放眼全球，物聯網技術的(de)指數級(ji)增長，為用戶提供了更(geng)大(da)的(de)便利性，各種設(she)備的(de)可(ke)訪問性也大(da)大(da)增強，但同(tong)時，系統和設(she)備可(ke)能容易受到網(wang)絡安全威脅的(de)影響。特別是消費級(ji)連接設(she)備，可(ke)能在無(wu)意中(zhong)成為網(wang)絡攻(gong)擊(ji)的(de)脆弱(ruo)目標，威脅到用戶的(de)安全和數據隱(yin)私。
毫(hao)無疑(yi)問，面臨這(zhe)一系列的風險，IC設計工程師、制造商和相(xiang)關產品的零(ling)售商，必須了(le)解這(zhe)些(xie)風險，以及能夠(gou)提供保護的相(xiang)關法規內(nei)容(rong)及合規操作(zuo)。
安全漏洞越來越多
然(ran)而，有關網(wang)絡安全漏洞的報告(gao)正在上升。在每個(ge)被連(lian)接的網(wang)絡上，只要有一個(ge)漏洞，那(nei)么整(zheng)個(ge)網(wang)絡都(dou)會失去(qu)安全保障。也就(jiu)是說，只要一個(ge)智能設備易受(shou)攻(gong)擊，整(zheng)體網(wang)絡就(jiu)很容易被黑(hei)客入侵，私人數據(ju)可能會受(shou)到損害或丟失。
所以，那些(xie)不能識(shi)別并滿足客戶網(wang)絡(luo)安全(quan)預期的(de)設(she)備(bei)制(zhi)造商，可能會在未來遭(zao)受嚴(yan)重損失(shi)。一旦物聯網(wang)安全(quan)事故發生，制(zhi)造商會面(mian)臨(lin)(lin)經濟損失(shi)、法律處(chu)罰、品牌名譽受損，其(qi)客戶甚至(zhi)會面(mian)臨(lin)(lin)人身傷(shang)害或傷(shang)亡(wang)事故。
業界的例子比(bi)比(bi)皆是。
在 2019 年，研究人員發(fa)現了一(yi)款智能(neng)鎖(suo)中的某個(ge)(ge)(ge)安全(quan)漏洞(dong)(dong)，可能(neng)使家庭網(wang)絡(luo)受到攻擊。進(jin)一(yi)步的調查后，發(fa)現黑客(ke)能(neng)夠(gou)(gou)通(tong)過(guo)這(zhe)(zhe)個(ge)(ge)(ge)漏洞(dong)(dong)，攔截移動應(ying)用程序(xu)和(he)智能(neng)鎖(suo)之間的網(wang)絡(luo)流量——這(zhe)(zhe)意(yi)味著，從本質上講(jiang)，黑客(ke)通(tong)過(guo)這(zhe)(zhe)個(ge)(ge)(ge)智能(neng)鎖(suo)，能(neng)夠(gou)(gou)“憑空(kong)”竊取該住戶(hu)的鑰匙。而且由于(yu)智能(neng)鎖(suo)的固件往往不會(hui)頻繁更新(xin)，如(ru)果(guo)房(fang)主沒有發(fa)現這(zhe)(zhe)個(ge)(ge)(ge)漏洞(dong)(dong)，根(gen)本不會(hui)想到去換鎖(suo)。保護房(fang)屋(wu)的唯一(yi)方法，將(jiang)是(shi)購買更安全(quan)且可能(neng)夠(gou)(gou)更新(xin)軟硬件的智能(neng)鎖(suo)。
在 2020 年，安(an)全研究人員測試了一款流行(xing)品(pin)牌的(de)智能燈，發(fa)現(xian)通(tong)過這個看(kan)起來平平無奇的(de)照明燈具，居然可以成功侵入房主的(de)計算機網絡(luo)。一旦這個漏洞(dong)被(bei)黑(hei)客發(fa)現(xian)，很(hen)容易進入網絡(luo)并(bing)植(zhi)入惡意代碼(ma)。
