物聯網( Internet of Things,loT)被稱為繼計算機、互聯網之後,世界信息產業的第三次浪潮。現在,越來越多的物理設備被連接到物聯網上,從工業機器到家庭應用,大到汽車,小到成千上萬個傳感器,從這些傳感器和設備收集到的數據可以給我們每個人帶來更大的便利,给予更好的服務。但每一個設備的連接暴露於病毒、惡意軟件和其他可能的攻擊之下,存在潛在的危險。面對這些挑戰,需要定義業務目標,評估安全風險,並採取一定的安全控制管理,減少風險。

第1步:評估物聯網的商業目標和技術風險。

通常,解決信息安全有3個屬性問題:可用性、機密性和完整性。當缺失一個屬性時,需要評估對商業目標造成的經濟損失或者品牌名譽的損害,還需要評估物聯網取得的數據是否有效、靈活,是否需要加強安全控制,數據如何流動。這是非常關鍵的一步,是下一步在技術上佈局的關鍵,類似於項目管理中的需求分析。

第2步:管理身份和完整性。

為了保證物聯網系統的完整性,並防止攻擊,必須確保只有授權方才能取得訪問權限,確保系統中的所有組件不能受到損害(如感染了惡意軟件)。如果不幸感染、必能夠儘快發現和修復。TPM给予了健壯的密碼系統和遠程認證管理,即使是不同的生產商,使用的標準也都是一樣的,因此,可以使用TPM進行身份認證並保證完整性。

第3步:加密機密數據。

用加密機制保護機密數據非常重要,傳輸的數據使用端到端的加密,竊聽者無法解密。使用的密鑰算法和加密一樣重要,使用具有高熵的密鑰更安全。同時,對於一個生命周期較長的系統,需要經常更新密鑰,甚至加密算法也需要改變。除此之外,有儲的數據也需要進行加密保護。通常,物聯網中的數據不在本地存儲,而是存儲在功能強大的服務器上,並在服務器上輕鬆加密。因此,需要充分考慮加密密鑰的存儲位置。假設密鑰能被軟件訪問,但是軟件存在缺陷,就會意外地泄露數據,造成加密失效。因此,在硬件中保存密鑰是一個很好的方法。TPM從硬件上加密,能保證密鑰不泄露。同時TPM能建立啟動鏈,避免軟件加密可能造成的漏洞,確保設備無污染。TPM可以在各種各樣的產品中使用,如打印機、複印機、多功能設備、銷售點系統和數字標牌等。

第4步:使用硬件保證關鍵系統的安全更可靠。

軟件一般都有缺陷,攻擊者能夠利用缺陷破壞軟件和系統。因此,物聯網系統的關鍵組件應該基於安全硬件,如使用TPM可防止惡意軟件攻擊易受感染的軟件,尤其是那些不可能修補或不能頻繁升級的物聯網環境中的軟件。

第5步:保護一些老設備,使其覆蓋到物聯網網路中。

許多物聯網系統包括一些功能有限的設備,如微型電池供電的傳感器或老式設備,如使用幾十年的水力發電機,這些設備需要升級,以便具有內置安全功能,防止黑客攻擊。TCG標準也對這些特殊設備制定了網絡標準。