物聯(lián)網(wǎng)時(shí)代的嵌入式系統(tǒng)安全性問(wèn)題

摘 要：網(wǎng)絡(luò)安全是全世界高度關(guān)注的重要問(wèn)題。嵌入式系統(tǒng)作為物聯(lián)網(wǎng)的核心組成，正面臨著各種各樣的安全威脅，這也為嵌入式系統(tǒng)的研發(fā)與設(shè)計(jì)帶來(lái)新的挑戰(zhàn)。在物聯(lián)網(wǎng)時(shí)代，如何降低嵌入式系統(tǒng)的安全風(fēng)險(xiǎn)，消除來(lái)自網(wǎng)絡(luò)的威脅，并將物聯(lián)網(wǎng)的成本降至最低，成為目前亟待解決的重要課題。

關(guān)鍵詞：網(wǎng)絡(luò)安全；嵌入式系統(tǒng)；風(fēng)險(xiǎn)；物聯(lián)網(wǎng)時(shí)代

DOI：10.16640/j.cnki.37-1222/t.2018.17.126

隨著物聯(lián)網(wǎng)時(shí)代的到來(lái)，社會(huì)中的許多金融交易、商業(yè)行為、數(shù)據(jù)通信在很大程度上都依賴于互聯(lián)網(wǎng)，并且有越來(lái)越多的設(shè)備連接到物聯(lián)網(wǎng)中，導(dǎo)致人們的生活及企業(yè)的經(jīng)營(yíng)運(yùn)行對(duì)互聯(lián)網(wǎng)的依賴性逐漸的增大，由此也產(chǎn)生了一系列的安全問(wèn)題。嵌入式系統(tǒng)作為物聯(lián)網(wǎng)時(shí)代的核心技術(shù)，如果設(shè)備不安全，將會(huì)導(dǎo)致互聯(lián)網(wǎng)產(chǎn)生重大的安全漏洞，進(jìn)而造成不可估量的損失。因此，加強(qiáng)保護(hù)措施，提高嵌入式系統(tǒng)安全性，是保障物聯(lián)網(wǎng)時(shí)代健康發(fā)展的重要途徑。

1 物聯(lián)網(wǎng)概念

物聯(lián)網(wǎng)是一個(gè)以互聯(lián)網(wǎng)為基礎(chǔ)，將物體組建到網(wǎng)站上的虛幻世界。與傳統(tǒng)的互聯(lián)網(wǎng)相比，第一，物聯(lián)網(wǎng)通過(guò)連接物品，賦予物品智能化，從而實(shí)現(xiàn)對(duì)物品的全面感知；第二，物聯(lián)網(wǎng)通過(guò)各種傳感設(shè)備獲得各環(huán)節(jié)的信息，并對(duì)數(shù)據(jù)信息進(jìn)行監(jiān)控；第三，物聯(lián)網(wǎng)將收集到的信息進(jìn)行智能的處理，然后通過(guò)可靠的傳輸網(wǎng)站重新傳遞出去。

2 物聯(lián)網(wǎng)時(shí)代的嵌入式系統(tǒng)安全風(fēng)險(xiǎn)及應(yīng)對(duì)策略

嵌入式系統(tǒng)是物聯(lián)網(wǎng)的核心技術(shù)，由一個(gè)或幾個(gè)預(yù)先編輯好的程序用來(lái)執(zhí)行少數(shù)幾項(xiàng)任務(wù)的微型處理器或單片機(jī)組成。通常只針對(duì)一項(xiàng)特殊的任務(wù)。隨著物聯(lián)網(wǎng)時(shí)代的到來(lái)，由于嵌入式系統(tǒng)的漏洞無(wú)處不在，且暫時(shí)缺乏有效的補(bǔ)丁修復(fù)程序，給人們生活與工作帶來(lái)便利的同時(shí)，也帶來(lái)了安全風(fēng)險(xiǎn)。