這(zhe)些只是(shi)全球報道的(de)(de)(de)、發生在我們現實生活(huo)中(zhong)的(de)(de)(de)物聯網攻擊(ji)中(zhong)的(de)(de)(de)很小一部分。解決問題的(de)(de)(de)根本，是(shi)制(zhi)造商必(bi)須提供通過無線方(fang)式保護、更新(xin)其產品的(de)(de)(de)方(fang)案。這(zhe)也是(shi)為何物聯網產品制(zhi)造商必(bi)須根據適用標準進行設(she)計和測試的(de)(de)(de)關鍵之處。
消費者物聯網的新興標準和法規正在出臺
隨著物聯(lian)網(wang)(wang)和相關技(ji)術(shu)的興(xing)起，新的監管法則越來越多地在全球范圍內(nei)部署。以美國(guo)的 2020 年物聯(lian)網(wang)(wang) (IoT) 網(wang)(wang)絡安全改進法案，要求各機(ji)構提高聯(lian)邦政府(fu)擁有(you)或(huo)控制(zhi)的物聯(lian)網(wang)(wang)設(she)備的網(wang)(wang)絡安全。而作為(wei)實施案例，美國(guo)加(jia)利福尼亞州(zhou)和俄勒岡(gang)州(zhou)已經強(qiang)制(zhi)要求，制(zhi)造商必(bi)須為(wei)物聯(lian)網(wang)(wang)設(she)備提供(gong)網(wang)(wang)絡安全配置。
在(zai)歐(ou)洲(zhou)，歐(ou)洲(zhou)電信標準協會 (ETSI) 于 2020 年(nian)推出了物(wu)聯網(wang)(wang)網(wang)(wang)絡安全標準 EN 303 645，概(gai)述了一系列旨(zhi)在(zai)提供保(bao)護(hu)基線（baseline）的保(bao)護(hu)條款(kuan)。除了物(wu)聯網(wang)(wang)和(he)網(wang)(wang)絡安全相(xiang)關標準外，制(zhi)造(zao)商還必須遵守 GDPR（通用數據保(bao)護(hu)條例(li)）下的數據隱私條例(li)，其(qi)中(zhong)，還規(gui)定了制(zhi)造(zao)商必須告知用戶其(qi)設備將收集的數據、數據的使(shi)用方式，以及它對用戶造(zao)成的影響(xiang)。
CIoT設備制造商面臨的挑戰
與開發未連(lian)接設(she)備的制(zhi)造商相比，所(suo)有消費物聯(lian)網(wang) (CIoT) 設(she)備制(zhi)造商都應具備更高水平的技術成熟度(du)。總結來說，消費物聯(lian)網(wang)的制(zhi)造商普遍(bian)面臨著三個挑戰(zhan)：連(lian)接性(xing)、合規性(xing)和(he)網(wang)絡(luo)安全。
消費(fei)物(wu)聯(lian)網的制造商(shang)必(bi)須(xu)為(wei)產品(pin)的連(lian)(lian)接性考慮許多，產品(pin)需(xu)要(yao)(yao)確(que)保(bao)信息的無縫流(liu)(liu)動，也就是說(shuo)，無論(lun)數據(ju)是流(liu)(liu)入還(huan)是流(liu)(liu)出其(qi)設(she)備，都需(xu)要(yao)(yao)保(bao)證設(she)備始終可用(yong)。為(wei)了跟(gen)上不斷變(bian)化的技(ji)術，相關設(she)備也需(xu)要(yao)(yao)不斷升級。在連(lian)(lian)接性方面，CIoT 設(she)備還(huan)必(bi)須(xu)具有能在擁(yong)擠(ji)的混合信號環境中，與其(qi)他(ta)設(she)備共存的技(ji)術。
