物聯(lián)網(wǎng)（IoT）中的身份認(rèn)證

作者：Marc Canel，Imagination公司戰(zhàn)略與安全部門副總裁

物聯(lián)網(wǎng)中的身份認(rèn)證

物聯(lián)網(wǎng)（IoT）世界的一大特征就是有大量的設(shè)備需要從它們操作的環(huán)境中采集數(shù)據(jù)，并將這些信息上傳到網(wǎng)絡(luò)中或云端的分析系統(tǒng)。這些設(shè)備分布在整個(gè)網(wǎng)絡(luò)的邊緣，有時(shí)它們具備通信的能力，在其他一些情況下它們則是通過邊緣節(jié)點(diǎn)將數(shù)據(jù)上傳給分析系統(tǒng)。創(chuàng)建的數(shù)據(jù)是關(guān)于環(huán)境的（比如溫度、速度等），也可以是設(shè)備或系統(tǒng)操作的原始數(shù)據(jù)。

分析應(yīng)用程序會處理大量的數(shù)據(jù)，它們根據(jù)這些數(shù)據(jù)做出決策，這些決策將會影響系統(tǒng)以及用戶的安全，決策背后的財(cái)務(wù)考慮可能是相當(dāng)重要的。數(shù)據(jù)起著關(guān)鍵性的作用，它是信任的基礎(chǔ)，如果數(shù)據(jù)不可靠的話那么也就沒有多大價(jià)值。昂貴且復(fù)雜的系統(tǒng)在做出安全或操作的決策時(shí)需要信任它們處理的數(shù)據(jù)，對數(shù)據(jù)的信任會給所有系統(tǒng)帶來價(jià)值。對物聯(lián)網(wǎng)設(shè)備數(shù)據(jù)的有效依賴是建立在從設(shè)備開始的安全框架的基礎(chǔ)上，可信任設(shè)備才會上傳可信任的數(shù)據(jù)。

安全，身份認(rèn)證以及服務(wù)提供商

提供高價(jià)值成功服務(wù)是建立在穩(wěn)健的安全模型上的，它們會平衡安全成本和服務(wù)的需求，平衡用戶以及需要處理的數(shù)據(jù)。身份認(rèn)證似乎總是攻擊的目標(biāo)，比如用戶、應(yīng)用或者設(shè)備的身份認(rèn)證。身份的竊取不僅限于消費(fèi)者，它會影響物聯(lián)網(wǎng)系統(tǒng)的多個(gè)方面。

身份認(rèn)證是安全系統(tǒng)的基本組成部分，它是一個(gè)復(fù)雜的概念，必須要從多個(gè)維護(hù)來實(shí)現(xiàn)。它是整個(gè)生態(tài)系統(tǒng)中各個(gè)角色間建立信任的方式，推動著供應(yīng)鏈以及產(chǎn)品操作安全的發(fā)展。

建立設(shè)備的身份認(rèn)證

物聯(lián)網(wǎng)設(shè)備的身份認(rèn)證是所有組件的聚合信息，一個(gè)設(shè)備通常包括多個(gè)構(gòu)建模塊，一些是物理存在的，一些則是邏輯的。整個(gè)板卡由主要的應(yīng)用處理器以及其他組件（比如DSP、GPU、NNA）組成，因此很多這些模塊將嵌套在其他模塊中。

板卡作為一個(gè)整體具有一個(gè)身份，單個(gè)的應(yīng)用程序處理器也具備一個(gè)身份。軟件包括設(shè)備驅(qū)動、管理程序、運(yùn)行操作系統(tǒng)和應(yīng)用的虛擬機(jī)，這些組件都分別具備一個(gè)身份。

? 身份是一個(gè)綜合性的標(biāo)識——基于設(shè)備的所有功能模塊
? 分布式——包括供應(yīng)鏈內(nèi)的所有參與者，直到結(jié)束

設(shè)備中的每個(gè)組件，無論是物理的還是邏輯的都有自己的屬性，它可能已經(jīng)獲得認(rèn)證，也可能依賴其他組件，它包含的數(shù)據(jù)可能表示標(biāo)準(zhǔn)的身份認(rèn)證，比如IP地址或者M(jìn)AC地址。在某些情況下該組件是一個(gè)非常安全的容器，比如SIM或eSIM，它代表蜂窩網(wǎng)絡(luò)運(yùn)營商的身份以及特定的權(quán)限在規(guī)定的頻譜內(nèi)實(shí)現(xiàn)通信。

