧在宝马与奔驰的应用程序上，同样凑效。联网汽车的确存在安全隐患，黑客可能控制汽车的空调、音响，甚至是车速，或是窃取车主的私人信息，这也是汽车厂商与用户长期忽视的问题。显然，汽车行业在解决汽车网络安全问题上处于较为落后的状态。,连入网络的医疗设备变得不再安全，存在软件与结构上的漏洞。心脏病学家DickCheney一直担心黑客或通过政要体内的起搏器，对其进行致命的攻击。经调查发现，目前医院大多数医疗设备都存在被黑客入侵的潜在风险，该风险甚至可能造成致命后果。然而，多数医疗机构未能对此给予足够的重视。黑客可以利用办公室的Wi-Fi网络禁用医疗设备。存在漏洞的医疗设备大多经由医疗机构的内部网络进行连接，而这些内部网络同时又与互联网相通，这就使得黑客可以通过钓鱼的方式，入侵医院员工电脑，从而进一步接入该内部网络实施破坏。又或是通过将笔记本带入医院并接入医院内部网络，进行攻击。,物联网安全事故智慧医疗,美国阿拉巴马大学的学生更用实验证明了这个担忧的严重性，“我们可以随意提高心脏速率，或者是降低速率”。该研究小组最后还把用作实验的机器人从理论上杀死了。相类似的漏洞还有可能存在于存储血液等医用冰箱设备中。此类设备提供一个供用户进行温度设定的网页界面，并会在温度超过预设范围时向医护人员发自动送警告邮件，但漏洞的存在，可令黑客通过破解密码的方式关闭该项功能，并擅自更改设定温度。类似的入侵，还能篡改CT设备的照射强度等，不管这些攻击是恶作剧还是处于利益或政治，都将对患者的身体造成不必要的损伤。,物联网安全事故智慧医疗,西班牙黑客JesusMolina入住酒店时，对房间内的操控系统产生了兴趣。为此，他特意去酒店住了几天并找到了一些安全漏洞。通过这些漏洞，Molina能够控制酒店内250多个房间的温控器、灯光、电视、百叶窗，以及门外的“请勿打扰”电子灯，而罪魁祸首就是酒店为客人提供的iPad和电子管家应用，客户控制物联网设备和浏览网页时，使用了同一个开放无线网络，黑客只要在无线网络范围内就可以轻易地实施攻击。,物联网安全事故酒店WiFi,黑客的触角还远不止如此，甚至连枪支都难免于黑客的攻击范畴。黑客夫妻RunaSandvik和MichaelAuger，在2015年7月演示了自己是如何控制无线TrackingPoint狙击步枪，他们不仅改变了步枪的变量系统、禁用步枪、错过目标，甚至还让它击中其他的目标，光是想想就已一身冷汗。,物联网安全事故枪支,信息为什么不安全,信息需要存储.信息需要共享.信息需要使用.信息需要交换.信息需要传输.,1.1物联网的概念与特征,物联网的概念与起源物联网（InternetofThings，IoT）代表了未来计算与通信技术发展的方向，被认为是继计算机、Internet之后，信息产业领域的第三次发展浪潮。最初，IoT是指基于Internet利用射频标签（RadioFrequencyIdentificationRFID）技术、电子产品编码（ElectronicProductCodeEPC）标准在全球范围内实现的一种网络化物品实时信息共享系统。后来，IoT逐渐演化成为一种融合了传统网络、传感器、AdHoc无线网络、普适计算和云计算等信息与通信技术（InformationandCommunicationsTechnology,ICT）的完整的信息产业链。,物联网的概念与起源,物联网被称为继计算机、互联网之后，世界信息产业的第三次浪潮。国务院关于加快培育和发展战略性新兴产业的决定将以物联网为代表的新一代信息技术列为重点培育和发展的战略性新兴产业，国民经济和社会发展第十二个五年规划纲要对培育发展以物联网代表的新一代信息技术战略性新兴产业做了全面部署。,物联网的概念,由于目前对于物联网的研究尚处于起步阶段，物联网的确切定义尚未统一。物联网一般的英文名称为“InternetofThings”。顾名思义，物联网就是一个将所有物体连接起来所组成的物-物相连的互联网络。物联网，作为新技术，定义千差万别。一个普遍被大家接受的定义为：物联网是通过使用射频识别（RadioFrequencyIdentification，RFID）、传感器、红外感应器、全球定位系统、激光扫描器等信息采集设备，按约定的协议，把任何物品与互联网连接起来，进行信息交换和通讯，以实现智能化识别、定位、跟踪、监控和管理的一种网络。