IoT的網(wǎng)絡安全議題已提上日程

長期以來，大多數(shù)IoT/嵌入式系統(tǒng)廠商從未將在安全領(lǐng)域的投入作為優(yōu)先事項。他們的理由是：為什么要為小概率事件花費資金？然而，隨著一系列網(wǎng)絡安全法規(guī)的逼近，這種疏忽將成為一個危險的選擇。

BG Networks的CEO兼聯(lián)合創(chuàng)始人Colin Duggan最近表示：“網(wǎng)絡安全并不能幫助推銷IoT產(chǎn)品?！彼a充說，讓公司承諾IoT的網(wǎng)絡安全“比聽起來要困難得多?！?/p>

盡管不安全的連接系統(tǒng)已經(jīng)造成了嚴重的損害，但這一觀點一直成立。

一個著名的例子，據(jù)報道是由俄羅斯發(fā)起的攻擊，使得Colonial輸油管道在2021年癱瘓。那次黑客攻擊導致美國東海岸的燃料短缺，是美國石油基礎(chǔ)設(shè)施目標受到的最大網(wǎng)絡攻擊。

Colonial輸油管道的勒索軟件攻擊是由于一個被攻破的密碼引發(fā)的。輸油管道上可能發(fā)生的事在日常IoT設(shè)備中更容易發(fā)生，汽車、醫(yī)療設(shè)備、聯(lián)網(wǎng)家用電器和嵌入式系統(tǒng)。

IoT設(shè)計師再也無法忽視潛在的安全威脅，或抵制確保其IoT/嵌入式設(shè)備安全所需的必要步驟。

全球各國政府已經(jīng)意識到這個問題，并正在制定一系列新的和更新的網(wǎng)絡安全法規(guī)。

這些法規(guī)包括：UNECE的R155/R156汽車網(wǎng)絡安全法規(guī)；FDA更新的醫(yī)療器械規(guī)定；白宮最近發(fā)布的國家網(wǎng)絡安全戰(zhàn)略；正在出臺的EU Cybersecurity Resilience Act；以及英國議會剛剛通過的Product Security and Telecommunications Infrastructure Act 2022。

漏洞管理

這些法規(guī)旨在加強關(guān)鍵基礎(chǔ)設(shè)施的網(wǎng)絡安全并保護個人數(shù)據(jù)。Duggan表示，理解這些法規(guī)的關(guān)鍵是“漏洞管理”。Duggan強調(diào)，政府“希望將責任放在制造IoT設(shè)備的公司身上”。

在更新后的國家網(wǎng)絡安全戰(zhàn)略中，白宮明確表示：“我們必須重新平衡捍衛(wèi)網(wǎng)絡空間的責任，將網(wǎng)絡安全的負擔從個人、小企業(yè)和地方政府轉(zhuǎn)移到那些最有能力、最適合減少我們所有人風險的組織身上?！?/p>

換句話說，行業(yè)不能再推諉責任。IoT設(shè)備制造商將對其硬件的漏洞及其使用的軟件負責。

對IoT/嵌入式系統(tǒng)公司的預期包括：

安全設(shè)計：評估威脅和風險，為每個新的IoT設(shè)備確定必要的安全功能。
安全支持和軟件更新：IoT設(shè)備供應商必須維護和更新與IoT網(wǎng)絡安全相關(guān)的文檔。
告知消費者，以便他們對購買和使用的產(chǎn)品的安全有足夠的了解。
售后漏洞管理。監(jiān)控產(chǎn)品漏洞，迅速應對事件并發(fā)布軟件更新。

