基于通信模組實(shí)現(xiàn)物聯(lián)網(wǎng)可信身份新思路

林敏 張曉東

（中國聯(lián)合網(wǎng)絡(luò)通信有限公司廣東省分公司，廣東廣州 510627）

0.引言

當(dāng)前國內(nèi)物聯(lián)網(wǎng)通過將手機(jī)信息中的傳感器、執(zhí)行器等多種位于手機(jī)終端的虛擬物體或者物聯(lián)網(wǎng)終端設(shè)備，直接相互接入互聯(lián)網(wǎng)中而逐漸發(fā)展形成了“萬物互聯(lián)”的安全技術(shù)網(wǎng)絡(luò)，極大地拓寬了當(dāng)前國內(nèi)互聯(lián)網(wǎng)的安全技術(shù)應(yīng)用邊界。但國內(nèi)物聯(lián)網(wǎng)安全市場發(fā)展規(guī)模龐大，終端的虛擬物體安全技術(shù)性能良莠不一，包含很多新的安全相關(guān)技術(shù)應(yīng)用問題，比如對(duì)合法身份的驗(yàn)證。一旦遇到黑客繞過身份認(rèn)證或者仿冒身份認(rèn)證，輕松進(jìn)入組織或企業(yè)內(nèi)網(wǎng)進(jìn)行橫向破壞，必將會(huì)引起嚴(yán)重的后果。而過往的做法是把身份標(biāo)識(shí)或電子證書存放于物聯(lián)網(wǎng)設(shè)備主控MCU側(cè)?；诤弦?guī)要求，隨著現(xiàn)在通信模組性能越來越高，考慮到普適性和推廣性以及安全問題，把身份標(biāo)識(shí)或電子證書的存放和數(shù)據(jù)加解密操作從物聯(lián)網(wǎng)設(shè)備主控MCU側(cè)解耦出來顯得更合理。我國現(xiàn)代移動(dòng)物聯(lián)網(wǎng)安全技術(shù)是在把握現(xiàn)代移動(dòng)互聯(lián)網(wǎng)網(wǎng)絡(luò)信息安全技術(shù)重大發(fā)展趨勢基礎(chǔ)上，逐步推進(jìn)延伸和不斷改進(jìn)擴(kuò)展的一種現(xiàn)代化網(wǎng)絡(luò)安全管理技術(shù)。由于現(xiàn)代網(wǎng)絡(luò)安全可以覆蓋到任何一種個(gè)人、機(jī)構(gòu)和系統(tǒng)的廣大應(yīng)用范圍，安全性已經(jīng)發(fā)展成為任何一個(gè)現(xiàn)代化物聯(lián)網(wǎng)系統(tǒng)重要組成的一部分以及健康發(fā)展的關(guān)鍵。所以便于推廣的可信身份認(rèn)證技術(shù)問題不僅是當(dāng)前國內(nèi)物聯(lián)網(wǎng)安全技術(shù)快速發(fā)展中極為關(guān)鍵的一部分，也已經(jīng)逐漸成為國內(nèi)外廣大學(xué)術(shù)界、產(chǎn)業(yè)界共同努力研究的一個(gè)技術(shù)重點(diǎn)。本文針對(duì)基于通信模組實(shí)現(xiàn)物聯(lián)網(wǎng)可信身份認(rèn)證提出了相關(guān)的解決策略。

1.通信模組的物聯(lián)網(wǎng)背景

無線通信模塊也稱無線通信模組，簡單來說就是芯片軟件的組合。它是物聯(lián)網(wǎng)中的通信基礎(chǔ)，可以作為不同物聯(lián)網(wǎng)終端設(shè)備接入物聯(lián)網(wǎng)的入口，為終端設(shè)備提供網(wǎng)絡(luò)信息傳輸能力。