這些組件的身份可能隨著時(shí)間發(fā)生變化，IP地址和eSIM信息根據(jù)服務(wù)提供商的不同而不同，服務(wù)提供商擁有物聯(lián)網(wǎng)設(shè)備需要訪問的資源。該設(shè)備會更新它的軟件，新的應(yīng)用將會被安裝，并且在新的硬件或軟件功能框架內(nèi)推出新版本，同時(shí)會具備自己的身份標(biāo)識和認(rèn)證。這些新組件提供了新的屬性標(biāo)識，這有助于完善整個(gè)設(shè)備的身份標(biāo)識。

整個(gè)設(shè)備是所有組件構(gòu)成的網(wǎng)絡(luò)，每個(gè)組件都有自己的身份憑證，從而參與設(shè)備身份標(biāo)識的整體定義，并且可能有不同的第三方來驗(yàn)證其身份標(biāo)識和屬性。

設(shè)備和組件的認(rèn)證是身份認(rèn)證的一個(gè)關(guān)鍵功能。認(rèn)證的應(yīng)用程序需要有一個(gè)身份標(biāo)識來使用安全應(yīng)用程序?qū)ψ约哼M(jìn)行身份驗(yàn)證，并且需要第三方對其聲明進(jìn)行身份驗(yàn)證。然后該設(shè)備就變成了一個(gè)復(fù)雜組件的系統(tǒng)，依賴于第三方進(jìn)行身份驗(yàn)證。

建立身份認(rèn)證面臨的挑戰(zhàn)

身份認(rèn)證的主要挑戰(zhàn)是多樣化。有幾種標(biāo)準(zhǔn)的身份認(rèn)證方案（比如MAC地址（IEEE）、IP地址（IETF、蜂窩網(wǎng)絡(luò)SIM（GSMA），TCG/TPM）。還有一些事實(shí)上的行業(yè)標(biāo)準(zhǔn)，比如安卓，一家公司可以強(qiáng)加在整個(gè)生態(tài)系統(tǒng)上的身份認(rèn)證框架。然而當(dāng)涉及到應(yīng)用程序、虛擬機(jī)和各種硬件組件時(shí)卻沒有標(biāo)準(zhǔn)，行業(yè)內(nèi)標(biāo)準(zhǔn)的多樣化使得定義的一致性變得極具挑戰(zhàn)性。

供應(yīng)鏈中的身份認(rèn)證

沒有了身份認(rèn)證那么系統(tǒng)間的信任就不能建立，通過跟蹤板卡上硬件和軟件的身份標(biāo)識客戶可以獲取其來源。在生產(chǎn)時(shí)設(shè)計(jì)了身份標(biāo)識，那么在整個(gè)供應(yīng)量以及操作過程中都可以完全追溯。一個(gè)設(shè)備的所有組件都能在一致性的方案中被認(rèn)證而且在供應(yīng)鏈中是可追溯的都是可以被信任的。

遠(yuǎn)程設(shè)備認(rèn)證是一項(xiàng)基本服務(wù)，允許設(shè)備（比如物聯(lián)網(wǎng)設(shè)備）或其他終端向依賴方、服務(wù)器或服務(wù)來驗(yàn)證自身。這使得依賴方能夠了解設(shè)備的特性并判斷其可靠性。這個(gè)概念適用于設(shè)備中的所有子組件。

遠(yuǎn)程認(rèn)證是其他協(xié)議和服務(wù)的基礎(chǔ)，這些協(xié)議和服務(wù)需要了解設(shè)備的可靠性。一個(gè)例子是在設(shè)備上進(jìn)行生物匹配認(rèn)證。依賴方需要知道設(shè)備能否進(jìn)行安全和正確的匹配，另一個(gè)例子是內(nèi)容保護(hù)，依賴方希望知道設(shè)備將會保護(hù)的數(shù)據(jù)。在允許設(shè)備訪問公司數(shù)據(jù)之前企業(yè)需要知道該設(shè)備是否值得信任。

認(rèn)證的概念包括：
? 設(shè)備硬件制造和型號的認(rèn)證
? 處理器制造和型號的認(rèn)證，特別是面向安全的芯片組
? 設(shè)備上運(yùn)行軟件的檢測
? 設(shè)備的配置和狀態(tài)
? 設(shè)備的環(huán)境特征，比如GPS定位

為了在物聯(lián)網(wǎng)市場上實(shí)現(xiàn)統(tǒng)一的身份認(rèn)證，這個(gè)行業(yè)定義了實(shí)體認(rèn)證令牌（EAT），這個(gè)概念正在被國際互聯(lián)網(wǎng)工程任務(wù)小組（IETF）標(biāo)準(zhǔn)化。

