物联网安全:混乱和碎片化

物联网(IoT)设备的安全法规在世界各地都在发展，但没有一套统一的要求可以在全球范围内应用，而且可能永远都不会有。

今天存在的是一个认证实验室和标识的拼凑。这使得物联网设备设计师很难知道从哪里获得安全保障。与数据中心不同的是，数据中心有一系列ISO和SAE标准，以及一长串最佳实践，物联网世界没有可比的东西。

在某种程度上，这是多样性的函数物联网设备和系统，以及广泛的应用程序和用例。但这也反映出，人们对各种典型廉价设备的安全性存在矛盾心理，尽管它们连接的系统要大得多，其中许多包含高度敏感或有价值的数据。

安全IP高级产品营销经理Dana Neustadter表示:“设计师在决定使用何种认证和何种技术时面临着巨大的挑战Synopsys对此．“这非常复杂，是一锅杂烩。”

人们的态度正在开始改变，特别是随着越来越多的设备连接到互联网，以及越来越多的老牌公司制定了纳入良好安全实践的战略。

公司销售、营销和分销高级副总裁Shawn Slusser表示:“构建物联网系统所需的核心竞争力是感知、控制、驱动和连接，这一切都必须安全地完成。英飞凌科技．“你需要确保使用系统的人是正确的人，并且信息流动是正确的信息。”

不过，将其构建到物联网设备或系统中并不总是容易的。Slusser说:“你必须在整个堆栈的一个非常小的级别上设置安全，但是你添加的越多，它就越昂贵，消耗的能量也越多。”“所以你必须找到正确的平衡。你想要达到什么目标?你想要多高级的?你如何让它变得便宜，从而不会导致最终解决方案在价格和资源方面出现问题?”

这就是标准努力遇到麻烦的地方。虽然有许多可能的安全认证，但几乎没有一致性。有些是在芯片级，而另一些则专注于整个系统，包括组件和开发过程。其中大多数是合规性检查，而不是独立的安全证明。这造成了一个令人困惑的局面，它剥夺了消费者一致的方式来判断他们所购买的设备的安全性。

降低物联网安全性
虽然在保护大型计算机和网络安全方面已经付出了巨大的努力，但这些系统仍拥有用于重量级安全实现的资源。相比之下，物联网主要由小型系统组成，其中大多数资源有限，其中许多依赖电池供电。这需要一种更轻量级的方法，但这不能成为降低安全性的许可。

Synopsys的安全IP架构师Mike Borza指出:“物联网设备面临的最大挑战是它们非常小，深度嵌入，运行功耗低，而且是低成本设备。”“但这也意味着，想要攻击它们的人也可以广泛使用它们。”

有些技术在安全性和辐射等其他考虑方面受到了严格监管。例如手机和金融系统。

IAR Systems嵌入式安全解决方案总经理Haydn Povey指出:“对于移动电话，SIM卡有非常具体的制造要求。“同样，辐射量和相关的东西都在4G和5G规范中定义。在消费电子产品领域，这些都不存在。”

物联网的大致结构包括消费设备、工业设备、医疗保健电子产品，甚至未来的汽车，有些人认为这是物联网的延伸。这些群体的需求各不相同。其中，只有医疗保健和汽车行业受到严格监管。当涉及到消费或一般工业设备时，几乎没有指导可循。

诺伊施塔特解释说:“你有不同的认证驱动程序。“首先，你有法律法规可以要求数据对用户保密，你不能共享它。此外，还有推动标准和认证的标准机构和协会。”

这些集团有的来自政府，有的来自工业财团。但它们之间究竟是如何相互关联的通常并不清楚。

Renesas MCU安全解决方案经理Kimberly Dinsmore提到了英国正在进行的一个项目，该项目列举了全球所有各种安全规范。当它接近450时，它还在计数。部分原因在于不同应用程序的不同需求，但这也凸显了设计师和消费者面临的潜在挑战。

扩大物联网安全
并非所有的物联网设备都很简单。大公司和政府也使用物联网设备从多个不同的来源收集不同类型的数据，这些来源可能包括从工厂到保险公司的任何地方，许多公司的员工在工作中使用他们的个人设备。

从分布式拒绝服务攻击到勒索软件攻击，物联网设备都是罪魁祸首。考虑到受到攻击的系统的多样性、攻击者的资源和复杂性，以及数据价值的不断增长，很难想出一个长期有效的单一解决方案。安全标准是基于已知的攻击向量，但新的攻击向量一直在被创建。

“安全是一场军备竞赛。赛灵思公司．他说:“对手永远不会停滞不前，我们的要求也总是在变化。另一个需要考虑的重要因素是对手的能力。谁是你的对手?这是我们与客户打交道时经常遇到的问题。安全与保险非常相似。你想付多少保险费?你的IP值多少钱?谁是攻击它的对手?”