,物联网的定义,全面感知、可靠传送、智能处理,人与自然和谐相处需要更多地感知物理世界,物联网=物理世界与信息网络的无缝连接,智能交通,远程医疗,智能家居,环境监测,公共安全,绿色农业,工业监控,物联网是指通过信息传感设备按照约定的协议，把任何物品与信息网络连接起来，进行信息交换和通讯，以实现智能化的识别、定位、跟踪、监控和管理的一种网络，它是在互联网基础上的延伸和扩展的网络。,物流管理,物联网的特征,与传统的互联网相比，物联网具有以下三个主要特征，如图1-1所示：,1全面感知“感知”是物联网的核心。物联网是具有全面感知能力的物品和人所组成的，为了使物品具有感知能力，需要在物品上安装不同类型的识别装置，例如：电子标签（Tag）、条形码与二维码等，或者通过传感器、红外感应器等感知其物理属性和个性化特征。利用这些装置或设备，可随时随地获取物品信息，实现全面感知。,2可靠传递数据传递的稳定性和可靠性是保证物-物相连的关键。为了实现物与物之间信息交互，就必须约定统一的通信协议。由于物联网是一个异构网络，不同的实体间协议规范可能存在差异，需要通过相应的软、硬件进行转换，保证物品之间信息的实时、准确传递。,3智能处理物联网的目的是实现对各种物品（包括人）进行智能化识别、定位、跟踪、监控和管理等功能。这就需要智能信息处理平台的支撑，通过云计算、人工智能等智能计算技术，对海量数据进行存储、分析和处理，针对不同的应用需求，对物品实施智能化的控制。,物联网的起源与发展,物联网概念的起源可以追溯到1995年，比尔盖茨在未来之路一书中对信息技术未来的发展进行了预测1998年，麻省理工学院（MIT）提出基于RFID技术的唯一编号方案，即产品电子代码（ElectronicProductCode，EPC），并以EPC为基础，研究从网络上获取物品信息的自动识别技术。1999年，美国自动识别技术（AUTO-ID）实验室首先提出“物联网”的概念。物联网概念的正式提出是在国际电信联盟（ITU）发布了ITU互联网报告2005：“TheInternetofThings”报告中。,2007年，美国率先在马萨诸塞州剑桥城打造全球第一个全城无线传感网。2009年1月IBM首席执行官彭明盛提出“智慧地球”的概念2009年6月，欧盟委员会正式提出了欧盟物联网行动计划1999年，中科院就启动了传感网的研究2009年8月7日，温家宝总理在无锡微纳传感网工程技术研发中心视察并发表重要讲话，提出了“感知中国”的理念2010年物联网新专业设立,各国均把物联网作为未来信息化战略的重要内容,共同点:融合各种信息技术，突破互联网的限制，将物体接入信息网络，实现“物联网”在网络泛在的基础上，将信息技术应用到各个领域，从而影响到国民经济和社会生活的方方面面未来信息产业的发展在由信息网络向全面感知和智能应用两个方向拓展、延伸和突破。,日本：2009年8月i-Japan战略,中国：2009年8月感知中国,欧盟：2009年6月物联网行动计划,美国：2008年底IBM向美国政府提出的”智慧的地球”战略,强调传感等感知技术的应用，提出建设智慧型基础设施,具体而务实，强调RFID的广泛应用，注重信息安全,在u-Japan的基础上，强调电子政务和社会信息服务应用,中国发展物联网的战略意义,保障国家信息安全国土安全,促进工业化与信息化融合,感知中国，赢得未来,抢占信息产业第三次浪潮的制高点,物联网,TD成功的重大契机,物联网发展面临的问题,标准统一化问题协议与安全问题核心技术商业模式与产业链问题配套政策和规范的制定与完善,物联网的应用,物联网应用层主要面向用户需求，利用所获取的感知数据，经过前期分析和智能处理，为用户提供特定的服务。目前，物联网应用的研究已经扩展到智能交通、智能物流、智能电网、环境监测、金融安防、工业监测、智能家居、医疗健康等多个领域。,物联网的体系结构,认识任何事物都要有一个从整体到局部的过程，尤其对于结构复杂、功能多样的系统更是如此。物联网也不例外。首先，需要了解物联网的整体结构，然后进一步讨论其中的细节。物联网是一个开放型体系架构，由于处于发展阶段，不同的组织和研究群体，对物联网提出了不同的体系结构。但不管是三层体系结构、四层体系结构还是五层体系结构，其关键技术是相通和类同的。