2.1 軟件自身缺陷

目前，物聯(lián)網(wǎng)設(shè)備大都是以嵌入式Linux系統(tǒng)為核心，其軟件自身存在系統(tǒng)漏洞、軟件bug、信息泄露、弱口令等缺陷，而攻擊者可以針對(duì)這些漏洞進(jìn)行攻擊，進(jìn)而獲取系統(tǒng)相關(guān)服務(wù)的認(rèn)證口令。比如，嵌入式系統(tǒng)開(kāi)發(fā)人員的編碼能力欠缺，對(duì)系統(tǒng)參數(shù)沒(méi)有經(jīng)過(guò)嚴(yán)格的校驗(yàn)與過(guò)濾，從而導(dǎo)致在調(diào)用危險(xiǎn)函數(shù)時(shí)遠(yuǎn)程命令注入；又如，很多物聯(lián)網(wǎng)的設(shè)備廠商由于忽視了信息安全的重要性，從而導(dǎo)致信息極為容易泄露，這也給攻擊者帶來(lái)方便。針對(duì)這些問(wèn)題，在嵌入式系統(tǒng)開(kāi)發(fā)過(guò)程中要加強(qiáng)產(chǎn)品的安全開(kāi)發(fā)流程與管理，嚴(yán)格遵循安全編碼規(guī)范，減少系統(tǒng)自身的漏洞問(wèn)題，從而降低安全風(fēng)險(xiǎn)。

2.2 硬件接口

物聯(lián)網(wǎng)設(shè)備中的調(diào)試接口、通訊接口、數(shù)據(jù)接口、認(rèn)證方式、存儲(chǔ)介質(zhì)、外設(shè)接口等都容易成為被攻擊的對(duì)象。尤其是目前在很多物聯(lián)網(wǎng)設(shè)備中，廠商都保留了硬件調(diào)試接口，給系統(tǒng)安全帶來(lái)了潛在風(fēng)險(xiǎn)。比如，可以查看系統(tǒng)信息和對(duì)應(yīng)用程序進(jìn)行調(diào)試的串口、可以調(diào)試系統(tǒng)代碼的JTAG接口，由于它們都具有系統(tǒng)較高的訪問(wèn)權(quán)限，容易帶來(lái)重大的安全隱患。為此，在嵌入式系統(tǒng)設(shè)計(jì)之初，就必須充分考慮系統(tǒng)的安全性問(wèn)題，要確保供給者無(wú)法獲取或篡改相關(guān)代碼或數(shù)據(jù)信息。

2.3 暴力攻擊

目前，大部分的物聯(lián)網(wǎng)設(shè)備都是由CPU、傳感器和通訊三個(gè)模塊組成，而通常在設(shè)計(jì)軟件時(shí)都只需要滿足級(jí)別的功能。也就是說(shuō)根密鑰和啟動(dòng)安全是所有物聯(lián)網(wǎng)設(shè)備安全的根本，所有處于物聯(lián)網(wǎng)中的交易與業(yè)務(wù)，都是基于根密鑰和啟動(dòng)安全。而攻擊者可能會(huì)對(duì)根密鑰和啟動(dòng)安全進(jìn)行暴力攻擊，從而獲取相關(guān)信息與數(shù)據(jù)。因此，可以使用安全芯片SE來(lái)保證根密鑰和安全啟動(dòng)的安全性，這也是確保物聯(lián)網(wǎng)安全性的最有效的方式之一。

2.4 通訊方式

由于物聯(lián)網(wǎng)設(shè)備的通訊接口需要與云端后臺(tái)、傳感器網(wǎng)絡(luò)等設(shè)備進(jìn)行聯(lián)網(wǎng)通信，攻擊者可以針對(duì)通訊接口的驅(qū)動(dòng)程序代碼或底層通信實(shí)現(xiàn)的固件進(jìn)行攻擊，比如，對(duì)于無(wú)線網(wǎng)絡(luò)接口的一些已知安全問(wèn)題，攻擊者可以對(duì)無(wú)線芯片進(jìn)行攻擊；又如，中間人攻擊可以在通訊設(shè)備兩端的鏈路中間，充當(dāng)數(shù)據(jù)的交換角色，這樣就能以中間人的方式獲得設(shè)備的相關(guān)控制信息與用戶的認(rèn)證信息。為此，在物聯(lián)網(wǎng)終端設(shè)備中可以內(nèi)置安全機(jī)制，增加漏洞的利用難度，并且定時(shí)的向用戶推送補(bǔ)丁及軟件更新，提醒用戶及時(shí)進(jìn)行升級(jí)與漏洞修補(bǔ)。

