物联网中信任管理的理论与实践

第1章 绪论

 1.1物联网的起源和发展

 1.1.1物联网的起源

 物联网(Internet of Things，IoT)这一概念昀早出现在 1995年比尔？盖茨撰写的《未来之路》一书中，其中提到了物物互联，但在当时这仅作为一种对未来的设想。 1998年，美国麻省理工学院(MIT)Auto-ID中心的 Ashton提出了一种物联网的构想，次年由 Auto-ID中心使用当时的无线射频识别技术(Radio Frequency Identification，RFID)及互联网技术对其进行了阐述，这被认为是现代物联网的雏形，并对物联网的定义为：在计算机互联网的基础上，利用 RFID、无线数据通信等技术，构造一个覆盖世界上万事万物的网络，以实现物品的自动识别和信息的互联共享。 2005年，ITU发布了《 ITU互联网报告 2005：物联网》的报告，报告从物联网的概念、可用技术、市场机会、潜在挑战，发展中国家的机遇、前景和新生态七个方面展开阐述。在报告中，ITU将物联网定义为：任何物体在任何时间任何地点的数据交换，并指出无线传感技术将是物联网技术的核心。但是受限于时代，这份报告仅描述了无线传感器和无线射频识别技术在物联网中的应用。随着这些年的发展，在《物联网参考体系结构》 (ISO/IEC 30141:2018)和《物联网参考体系结构》 (GB/T 33474—2016)中给出了物联网的精确定义：

 Infrastructure of interconnected entities， people， systems and information resources together with services which processes and reacts to information from the physical world and virtual world.

 通过感知设备，按照约定协议，链接物、人、系统和信息资源，实现对物理和虚拟世界的信息进行处理并做出反应的智能服务系统。

 相较于早期的定义，ISO/IEC 30141:2018和 GB/T 33474—2016中的定义更多地强调了物联网不仅包含了物与物之间的互联，也包含了人与人、人与物之间的互联，同时明确了物联网系统不仅包含信息的互联，也包含了信息的处理。在这一定义下，物联网涵盖了信息的生成、传输和处理以及针对信息做出响应的信息全生命周期。网络一端的人、设备和传感器能够通过多种接入方式连接到因特网(Internet)，因特网另一端的人或物可以访问和控制对方，从而实现人与物的相连。物联网技术已经广泛应用于工业制造、智能电网、智慧城市、智慧医疗、物流、交通、环境监测、安防、智能家居等，有力推动了工业、军事、民用等领域信息化的发展[1]。

 在物联网的概念走向普罗大众后，政府机构、企业和相关组织也展开了针对物联网的一系列工作。2008年，IBM提出了“智慧地球”的概念，使用物联化、互联化、智能化的方式，为行业、基础设施、流程、城市和整个社会提供一种提高生产效率和响应能力的方法。2009年，奥巴马政府公开对“智慧地球”给予肯定，表示物联网技术是美国在 21世纪保持和夺回竞争优势的方式。2009年，欧盟推出了 Internet of Things-an Action Plan for Europe《物联网——欧洲行动计划》，提出要采取措施以确保欧洲在建构新型互联网的过程中起主导作用。2009年，韩国通信委员会出台了《物联网基础设施构建基本规划》，旨在构建世界先进的物联网基础设施、发展物联网服务、研发物联网技术、营造物联网推广环境。

 我国政府同样对物联网的研究和发展给予了重视，2009年时任总理高度肯定了“感知中国”的战略建议①，表示中国应当抓住机遇，大力发展物联网技术。2013年 2月，国务院发布了《国务院关于推进物联网有序健康发展的指导意见》的文件，同年 11月，国家发展改革委、工业和信息化部、科技部、教育部等部门联合发布了《物联网发展专项行动计划》，标志着我国将物联网技术研发作为国家发展战略的重要组成因素。2017年，《信息通信行业发展规划物联网分册(2016—2020年)》发布，其中总结了我国物联网 10年发展的成就和存在的问题，明确了我国物联网的发展方向和发展规划。