此(ci)外(wai)，為確(que)保有競爭力的(de)(de)發布日期，并順(shun)利進入全(quan)(quan)球(qiu)市場(chang)，此(ci)類技術的(de)(de)制造(zao)商必須確(que)保符合最新的(de)(de)監管要求。因此(ci)，確(que)保設備的(de)(de)網絡安全(quan)(quan)甚(shen)至(zhi)可能是其中最困難的(de)(de)設計(ji)挑戰。
連接(jie)設備數量的增長和新(xin)技術的使用，讓新(xin)的威(wei)脅漏(lou)洞迅速浮出水面，而且(qie)是看不(bu)見的。制造商面臨的一些(xie)典型威(wei)脅包(bao)括：惡(e)意軟(ruan)件、弱密碼或默(mo)認密碼、敏感數據的泄漏(lou)等，這些(xie)漏(lou)洞能讓網(wang)絡犯罪分子獲得未經(jing)授(shou)權的訪問(wen)權限，從而造成(cheng)混亂和經(jing)濟(ji)損(sun)失。
其他威脅(xie)還(huan)包括對(dui)隱私(si)的攻擊，這會影響用(yong)戶的隱私(si)和網(wang)絡元素對(dui)未(wei)經授權(quan)的實體的暴露。被稱為(wei)“竊聽”的安全(quan)隱患，即利(li)用(yong)網(wang)絡通(tong)信(xin)竊取通(tong)過數字設(she)備(bei)共享或發(fa)送的信(xin)息(xi)，也(ye)將成為(wei)一個不小(xiao)的問題。
還(huan)(huan)有(you)針(zhen)對特(te)定目標設計的(de)更(geng)復(fu)雜的(de)攻擊，它們會在很長一(yi)(yi)段(duan)時間內發起，并分(fen)階段(duan)進行。這些類型的(de)攻擊，目的(de)是收(shou)集盡(jin)可能(neng)多的(de)敏(min)感數據(ju)、信息(xi)和/或控(kong)制，同時不(bu)被發現。還(huan)(huan)有(you)一(yi)(yi)個越來越普遍(bian)的(de)問題，是偽(wei)造惡意設備。此(ci)類設備通常具有(you)后門，可用(yong)于對同一(yi)(yi)環(huan)境中的(de)其(qi)他系統進行攻擊。由于仿冒設備不(bu)易被識別，因(yin)此(ci)這種攻擊很難被發現，因(yin)此(ci)潛在的(de)作惡手(shou)段(duan)幾乎(hu)是無(wu)窮無(wu)盡(jin)的(de)。
安全，是物聯網技術的核心需求
利(li)用(yong)物(wu)聯(lian)網(wang)市場增長的消費物(wu)聯(lian)網(wang)產品(pin)制造(zao)商可以(yi)使用(yong)許多令人興奮的新技術。然而，在物(wu)聯(lian)網(wang)產品(pin)中(zhong)實現(xian)價值創(chuang)造(zao)的相同(tong)技術也(ye)可能提供易受攻擊的漏洞。
物聯網 (IoT)技(ji)術融合了我(wo)們的數字(zi)世界和物理世界，并迅速成為消費者(zhe)對(dui)各種標準設備及電子產品的期待屬性。隨著(zhu)對(dui)智能技(ji)術需(xu)求的增加，大規(gui)模(mo)制(zhi)造已經讓我(wo)們看到，未來制(zhi)造搭(da)載無線(xian)連接和先進傳感器技(ji)術產品的成本(ben)，必(bi)然會(hui)明顯降(jiang)低。
確保(bao)良好的安(an)(an)全設計理念，同時證明符合相關法規，是(shi)制(zhi)(zhi)造商保(bao)護(hu)(hu)其產(chan)品(pin)的最(zui)佳方(fang)式，當然(ran)更重要的是(shi)，如何有效保(bao)護(hu)(hu)客戶的隱私與人身財產(chan)安(an)(an)全，或將是(shi)眾(zhong)多IoT制(zhi)(zhi)造商從殘(can)酷的技(ji)術及(ji)商業(ye)大戰中脫穎而(er)出的法寶。