物理信息網(wǎng)絡(luò)中的邊界曾經(jīng)也被認(rèn)為網(wǎng)絡(luò)是可信物理信息網(wǎng)絡(luò)和不可信物理信息網(wǎng)絡(luò)之間的有效相互不可分割。這些企業(yè)系統(tǒng)防火墻通常都會(huì)作為部署于可信信息網(wǎng)絡(luò)的一個(gè)物理世界邊緣，基于一種新的靜態(tài)網(wǎng)絡(luò)管理策略并且被用來有效地限制網(wǎng)絡(luò)上的網(wǎng)絡(luò)流量。那些位于企業(yè)系統(tǒng)防火墻內(nèi)部的網(wǎng)絡(luò)連接用戶，通常也都會(huì)被這些企業(yè)系統(tǒng)授予較高的網(wǎng)絡(luò)可靠和信任安全防護(hù)等級(jí)并且被用來有效禁止他們?cè)L問其他企業(yè)的敏感資源和網(wǎng)絡(luò)數(shù)據(jù)資源，因?yàn)樗麄儽贿@些企業(yè)系統(tǒng)默認(rèn)地確認(rèn)為網(wǎng)絡(luò)是可信的。

然而隨著5G網(wǎng)絡(luò)的普及、移動(dòng)云計(jì)算、移動(dòng)人工互聯(lián)、物聯(lián)網(wǎng)、人工智能等新一代技術(shù)的快速發(fā)展，為我國信息化技術(shù)行業(yè)的快速發(fā)展轉(zhuǎn)型提供了更加廣闊的發(fā)展空間，國內(nèi)外不安全因素相互傳導(dǎo)、演變的趨勢更加明顯，嚴(yán)重威脅國家安全以及企事業(yè)單位信息網(wǎng)絡(luò)安全。傳統(tǒng)的邊界防護(hù)模式已經(jīng)到了能力天花板，僅靠簡單的產(chǎn)品堆疊已經(jīng)無法防御以創(chuàng)新驅(qū)動(dòng)的攻擊模式。傳統(tǒng)的邊界防護(hù)模式對(duì)逐漸興起的服務(wù)云化、辦公移動(dòng)化等場景的防護(hù)力不從心。攻擊者以創(chuàng)新方式為驅(qū)動(dòng)，成功繞過或規(guī)避業(yè)界的最佳安全實(shí)踐和業(yè)界流行的安全控制，而企業(yè)傳統(tǒng)的防護(hù)者更多采用成熟的安全技術(shù)來防止攻擊者進(jìn)入，結(jié)果防護(hù)者總是落在攻擊者后面。采取的措施和手段更傾向于事后發(fā)現(xiàn)和彌補(bǔ)。

2.通信模組概念

通信模組全稱是“無線蜂窩通信模組”，是在電路板上集成存儲(chǔ)器、基帶芯片，并提供標(biāo)準(zhǔn)的接口模塊，使各種終端設(shè)備能借助該無線模塊實(shí)現(xiàn)網(wǎng)絡(luò)通信。因此，通信模組是實(shí)現(xiàn)數(shù)據(jù)傳輸?shù)墓ぞ?，是物?lián)網(wǎng)終端設(shè)備的核心組件之一。通信模組位于物聯(lián)網(wǎng)的網(wǎng)絡(luò)層，同時(shí)與感知層交互，模組的下游是物聯(lián)網(wǎng)終端設(shè)備，準(zhǔn)確來說通信模組是跟設(shè)備主控MCU進(jìn)行通訊的。一般來說，模組作為核心組件，為SIM卡與物聯(lián)網(wǎng)設(shè)備之間提供傳輸通訊功能。通信模組與設(shè)備主控MCU的通訊流程如下[1]：

2.1 獲取設(shè)備基本信息

通訊模塊上電后，將向MCU查詢?cè)O(shè)備信息。（1）通訊模塊 >>> MCU；（2）MCU回復(fù)： MCU >>> 通訊模塊。

2.2 通訊模組向MCU發(fā)送業(yè)務(wù)指令

業(yè)務(wù)指令一般為控制指令，如開關(guān)設(shè)備、設(shè)置模式、設(shè)置溫度、請(qǐng)求狀態(tài)等。（1）通訊模組 >>> MCU；（2）MCU回復(fù)：MCU >>> 通訊模組。

2.3 MCU向通訊模組發(fā)送業(yè)務(wù)指令

應(yīng)用場景一般為故障上報(bào)、開關(guān)狀態(tài)/模式等通過其他方式如紅外遙控、產(chǎn)品集成的功能按鍵改變之后，主動(dòng)上報(bào)給通訊模組。（1）MCU >>> 通訊模組；（2）通訊模組回復(fù)：通訊模組 >>> MCU。