可首先介绍一种物联网五层体系结构，物联网三、四层体系结构在此基础上进行组合即可实现。,物联网结构与层次,1.2物联网安全问题分析,物联网安全问题的来源是多方面的，包括传统的网络安全问题、计算系统的安全问题和物联网感知过程中的特殊安全问题等。1、物联网标签扫描引起的信息泄露问题2、物联网射频标受到恶意攻击的问题3、标签用户可能被跟踪定位的问题4、物联网的不安全因素可能通过互联网进行扩散的问题5、核心技术依靠国外也是很大的安全隐患问题6、物联网加密机制有待健全的问题7、物联网的安全隐患会加剧工业控制网络的安全威胁,物联网的安全特征,（1）安全体系复杂。已有的对传感网、互联网、移动网、安全多方计算、云计算等的一些安全解决方案在物联网环境中可以部分使用，但另外部分可能不再适用。信任接入问题、通信安全问题、数据安全问题等。（2）涵盖广泛的安全领域。首先，物联网所对应的传感网的数量和终端物体的规模是单个传感网所无法相比的；其次，物联网所联接的终端设备或器件的处理能力将有很大差异，它们之间可能需要相互作用；再次，物联网所处理的数据量将比现在的互联网和移动网都大得多。,物联网的安全特征,（3）有别于传统的信息安全。即使分别保证了感知控制层、数据传输层和智能处理层的安全，也不能保证物联网的安全。这是因为物联网是融合几个层次于一体的大系统，许多安全问题来源于系统整合；物联网的数据共享对安全性提出了更高的要求；物联网的应用将对安全提出了新要求，比如隐私保护不不是单一层次的安全需求，但却是物联网应用系统不可或缺的安全需求。鉴于以上原因，对物联网的发展需要重新规划并制定可持续发展的安全架构，使物联网在发展和应用过程中，其安全防护措施能够不断完善。,物联网的安全需求,不管安全威胁的来源与途径的多样化和来源的普遍化，我们可以将物联网的安全需求归结为如下几个方面：物联网接入安全、物联网通信安全、物联网数据隐私安全和物联网计算系统安全等几个方面。物联网接入安全在接入安全中，感知层的接入安全是重点。首先，一个感知节点不能被未经过认证授权的节点或系统访问，这涉及到感知节点的信任管理、身份认证、访问控制等方面的安全需求。因此，传感器网络除了可能遭受同现有网络相同的安全威胁外，还可能受到恶意节点的攻击、传输的数据被监听或破坏、数据的一致性差等安全威胁。,物联网的安全需求,物联网通信安全由于物联网中的通信终端呈指数增长，而现有的通信网络承载能力有限，当大量的网络终端节点接入现有网络时，将会给通信网络带来更多的安全威胁。首先，大量终端节点的接入肯定会带来网络拥塞，而网络拥塞会给攻击者带来可趁之机，从而对服务器产生拒绝服务攻击；其次，由于物联网中的设备传输的数据量较小，一般不会采用复杂的加密算法来保护数据，从而可能导致数据在传输的过程中遭到攻击和破坏；最后，感知层和网络层的融合也会带来一些安全问题。另外，在实际应用中，大量使用无线传输技术，而且大多数设备都处于无人值守的状态，使得信息安全得不到保障，很容易被窃取和恶意跟踪。而隐私信息的外泄和恶意跟踪给用户带来了极大的安全隐患。,物联网的安全需求,物联网数据处理安全随着物联网的发展和普及，数据呈现爆炸式增长，个人和企业追求更高的计算性能，软、硬件维护费用日益增加，使得个人和企业的设备已无法满足需求。因此云计算、网格计算、普适计算、云计算等应运而生。虽然这些新型计算模式解决了个人和企业的设备需求，但同时也使他们承担着对数据失去直接控制的危险。因此，针对数据处理中的外包数据的安全隐私保护技术显得尤为重要了。由于传统的加密算法在对密文的计算、检索方面表现的差强人意，故需要研究可在密文状态下进行检索和运算的加密算法就显得十分必要了。,物联网的安全需求,物联网应用安全物联网的应用领域非常广泛，渗透到了现实生活中的各行各业，由于物联网本身的特殊性，其应用安全问题除了现有网络应用中常见的安全威胁外，还存在更为特殊的应用安全问题。物联网应用中，除了传统网络的安全需求（如认证、授权、审计等）外，还包括物联网应用数据的隐私安全需求和服务质量需求，应用部署安全需求等。,1.3物联网信息安全,信息安全概念经常与计算机安全、网络安全、数据安全等互相交叉笼统的使用。就目前而言，信息安全的内容主要包括：硬件安全：涉及信息存储、传输、处理等过程中的各类计算机硬件、网络