身份認(rèn)證格式的標(biāo)準(zhǔn)化

合作是解決這個(gè)問題的關(guān)鍵，幾乎沒有行業(yè)的參與者能夠成功的將自己的身份認(rèn)證規(guī)范強(qiáng)加于某個(gè)行業(yè)。參與到標(biāo)準(zhǔn)化組織中來是成功的關(guān)鍵，通過公開透明的合作可以定義經(jīng)過驗(yàn)證的、符合全球標(biāo)準(zhǔn)并且滿足安全需求的方案。

實(shí)體認(rèn)證令牌（EAT）的概念是基于二進(jìn)制對象表示（CBOR）令牌的規(guī)則，這個(gè)規(guī)范在國際互聯(lián)網(wǎng)工程任務(wù)小組（IETF）的RFC 77049條款中是經(jīng)過標(biāo)準(zhǔn)化的，它支持多種數(shù)據(jù)類型，這種格式非常的緊湊，可以在小型物聯(lián)網(wǎng)設(shè)備中實(shí)現(xiàn)。認(rèn)證部分可以在聲明中定義，設(shè)備級別的實(shí)體認(rèn)證令牌（EAT）由設(shè)備的子模塊EAT組成。每個(gè)可以創(chuàng)建EAT的模塊都可以通過專屬的信任權(quán)限來實(shí)現(xiàn)這一點(diǎn)。認(rèn)證部分應(yīng)該由EAT用戶（通常是依賴方）通過密碼來驗(yàn)證。

然而EAT的概念只定義了一個(gè)高級的架構(gòu)來描述一個(gè)組件的身份標(biāo)識以及屬性。認(rèn)證特定的用例和場景并且為EAT概念建立標(biāo)準(zhǔn)化規(guī)范變得非常的重要，這種方法消除了多樣化，它將整個(gè)行業(yè)歸結(jié)到一種身份標(biāo)識格式（EAT）規(guī)范下，并讓各個(gè)行業(yè)定義特定的標(biāo)準(zhǔn)化配置文件。行業(yè)內(nèi)此類活動的一個(gè)例子就是FIDO聯(lián)盟的成立，該聯(lián)盟致力于物聯(lián)網(wǎng)設(shè)備認(rèn)證規(guī)范的制定，從而實(shí)現(xiàn)依賴方與物聯(lián)網(wǎng)設(shè)備之間的互操作性。

標(biāo)準(zhǔn)化的身份認(rèn)證將會大大提高物聯(lián)網(wǎng)系統(tǒng)的安全性，它將使得設(shè)備內(nèi)的所有組件都是可追溯的，它們將貫穿整個(gè)供應(yīng)鏈，一直到最終用戶和消費(fèi)者。這也有助于進(jìn)行數(shù)據(jù)分析，操作期間可以不用重復(fù)輸入密碼，此外還將支持一些高級的功能，比如動態(tài)登錄、設(shè)備與應(yīng)用程序的綁定。

設(shè)備的登錄和綁定

可信任的數(shù)據(jù)采用標(biāo)準(zhǔn)化的身份認(rèn)證格式，并且遵循一定的安全機(jī)制實(shí)現(xiàn)設(shè)備與分析應(yīng)用程序間的綁定。

實(shí)現(xiàn)設(shè)備與應(yīng)用程序綁定的可信的安全機(jī)制是給分析系統(tǒng)提供可信任數(shù)據(jù)的基礎(chǔ)，F(xiàn)IDO聯(lián)盟則致力于設(shè)計(jì)這些協(xié)議，目的是將整個(gè)物聯(lián)網(wǎng)市場標(biāo)準(zhǔn)化，采用一種共同的身份格式以及綁定機(jī)制。

總結(jié)和建議

身份認(rèn)證是物聯(lián)網(wǎng)系統(tǒng)中安全和可信任數(shù)據(jù)的基礎(chǔ)。

建議行業(yè)內(nèi)提倡采用如下措施：
1. 標(biāo)準(zhǔn)化的身份認(rèn)證格式：IETF/EAT
2. 標(biāo)準(zhǔn)化的登錄和綁定協(xié)議：FIDO聯(lián)盟/IETF
3. 標(biāo)準(zhǔn)化的云服務(wù)API，實(shí)現(xiàn)設(shè)備身份以及所有權(quán)的可追溯性