相對(duì)通信芯片，模組需要根據(jù)電子元器件工業(yè)標(biāo)準(zhǔn)針對(duì)芯片和各種軟硬件進(jìn)行重新設(shè)計(jì)與集成。同時(shí)具有可定制化的特點(diǎn)，可以根據(jù)客戶需求和業(yè)務(wù)需要滿足不同客戶和應(yīng)用場景。隨著5G網(wǎng)絡(luò)的普及，通信模組廠家跟進(jìn)5G物聯(lián)網(wǎng)的布局，發(fā)布了5G通信模組，可支持NSA和SA網(wǎng)絡(luò)架構(gòu)，支持5G NR Sub6、FDD-LTE、TDD-LTE、WCDM多種制式的遠(yuǎn)距離通訊模式。可支持3GPP Release15，比如存放身份標(biāo)識(shí)，數(shù)據(jù)加解密?；谝陨弦蛩?，通信芯片廠商無法更細(xì)分化的去滿足不通客戶的需求，所以通信模組的提供定制化封裝服務(wù)就有用武之地。

3.可信身份概念

網(wǎng)絡(luò)可信身份認(rèn)證技術(shù)是信息安全的核心手段，主要功能是驗(yàn)證網(wǎng)絡(luò)業(yè)務(wù)系統(tǒng)中的合法用戶身份和真實(shí)用戶身份。類似于現(xiàn)實(shí)生活中不管是介紹信還是身份證，熟人推薦等都是一種對(duì)于身份合法真實(shí)的確認(rèn)。在互聯(lián)網(wǎng)中不能缺少合法身份認(rèn)證系統(tǒng)一旦缺失，社會(huì)秩序就會(huì)被打破。隨著可信身份重要性的不斷提升，其已成為互聯(lián)網(wǎng)的重要組成部分。鑒于互聯(lián)網(wǎng)虛擬社區(qū)中，海量的身份信息數(shù)據(jù)，通過清洗分析，會(huì)產(chǎn)生巨大的商業(yè)價(jià)值。在利益的驅(qū)動(dòng)下，黑、灰色產(chǎn)業(yè)鏈早已虎視眈眈，黑客的入侵盜取，包括一些企業(yè)的內(nèi)部人員非法操作，以及業(yè)務(wù)應(yīng)用不注重用戶隱私和體驗(yàn)的設(shè)計(jì)，都會(huì)導(dǎo)致海量用戶信息外泄。從產(chǎn)業(yè)規(guī)模來看，2019年底我國網(wǎng)絡(luò)電子認(rèn)證市場達(dá)到295.8億元規(guī)模，但是相應(yīng)的黑、灰色產(chǎn)業(yè)鏈規(guī)模卻已超千億元。這時(shí)構(gòu)建出一套可信身份體系，作為各種業(yè)務(wù)場景下的網(wǎng)絡(luò)安全互補(bǔ)手段，顯然已成為我國網(wǎng)絡(luò)空間安全發(fā)展的一個(gè)重要基礎(chǔ)。電子認(rèn)證服務(wù)作為可信身份的實(shí)踐之一，其包括電子簽名者身份的真實(shí)性認(rèn)證、電子簽名過程的安全性認(rèn)證和電子數(shù)據(jù)完整性認(rèn)證3個(gè)部分。其產(chǎn)品涉及的主要技術(shù)為PKI（公鑰基礎(chǔ)設(shè)施），屬于國家商用密碼領(lǐng)域中的一種。

4.零信任技術(shù)的概念

為什么要引進(jìn)零信任技術(shù)？網(wǎng)絡(luò)空間從傳統(tǒng)的網(wǎng)絡(luò)邊界發(fā)展到了無界化、移動(dòng)化、動(dòng)態(tài)化、實(shí)時(shí)性以及信息多樣性等給我國網(wǎng)絡(luò)安全發(fā)展帶來了新的技術(shù)挑戰(zhàn)，工信部也在國內(nèi)首次提出確定零條件信任技術(shù)為安全創(chuàng)新的關(guān)鍵技術(shù)。零條件信任技術(shù)是一種安全創(chuàng)新理念，強(qiáng)調(diào)“永不信任，始終驗(yàn)證”。所有人/物/端/網(wǎng)/信息/供應(yīng)鏈均需認(rèn)證授權(quán)（動(dòng)態(tài)安全策略），是可信身份實(shí)現(xiàn)的有效方式。管控信息風(fēng)險(xiǎn)，如零售業(yè)信任管理模式旨在強(qiáng)化各類數(shù)字信息資產(chǎn)的風(fēng)險(xiǎn)發(fā)現(xiàn)，要求對(duì)相關(guān)企業(yè)的任何產(chǎn)品應(yīng)用與提供服務(wù)等各類數(shù)字信息資產(chǎn)都必須進(jìn)行信息識(shí)別并及時(shí)給予真實(shí)身份。其核心價(jià)值體現(xiàn)如下：