為什么是現(xiàn)在？

對世界各國政府來說，惡意網(wǎng)絡活動，現(xiàn)在往往由犯罪組織和國家發(fā)起，已從麻煩事演變成國家安全威脅。

隨著IoT成為關(guān)鍵基礎(chǔ)設(shè)施的組成部分，網(wǎng)絡安全立法已成為許多政府的優(yōu)先事項。

白宮表示，“政府必須以協(xié)調(diào)一致的方式運用國家力量的所有工具來保護我們的國家安全、公共安全和經(jīng)濟繁榮?！?/p>

歐盟也發(fā)出了類似的警告。歐洲即將出臺的Cyber Resilience Act指出，“數(shù)字硬件和軟件產(chǎn)品是網(wǎng)絡攻擊成功的主要途徑之一。在聯(lián)網(wǎng)的環(huán)境中，一個產(chǎn)品的網(wǎng)絡安全事件可能影響到整個組織或整個供應鏈?！?/p>

應該關(guān)注SBOM

SBOM（software bill of materials）是監(jiān)管機構(gòu)特別關(guān)注的領(lǐng)域。

BG Network的Duggan引用了最近針對3CX的一次黑客攻擊，3CX是一家電話軟件供應商。他形容這次攻擊仍然是一種“尚未完全解決的實時事件”，并表示它“似乎可以歸因于朝鮮”。這次襲擊針對的是軟件供應鏈。

黑客攻擊了數(shù)以十萬計的組織使用的3CX桌面電話軟件，在客戶網(wǎng)絡內(nèi)植入了竊取信息的惡意軟件。

Duggan提到，“他們還不知道公司是如何被滲透的”，他對滲透作出了推測：“當你更新時，軟件會加載到你的計算機上。當它這樣做時，它實際上會加載一個DLL（dynamic link library），這將使攻擊者能夠控制你的計算機。這將允許他們遠程控制你的計算機。”

軟件供應鏈黑客攻擊讓IoT社區(qū)感到恐慌。Duggan問道：“那么，如果你在IoT軟件中使用開源，你如何知道該軟件是安全的？它在互聯(lián)網(wǎng)上隨時可能被任何人修改。那么如何確保你整合的軟件是安全的呢？”

安全性“不只是做好一件事”

Foundries.io的主席Ian Drew承認，IoT行業(yè)在應對網(wǎng)絡安全方面已經(jīng)取得了很大進步，但還不夠。

Drew表示，對許多IoT設(shè)備開發(fā)人員來說，網(wǎng)絡安全很難，因為它“不只是一件事”。

“安全不像……我已經(jīng)在我使用的芯片中使用了Arm的trustzone，所以它是安全的。”他說，安全是一個系統(tǒng)層面的問題?！皬陌踩龑?，一直到最好的OTA系統(tǒng)，以及中間的TPM（Trusted Platform Module）技術(shù)，這些技術(shù)旨在提供基于硬件的安全相關(guān)功能。即使這樣，你還需要確保它在整個生命周期內(nèi)都是可更新的，并經(jīng)過測試?！?/p>

許多IoT設(shè)備開發(fā)者的操作方式仍然傾向于：首先選擇一塊芯片，使用低成本設(shè)備（如Raspberry Pi）成功完成PoC，然后意識到缺乏安全性。Drew說：“這是因為一開始沒有人真正考慮安全問題。你認為你會在之后解決安全問題，但這很困難。然后，你會面臨交付產(chǎn)品的壓力。你最終會做最低限度的安全措施，以便將產(chǎn)品投放市場?！?/p>

正如Foundries.io的CEO George Grey在上個月嵌入式世界大會上的主題演講中所強調(diào)的，“安全需要從一開始就進行架構(gòu)和內(nèi)置，而不是在產(chǎn)品開發(fā)周期結(jié)束時作為一個‘附加服務’添加。”

然而，IoT設(shè)計師之間的對話正在發(fā)生改變，Drew說。從嵌入式世界大會回來后，他說很多客戶主動提出了安全問題。Drew說：“他們已經(jīng)看到了正在起草的EU Cybersecurity Resilience Act，他們希望進行一次對話。”

從“推動”到“吸引”