2.5 互聯(lián)網(wǎng)

互聯(lián)網(wǎng)具有開(kāi)放性，這也就決定了它本身是一個(gè)不安全的體系。首先，在互聯(lián)網(wǎng)的數(shù)據(jù)傳輸中主要遵循的是路由傳輸協(xié)議，而由于這種數(shù)據(jù)的傳輸路徑是隨機(jī)的，為此，數(shù)據(jù)的接收方難以查找到發(fā)送方的地址，這就給攻擊者惡意散播病毒、網(wǎng)絡(luò)攻擊帶來(lái)了便利，同時(shí)也給互聯(lián)網(wǎng)絡(luò)的實(shí)時(shí)監(jiān)控帶來(lái)了極大困難。而在物聯(lián)網(wǎng)設(shè)備的終端大都是各種智能化的工具，比如機(jī)器人、生產(chǎn)線、嵌入式系統(tǒng)的工業(yè)控制機(jī)等設(shè)備，一旦感染病毒，都會(huì)帶來(lái)重大的安全事故。

其次，在互聯(lián)網(wǎng)開(kāi)放的環(huán)境下，人人都可以無(wú)條件的連接互聯(lián)網(wǎng)，雖然，現(xiàn)在有很多網(wǎng)絡(luò)采取了實(shí)名登錄的形式，但攻擊者通過(guò)暴力攻擊依然可以獲取部分?jǐn)?shù)據(jù)，進(jìn)而造成個(gè)人信息的泄露。最后，在物聯(lián)網(wǎng)時(shí)代，網(wǎng)上交易、購(gòu)物、消費(fèi)等模式成為人們生活中的重要部分，而由此帶來(lái)的交易安全、財(cái)產(chǎn)安全、計(jì)費(fèi)安全和個(gè)人信息安全等諸多問(wèn)題，由于國(guó)家現(xiàn)有的法律法規(guī)介入也很難奏效，從而導(dǎo)致一些不法分子常常利用漏洞實(shí)施犯罪。比如利用軟件黑箱運(yùn)行的隱蔽性，給一些交易平臺(tái)植入一些損害消費(fèi)者利益的協(xié)議規(guī)則；又如，旅行社的票務(wù)系統(tǒng)提供虛假機(jī)票、火車票等，各式各樣的網(wǎng)絡(luò)詐騙行為層出不窮。為此，應(yīng)從互聯(lián)網(wǎng)系統(tǒng)自身的結(jié)構(gòu)體系與特點(diǎn)出發(fā)，采取有針對(duì)性的措施，提高互聯(lián)網(wǎng)系統(tǒng)的安全性，此外，國(guó)家應(yīng)完善相應(yīng)的法律法規(guī)，對(duì)互聯(lián)網(wǎng)的安全問(wèn)題給予法律的保障。

3 結(jié)語(yǔ)

嵌入式系統(tǒng)是物聯(lián)網(wǎng)的重要組成部分，在物聯(lián)網(wǎng)時(shí)代，越來(lái)越多的“物體”相互連接在一起，這就使得物體連接后非常容易受到黑客的攻擊，為了真正的實(shí)現(xiàn)物聯(lián)網(wǎng)的功能，利用嵌入式軟件、工具和芯片等多種手段，保障嵌入式系統(tǒng)的安全性是降低物聯(lián)網(wǎng)設(shè)備安全風(fēng)險(xiǎn)，為人們提供安全性的遠(yuǎn)程管理的關(guān)鍵。

參考文獻(xiàn)：

[1]段純爽.淺析嵌入式系統(tǒng)在物聯(lián)網(wǎng)時(shí)代的應(yīng)用[J].中小企業(yè)管理與科技旬刊，2015（32）：265.

[2]何立民.物聯(lián)網(wǎng)時(shí)代嵌入式系統(tǒng)的安全性設(shè)計(jì)[J].單片機(jī)與嵌入式系統(tǒng)應(yīng)用，2016，16（07）：82-83.

作者簡(jiǎn)介：王典（1989-），男，四川遂寧人，本科，助教，研究方向：應(yīng)用電子技術(shù)。