（1）降低網(wǎng)絡(luò)成本：零信任將安全保護(hù)網(wǎng)絡(luò)資源的主要目標(biāo)完全聚焦轉(zhuǎn)移到系統(tǒng)負(fù)載與網(wǎng)絡(luò)數(shù)據(jù)，通過網(wǎng)絡(luò)策略與安全控制層來排除不需要直接訪問保護(hù)資源的網(wǎng)絡(luò)用戶、設(shè)備與網(wǎng)絡(luò)應(yīng)用，使得網(wǎng)絡(luò)惡意攻擊行為減少并受到成本限制，縮小被動(dòng)的攻擊面，大大降低了網(wǎng)絡(luò)安全事件的發(fā)生數(shù)量。

（2）業(yè)務(wù)敏捷：即使公司員工與其他企業(yè)及其合作伙伴之間隨時(shí)可以在手機(jī)移動(dòng)端和互聯(lián)網(wǎng)上隨時(shí)隨地、無縫直連各種大型公司企業(yè)內(nèi)部應(yīng)用，不必再擔(dān)心需要通過整個(gè)公司企業(yè)應(yīng)用管理網(wǎng)絡(luò)關(guān)卡（如VPN）的方式進(jìn)行各種靜態(tài)數(shù)據(jù)實(shí)時(shí)檢測，提升了公司企業(yè)合作用戶實(shí)時(shí)處理各種大型業(yè)務(wù)的實(shí)時(shí)工作處理速度與敏捷性。

5.無證書認(rèn)證的設(shè)計(jì)思路

CLA（Certificateless Authentication）作為無證書的可信身份認(rèn)證實(shí)現(xiàn)方式之一，是一種融合自證公鑰定位密碼管理體制和無加密證書公鑰定位密碼管理體制的密鑰密碼生成和密鑰密碼使用管理機(jī)制，借鑒PKI/CA認(rèn)證系統(tǒng)的密鑰管理體系基礎(chǔ)架構(gòu)，構(gòu)建的一種新型公鑰密碼基礎(chǔ)配套設(shè)施。系統(tǒng)采用我國現(xiàn)有的SM2橢圓直角曲線公鑰密碼管理算法，不使用數(shù)字證書，不使用雙線性對(duì)運(yùn)算，兼具PKI/CA、IBC的優(yōu)點(diǎn)。

生成短電子文件格式的數(shù)字簽名管理應(yīng)用驗(yàn)證數(shù)據(jù)中心驗(yàn)證工具包，適合于各種數(shù)字簽名應(yīng)用驗(yàn)證包的應(yīng)用，而且在進(jìn)行驗(yàn)簽時(shí)不必再擔(dān)心需要直接使用用戶密鑰驗(yàn)證即可。即使有管理數(shù)字驗(yàn)證數(shù)據(jù)中心的密鑰驗(yàn)證支持，驗(yàn)簽者仍然同樣可以直接對(duì)數(shù)字簽名驗(yàn)證應(yīng)用數(shù)據(jù)進(jìn)行用戶密鑰數(shù)據(jù)驗(yàn)證，極大地方便了數(shù)字簽名者和接收者對(duì)數(shù)字簽名的應(yīng)用進(jìn)行密鑰驗(yàn)證。

建設(shè)工程成本低、計(jì)算運(yùn)行效率高、占用網(wǎng)絡(luò)資源少?？蓮V泛用于對(duì)全國海量網(wǎng)絡(luò)用戶的身份密鑰采集管理，滿足大量小規(guī)模、大深度范圍的基于云計(jì)算、物聯(lián)網(wǎng)和以及移動(dòng)智能互聯(lián)網(wǎng)等大環(huán)境下的用戶身份密碼認(rèn)證、數(shù)據(jù)安全防軟件篡改、防軟件抵賴等安全基礎(chǔ)應(yīng)用技術(shù)需求。為實(shí)現(xiàn)物聯(lián)網(wǎng)場景下海量設(shè)備的可信身份認(rèn)證提供堅(jiān)實(shí)的基礎(chǔ)。

