毫無疑問，透過智慧型手機控制家中的照明、溫度、保全系統甚至電器的確非常方便。但這些物聯網(IoT)設備抵禦駭客的安全性又如何呢？
最近的新聞一定會讓您感到震驚！2016年10月下旬發生了大規模網路斷線事件，導致包括Netflix、Spotify和Amazon在內的大規模斷線，很明顯是駭客使用基於Mirai惡意軟體的殭屍網路攻擊CCTV監控攝影機和DVR監控主機所造成的。
今年春天，密西根大學(University of Michigan)和微軟(Microsoft)的研究人員發表了他們所稱的智慧家庭平臺的首次深度安全分析，其中引用了Samsung SmartThings平臺。在他們的研究中，研究人員利用框架設計缺陷，開發了四種概念驗證攻擊：
? 秘密植入門鎖密碼
? 偷竊現有門鎖密碼
? 禁止假期模式
? 誘發假火警
| 圖一 : 利用智慧型手機的便利性，您可控制家中的照明、溫度、保全系統等 |
|
如何保證IoT設備的安全
還有許多關於嬰兒監視器、溫度控制器甚至智慧型廁所受到攻擊的新聞。當然，IoT領域的許多公司在其產品中內建了可靠的安全措施。有些情況下，部分產品真正做到了只有在實驗室配置下才會受到攻擊，並且往往還需要是專家才行。而在其他情況下，消費者必須經常更換預設的使用者憑證和密碼。(幾年前，一個網站檢索了全球73,000多個使用非安全監控攝影機的地點。這些攝影機仍然在使用預設的用戶名稱和密碼，所以基本上沒有安全措施！)然而，安全專家指出，對於較入門等級的智慧家庭產品，所有的措施都無濟於事，因為這些產品往往具有更多的漏洞。
那麼設計者如何在其智慧、聯網產品中建構更加堅固的安全性呢？早期階段就在設計中整合安全措施並考慮如何實施至關重要。為了保證安全措施的有效性，必須在從感測器到雲端的多個設計層面實施安全措施。
| 圖二 : 從感測器到雲端的多個設計層面實施安全措施才能夠保證其有效性。(source: TechCrunch) |
|
首先對嵌入式系統進行加密，但事實證明仍然非常脆弱，特別是金鑰被偷竊時。實行加密的更好方式是通過安全微控制器，為金鑰提供晶片內建儲存，所以不必依賴於從外部記憶體傳輸金鑰。
安全認證是防止惡意攻擊的一種途徑。安全認證提供驗證身份的過程，根據驗證結果允許或拒絕訪問。最嚴格的安全認證機制將加密演算法(例如SHA-1、SHA-256和ECDSA)與金鑰綁定使用。
感測器的保護非常關鍵，因為這些感測器是智慧型設備收集所有資料的管道。在這種情況下，能夠為從受保護感測器節點到網路伺服器的整個資料鏈提供安全認證的技術非常有用。
為系統構建先進防護
Maxim提供適用於以上所述各個領域的解決方案。Maxim的DeepCover安全微控制器將先進加密和物理安全性群(physical security)組合在一起，提供最高等級的防物理篡改和反向工程保護。DeepCover安全認證器使用高級的物理安全，實現低成本IP保護、複製防護及周邊安全認證。並且DeepCover安全管理器整合物理安全與內建無痕跡記憶體(on-chip, nonimprinting memory)，保護敏感性資料，防止即便是最輕微的物理或環境篡改。另一種方案是MAXREFDES143#，是IoT嵌入式安全參考設計，利用安全認證及感測器和網路伺服器之間的通告，保護工業檢測節點；實際上提供了金融級別的加密。
(本文作者Christine Young為Maxim Integrated資深行銷經理)