Silicon Labs的CTO Daniel Cooley也表示贊同。他解釋說，網(wǎng)絡安全問題已經(jīng)從“推動”轉(zhuǎn)變?yōu)椤拔?。許多客戶希望談論從一開始就建立安全性，而不是事后進行改造。

Cooley說：“如果我們正在銷售兩個部件，一個具有更高的安全性，價格較高，那么我們的客戶現(xiàn)在會購買更安全的解決方案。”

促使整個行業(yè)開始不同思考的是，Cooley指出，企業(yè)們正轉(zhuǎn)向“中期生命周期管理階段，涉及所有IOT設(shè)備”。幾年前，他們剛剛推出新產(chǎn)品?，F(xiàn)在，“他們開始意識到，如果在設(shè)備端加強安全性，管理這些設(shè)備的生命周期要容易得多。”

Cooley說，公司必須在安全芯片中提供兩個基本要素，即它“需要具有唯一識別能力（通常稱為物理不可復制功能）”，并且它“需要具有可通過軟件更新的架構(gòu)。所以不要硬編碼或不要將所有內(nèi)容寫入只讀存儲器?！?/p>

他說：“我們確實需要一顆具有硬件信任根（Roots of Trust）的芯片，具有密鑰和存儲功能。從那里，你可以形成經(jīng)過身份驗證的軟件運行的基礎(chǔ)……當代碼接觸云時，特別是當它從消費者那里收集數(shù)據(jù)時，我們確保它運行經(jīng)過授權(quán)的代碼，而不是運行別人的代碼?！?/p>

Cooley表示，盡管他的客戶必須構(gòu)建一個SBOM，“但他們希望我們提供所有軟件的完整SBOM，特別是如果有開源軟件。”他補充說：“告訴我關(guān)于你的軟件發(fā)布流程、持續(xù)集成持續(xù)交付、軟件開發(fā)生命周期……你如何確保代碼中沒有后門？他們想知道很多。”

軟件修訂、修改和更新

許多IoT設(shè)備使用開源軟件。

雖然IoT設(shè)計師熟悉Linux內(nèi)核GPLV2和GPLV3許可，但Foundries.io的CTO Tyler Baker警告他們應注意其中的陷阱。GPLv3許可的軟件要求用戶（使用諸如恒溫器、冰箱等IoT設(shè)備的用戶）提供一種替換此GPLv3許可版本軟件的方式，替換為他們自己選擇的版本。

Tyler表示，這變成是一個網(wǎng)絡安全問題，因為“設(shè)備安全需要‘加密鎖定’，加密鎖定系統(tǒng)以限制在平臺上可以啟動和執(zhí)行的軟件。這個過程涉及在SoC中刻錄一次性保險絲，該保險絲只會執(zhí)行設(shè)備制造商擁有密鑰簽名的軟件。除其他原因外，還用于防止惡意第三方安裝惡意軟件?！焙喍灾?，允許用戶安裝他們喜歡的軟件會破壞安全模型。

Tyler指出，IoT系統(tǒng)設(shè)計師還應警惕為支持他們的硬件/應用對軟件進行更改所帶來的技術(shù)債務?！袄纾绻覙?gòu)建一個硬件設(shè)備，并且我希望它運行Linux，我將不得不對Linux內(nèi)核（在某個特定版本上）進行修補以支持我的硬件。當下一個版本的Linux發(fā)布時，如果我想使用它，我將不得不重新處理所有針對新版本Linux內(nèi)核的補丁?！?/p>

簡而之，Tyler補充說：“你所做的每個更改都需要你在每個新版本上進行維護……最終變成了很多工作負荷，但收益卻不大?！?/p>

沒有IoT設(shè)備供應商可以保證其設(shè)備的終身安全。如果是這樣，他們的聲譽必須建立在他們?nèi)绾尉璧乇O(jiān)控、管理以及迅速報告和修復其產(chǎn)品漏洞的基礎(chǔ)上。