 1.1.2物联网的发展

 随着物联网技术体系的不断成长，技术指标逐渐完善，相应的市场规模也不断壮大。全球移动通信系统协会(GSMA)所发布的《中国移动经济发展报告 2020》显示，截至 2019年，全球物联网设备总链接数达到了 120亿，预计在 2025年，这一数字将上升至 240亿以上②。在我国，物联网技术被认定为支撑“网络强国”和“中国制造 2025”等国家战略的重要基础，在推动国家产业结构升级和优化过程中发挥了重要作用。《信息通信行业发展规划物联网分册(2016—2020年)》显示，在“十二五”期间我国在物联网关键技术建设方面取得了显著成效，其中政策环境不断完善，相关部门制定和实施了 10个物联网发展专项行动计划；产业体系初步建成，已形成包括芯片、元器件、设备、软件、系统集成、运营、应用服务在内的较为完整的物联网产业链；创新成果不断涌现，光纤传感器技术、红外传感器技术达到国际先进水平，主导制定多项物联网国际标准；应用示范持续深化，在智能交通、车联网、物流追溯、安全生产、医疗健康和能源管理等领域已经形成一批成熟的运营平台和商业模式。根据我国工业和信息化部的数据，我国工业物联网市场收入的年增长率约为 25%③。无论技术还是市场，物联网都蕴含着巨大的潜力。

 随着物联网技术的飞速发展，其伴随的安全问题也日益凸显。与传统信息系统不同，物联网所面临的安全问题不但会造成信息、数据、经济的损失，还可能带来对财产、生命的损害。在物联网并不算长的发展历史中，发生过几次重要的安全事件。

 ①《物联网的“感知中国”之路》，http://www.cac.gov.cn/2017-06/21/c_1121182431.htm。

 ② GSMA， The Mobile Economy 2020， https://www.gsma.com/mobileeconomy/wp-content/uploads/2020/03/GSMA_MobileEconomy 2020_Global.pdf。

 ③中国信息通信研究院，《工业互联网产业经济发展报告 (2020年)》，http://www.caict.ac.cn/kxyj/qwfb/bps/202003/ P020200324455621419748.pdf。

 安全研究员 Marie Moe援引 2008年密歇根大学的一项研究，从起搏器中提取敏感的个人信息是完全可行的，甚至可以通过改变起搏规律或关闭起搏器来威胁患者的生命； 2011年，安全研究员 Jay Radcliffe在 Medtronic胰岛素泵中发现了一个安全漏洞，攻击者可以使用这个漏洞完全控制胰岛素泵①。这一系列事件被认定为物联网攻击造成人身伤害的案例。

 2008年，波兰一名少年黑客用一个改装过的电视遥控器控制了波兰第三大城市罗兹的有轨电车系统，导致数列电车脱轨； 2011年，伊朗俘获美国 RQ-170“哨兵”无人侦察机，据称就是伊朗网络专家远程控制了这架飞机的操作系统；2013年，美国黑客萨米？卡姆卡尔发布了一段视频，展示他如何用 SkyJack技术，使一架基本款民用无人机能够定位并控制飞在它附近的其他无人机，从而组成一个由一部智能手机操控的“僵尸无人机战队”； 2014年，360安全研究人员发现了特斯拉Tesla Model S车型汽车应用程序存在的设计漏洞，该漏洞致使攻击者可远程控制车辆，包括执行车辆开锁、鸣笛、闪灯以及在车辆行驶中开启天窗等操作；2015年，HackPWN安全专家演示了利用比亚迪云服务漏洞开启比亚迪汽车的车门、发动汽车、开启后备厢等操作。这一系列事件体现了智慧交通和车联网所面临的安全威胁②。

