将物联网设备连接到云端的安全解决方案

1、【Word版本下载可任意编辑】 将物联网设备连接到云端的安全解决方案 尽管人们越来越意识到需要安全性，但开发人员经常发现自己在安全性方面采取了快捷方式，将物联网设备连接到云端。在许多情况下，合适的安全机制的复杂性，微型电池供电的物联网设备中可用的有限内存和处理资源以及运输产品的需求之间的冲突似乎是不可克服的。 解决这些问题和为简化物联网设备中安全功能的实施，MicrochipTechnology和Google合作创立了一种方法，将Microchip的安全硬件功能与称为JSON Web令牌（JWT）的简单数据构造相结合。结果是确保物联网设备与Google CloudIoT服务之间相互身份验证的简

2、便方法。 本文将介绍物联网设备安全威胁，并介绍当前用于应对该威胁的设备。它将确定安全漏洞以及开发人员和嵌入式系统设计人员如何使用JWT关闭它们。 物联网设备的安全漏洞 对物联网设备的攻击可以采取多种形式，绝不仅限于大规模的物联网部署。对于希望利用用于分布式拒绝服务（DDoS）攻击的僵尸网络中的许多单个设备的资源的黑客来说，即使是的物联网也是一个很有吸引力的目标。因此，每一类物联网设备的设计者都不可防止地需要通过基于硬件的强*全机制来保护他们的系统，从而阻止攻击。 例如，使用系统内存或闪存存储用于加密和身份验证的私钥会使IoT设备容易受到攻击。更糟糕的是，黑客可以窃取这些密钥并使用它们来访问物联

3、网网络和附加的公司资源。 安全IC Microchip Technology的CryptoMemory和CryptoAuthentication IC等专用安全设备具有硬件功能基于保护私钥和其他秘密数据的机制。 EEPROM阵列集成在这些器件中，提供安全存储，只能通过器件的SPI或I 2 C串行接口访问的加密安全机制（图1）。因此，这些设备提供了一种向任何物联网设备设计添加安全存储和其他安全功能的简单方法。 图1：Microchip Technology硬件安全设备（如AT88SC0204C CryptoMemory IC）提供安全存储，使用集成加密机制保护对片上EEPROM的访问。 （图片：

4、Microchip Technology） Microchip CryptoAuthentication系列的成员（如ATECC608A）增强了安全存储根底，并支持安全设计中常用的加密算法。在其硬件功能中，该器件具有多种算法的硬件加速功能，包括： 非对称加密算法： FIPS186-3椭圆曲线数字签名算法（ECDSA） FIPS SP800-56A椭圆曲线Diffie-Hellman（ECDH） NIST标准P256椭圆曲线加密（ECC） 对称加密算法： SHA-256哈希密码术 基于哈希的消息身份验证代码（HMAC）密码术 AES-128密码术 AES-GCM（ Galois字段乘法）密码学

5、密钥派生函数（KDF）： 伪随机函数（PRF）KDF 基于HMAC的提取 - 并且扩展KDF（HKDF） 对于加密来说，这组加密功能代表了支持更别安全协议所需的全面机制列表。身份验证和安全数据交换。例如，KDF功能提供了传输层安全性（TLS）协议所需的基本机制，用于在交换甚至开始之前验证数据交换会话中的参与者。 在此协议中，TLS会话以客户端向服务器发送启动安全会话的请求。服务器使用其数字证书开展响应，客户端使用该证书来确认服务器的身份。在客户端以这种方式验证服务器之后，会话设置继续通过使用服务器的公钥来生成会话密钥，以加密使用PRF KDF或更强大的HDKF创立的一些随机值。 TLS身份验证

6、协议是Internet安全的根底。称为证书颁发机构（CA）的整个证书提供商行业已经发展为支持安全通信的这一关键组件。公司从CA获得可信证书，以便在自己的服务器上安装，以支持上述标准TLS服务器身份验证协议。 对于物联网应用，网络与公司广泛而深入地连接，这种单向缺陷以确保保护。例如，具有欺诈性证书的黑客可以将自己表示为物联网设备的合法服务器，作为更广泛攻击的一部分。 尽管存在风险，但物联网开发人员经常难以实施TLS相互身份验证协议，因为证书，密钥，使用TLS实现客户端身份验证所需的软件可能会超出许多物联网设备的功能。通过合作，Microchip Technology和Google创立了一种替代方

7、法，将ATECC608A功能与称为JSON Web令牌（JWT）的简单数据构造相结合。结果是确保物联网设备与Google Cloud IoT服务之间相互身份验证的简便方法。 基于JWT的身份验证 在RFC 7519中指定，JWT是行业标准容器关于准备和传输JWT的实体的信息，称为索赔。 JWT构造本身包含三个部分： 标题，包括JSON名称：密码算法的名称（“alg”）的值对（例如，ECDSA的“EC256”使用NIST P-256曲线）用于签署令牌和令牌的类型（“typ”）（这些令牌的“JWT”） Payload，包括JSON名称：每个索赔的值对 签名，它使用标头中指定的算法来编码密钥以及标头

8、和声明集，每个单独转换为加密前的base64 URL编码表示 RFC 7519为在有效负载或其他部分中指定声明提供了极大的灵活性。该标准甚至允许在没有签名或加密的情况下创立的不安全JWT，在这种情况下，标头将包括算法的名称：值对alg“：”none“。对于与Google Cloud IoT服务一起使用的JWT，Google需要签名部分以及包含三个强制声明的有效负载，包括： “iat” - 以ISO 8601 UTC时间戳格式创立令牌时的“颁发时间”，自1970-01-01T00：00：00Z以来的秒数（例如，20*年6月30日的1561896000 12 ：格林威治标准时间00:00 PM）

9、“exp” - 指定令牌到期时间的UTC时间戳，24小时超过“iat”值加上10分钟宽限期，以解决不同之间的系统时钟偏差客户端和服务器（例如，20*年7月1日1561982400，格林威治标准时间00:00 00:00） “aud” - 包含开发人员Google Cloud项目ID的字符串 为了探索密钥生成和其他ATECC608A安全功能，开发人员可以快速建立一个围绕Microchip SAM D21 Xplained Pro评估套件构建的综合开发环境。基于Microchip ATSAMD21J18A 32位Arm Cortex -M0 + MCU，SAM D21 Xplained Pro套件

10、提供了Microchip软件框架（ASF）支持的完整硬件平台驱动程序和代码模块。 为了评估包括ATECC608A在内的CryptoAuthentication设备，开发人员可以简单地将CryptoAuth XPRO-B附加板插入Xplained Pro板的两个扩展头之一。 Microchip提供了用于评估CryptoAuthLib与ATECC608A的安全功能的例如软件。更进一步，开发人员可以将Microchip ATWINC1500-XPROWi-Fi附加板插入另一个标头，以运行Microchip例如软件，该软件演示了本文中描述的相互流程，包括TLS服务器和JWT设备。 结论 虽然物联网应用安全带来了多项要求，但关键挑战通常在于为物联网设备和云资源实施相互身份验证。在资源有限的物联