6.零信任技術(shù)體系下基于通信模組實(shí)現(xiàn)物聯(lián)網(wǎng)可信身份

通過上面介紹的通信模組和可信身份技術(shù)的現(xiàn)狀與特點(diǎn)，結(jié)合物聯(lián)網(wǎng)場景下數(shù)量巨大的物聯(lián)網(wǎng)設(shè)備都需要身份標(biāo)識(shí)和可信認(rèn)證，為了減少網(wǎng)絡(luò)帶寬流量以及減少物聯(lián)網(wǎng)終端設(shè)備存儲(chǔ)空間的占用，傳統(tǒng)的PKI體系身份認(rèn)證技術(shù)采用公鑰證書的方式，用證書機(jī)構(gòu)（Certificate Authority，簡稱CA）的私鑰對(duì)用戶公鑰證書進(jìn)行簽名，保證用戶公鑰的真實(shí)性。實(shí)際上是用證書機(jī)構(gòu)為用戶公鑰真實(shí)性作為背書。而證書機(jī)構(gòu)自己的公鑰真實(shí)性，要么具有公信力，要么則由更上一層的機(jī)構(gòu)乃至國家機(jī)構(gòu)來擔(dān)保，這會(huì)形成多層級(jí)CA結(jié)構(gòu)。為了驗(yàn)證用戶公鑰的真實(shí)性至少需要2次驗(yàn)證簽名甚至更多（比如多層級(jí)CA）。證書狀態(tài)會(huì)動(dòng)態(tài)改變。因此，CA需要在線維護(hù)證書的狀態(tài)。另外，在線服務(wù)是PKI技術(shù)的特點(diǎn)和要求，同時(shí)也意味著，它不僅成本高，而且不適用于無法保證在線服務(wù)的場景。所以進(jìn)化成基于身份標(biāo)識(shí)的無證書身份認(rèn)證顯得極其重要。而零信任架構(gòu)的網(wǎng)絡(luò)安全接入技術(shù)正是集成了身份認(rèn)證模塊。結(jié)合通信模組可定制的特點(diǎn)，考慮到產(chǎn)品推廣和普適性，在零信任架構(gòu)產(chǎn)品中，基于高端通信模組自帶開源Linux操作系統(tǒng)，具有性能高體積小等特點(diǎn)，支持衛(wèi)星定位；處理器頻率高達(dá)1.5G；內(nèi)置16G DDR內(nèi)存以及4G高速閃存；支持USB3.1超高速（SS）接口；數(shù)據(jù)傳輸率最大可達(dá)10Gbps?？筛鶕?jù)業(yè)務(wù)需求提供USB或PCI-E接口。同時(shí)支持USIM和ESIM接口。把身份認(rèn)證和數(shù)據(jù)加解密操作從物聯(lián)網(wǎng)設(shè)備MCU側(cè)前移到通信模組側(cè)，從產(chǎn)業(yè)鏈中解耦出來，有利于后期業(yè)務(wù)的推廣[2]。

7.結(jié)語

本文首先闡述了5G物聯(lián)網(wǎng)現(xiàn)狀，介紹了通信模組的發(fā)展情況、零信任架構(gòu)技術(shù)以及現(xiàn)實(shí)情況對(duì)電子身份認(rèn)證的基于身份標(biāo)識(shí)的無證書認(rèn)證提出了更高要求。將電子證書或身份標(biāo)識(shí)以及算法存放到通信模組這樣的獨(dú)立芯片中，這種硬件物理安全控制特征設(shè)計(jì)可以有效保護(hù)密鑰以及算法的安全，符合密碼安全規(guī)范。結(jié)合新一代安全接入技術(shù)“零信任架構(gòu)的網(wǎng)絡(luò)安全接入管理技術(shù)”、新一代5G通信模組以及無證書身份認(rèn)證技術(shù)設(shè)計(jì)出一套基于軟硬件組合，上下游產(chǎn)業(yè)鏈組合的可信網(wǎng)絡(luò)安全接入解決方案。