 2010年，“震网”病毒针对伊朗核设施展开了攻击，并造成了极大的破坏，这是第一个虚拟空间针对真实世界里的工业控制系统进行的攻击③；2014年，西班牙三大主要供电服务商旗下超过 30%的智能电表被检测发现存在严重的安全漏洞，入侵者可以利用该漏洞进行电费欺诈，甚至直接关闭电路系统④；2018年 6月，IBM 研究团队发现，Libelium、 Echelon和 Battelle三种智慧城市主要系统中存在多达 17个安全漏洞，包括默认密码、可绕过身份验证、数据隐码等，攻击者利用这些漏洞能够控制报警系统、窜改传感器数据； 2019年 4月，研究人员披露可能是迄今昀为严重的物联网摄像头安全漏洞，受影响的监控摄像头数量超过 200万，包括来自 HiChip、TENVIS、SV3C、VStarcam、Wanscam、NEO Coolcam、Sricam、Eye Sight和 HVCAM等多个摄像头厂商的产品，这些产品都使用了名为 iLnkP2P的对等网络(P2P)通信组件，该组件包含两个漏洞，可能会导致远程黑客能够找到并接管设备中使用的易受攻击的摄像机，同时监视其所有者。这一系列事件体现了工业物联网、智慧城市所面临的安全威胁。

 2016年 9月 20日，攻击者利用针对物联网设备的恶意代码 Mirai组建了僵尸网络，并针对 KrebsOnSecurity.com发动大规模的 DDoS攻击，攻击峰值达到 665Gbit/s；同年， Mirai针对法国网站主机 OVH的攻击突破 DDoS攻击纪录，其攻击达到 1.1Tbit/s，昀大达到 1.5Tbit/s；2016年 10月 21日，美国域名服务商 Dyn遭受大规模 DDoS攻击，其中重要的攻击源确认来自 Mirai，这次攻击导致 Amazon、Spotify、Twitter等知名网站在一段时间内无法访问；Mirai事件被认为是物联网安全中的里程碑事件，其攻击范围、攻击强度都超出了传统的攻击事件，而 Proofpoint公司的一份报告指出，当前僵尸网络中已有 25%以上的被感染设备是 IoT设备而非传统的计算机，并且这一数字仍在逐年上升。

 ① http://yao.dxy.cn/article/505392。②《中国大百科全书第三版》网络版“物联网安全”词条。

 ③中国电子信息产业发展研究院， https://www.ccidgroup.com/info/1105/28357.htm。

 ④中国信息通信研究院， http://www.caict.ac.cn/kxyj/caictgd/201903/t20190321_196523.htm。

 尽管物联网面临如此严峻的安全形势，但是安全意识的建立仍有很大欠缺。2016年， Pew的一份研究报告表明，52%的用户同意将其个人医疗数据通过个人健康设备与医生共享，44%的用户愿意与厂商共享其生产的温湿度传感器所收集的数据。而厂商层面则认为额外的安全措施会提高无谓的生产成本。因此，展开对物联网安全的研究，树立安全意识，设计合适的安全机制，是非常有必要的。

 1.2物联网与物联网安全现状

 想要研究一个问题，第一步应当深入了解和认识所研究的对象。因此在研究如何确保物联网安全之前，需要针对物联网自身以及其所面临的安全威胁进行探讨。首先是物联网的起源和发展，以及架构、特点和发展前景，然后是物联网的潜在攻击者和攻击模型，再依据攻击动机探讨物联网中安全的范围以及定义，昀后是物联网所面临的安全威胁[2]。

 1.2.1物联网的架构、特点和发展前景

 不同的学者和研究机构对物联网的架构有不同的描述方式，包括三层架构、四层架构、五层架构和七层架构，如图 1-1所示。

 (1) 三层架构：一种与云计算紧密相关的物联网架构，它自下而上将物联网体系划分为无线传感器网络(Wireless Sensor Network，WSN)层、云服务层和应用层。

……