人们只需看看修补设备安全漏洞所需的源源不断的软件更新即可。该公司信任与安全产品经理约翰•霍尔曼(John Hallman)表示:“就这些部署是如何发生的而言，非常没有纪律。OneSpin解决方案．“我们刚刚开始盲目地接受更新带来的所有新条款，因为没有人想要阅读即将发布的版本的所有免责声明或软件补丁或固件更新的发布说明。我们已经失去了捕捉这些更新的纪律意识，攻击者只是利用这种缺乏纪律的情况，可以潜入这些更新。”

没有什么安全技术是防弹的。只要有足够的资源和决心，即使是最安全的设备也可能被黑客入侵，正如最近太阳风的攻击所显示的那样。面临的挑战是在可接受的风险水平与成本之间取得平衡，并在数据泄露的情况下为相对轻松的恢复做好准备。

政府制定基本原则
选择合适的安全级别本身就是一项挑战，但随着政府开始设定最低标准，这就增加了一个全新的不确定性水平，因为各个地区的安全法规可能存在很大差异。有些规定可能非常模糊，而另一些规定则更加具体。不过，它们至少构成了芯片制造商和系统开发人员的基准。

从历史上看，推动美国政策的大部分因素都来自美国国家标准与技术研究所(NIST)。它的规定主要适用于联邦机构可能购买的设备的要求，但如果联邦政府可能成为未来的客户，这也会影响任何商业设备。

NIST有两个特定的安全标准，8259A和8259D。前者比较一般，而后者比较具体。但是Silicon Labs物联网安全高级产品经理Mike Dow指出，8259D更多的是针对大型计算系统，而不是物联网。

NIST还以FIPS 140而闻名，这是一个影响硬件和软件的基本密码要求列表。但对于物联网设备来说，它通常被认为过于重量级，除了随机数生成等特定方面。

更好地适应物联网设备需求的可能是NIST的加密算法验证计划(CAVP)。“你可以选择你想要的认证，并确保你将要实施的算法已经被证明有效，”瑞萨的Dinsmore说。

这里的思想是选择要使用的NIST算法，然后验证实现是否正确工作。每个算法的成本为2000美元(可能不止一个)，但它比采用完整的FIPS 140路线更实惠。丁斯莫尔说，这可能要多花100倍的钱。

硬件可以进行认证，无论是物理模块还是用于多种设计的IP。形式验证用于验证IP与先前设计中认证的IP保持不变。

相比之下，软件总是需要重新认证。一个完整的设备，包括硬件和软件都将通过修订。Dinsmore补充道:“认证将针对特定的硬件/软件版本。”“一旦你改变了版本，你就破坏了认证。”

与此同时，美国正在通过其他法律。比如2020年物联网网络安全法案。此外，《网络盾法案》(Cyber Shield Act)今年再次提出。根据Dow的说法，它可能会遵循8259A，重点关注接口、软件和固件更新以及软件认证。从那里，它转向了公共签名检查和安全引导。

美国一些州有自己的规定。例如，加州和俄勒冈州都有“合理安全”的要求，这很难定义，而且可能必须在未来的诉讼中进行整理。

与此同时，欧洲有ETSI，从技术上讲，它是一个非营利组织，但它产生的标准在整个欧盟得到认可。它有一个名为EN 303 645的物联网网络安全标准。

从法律角度来看，欧盟也通过了自己的《欧洲网络安全法案》。它加强了ENISA，该组织有权为欧盟认证体系制定基本技术标准。

美国和欧洲倾向于为新加坡、芬兰和日本等其他国家设定方向。英国也增加了一些自己的轻量化要求。根据Dow的说法，ISO很可能通过ISO 27402统一美国和欧洲的方法。与此同时，中国也有自己的OSCCA组织。

行业联盟从那里开始
其他几个组织也在政府的基础上制定了针对具体情况的指导方针，其中一些还附带了认证流程。这些组织面临的挑战是，他们没有明确定义为什么需要他们。

他们的“关于我们”的描述往往集中在安全的重要性上，但他们并没有将自己置于其他群体中。事实上，如果你读了它们，你可能会得出这样的结论:每个组都是唯一存在的。这可能会使您在试图确定遵循哪个组织时非常困惑。

最广为人知的一套指导方针是通用标准。但它是一个重量级系统，通常用于智能卡和可信执行环境(tee)。

Synopsys的Borza说:“Common Criteria本来是做这些事情的默认组织。“但他们在适应物联网市场的要求方面非常缓慢。”

与FIPS 140一样，对于轻量级设备来说，这是一个硬性标准。因此，其他组织虽然可能遵循通用标准模型，但更直接地瞄准小型物联网设备。它们不仅仅是简单地验证加密实现。博尔扎说:“许多其他组织正在填补留下的空缺，因为对这么多人来说，通过共同标准认证是不可行的。”

各种标准组织
物联网安全基金会(IoTSF)从低水平开始，建立了自我认证的基本指导方针和方法。“物联网安全基金会采取的方法是证明你已经经历了一个过程，”Povey说，这是为了确保适当的思想和技术已经适用于给定的设备。

在芯片层面，美国最著名的组织是由Arm及其生态系统合作伙伴创立的。它被称为PSA(平台安全体系结构)，具有“PSA认证”的许可。实验室合作验证为被认证的设备所做的安全声明。这里的重点主要是基于MCU和mpu的系统。

“标致雪铁龙推出了信托的根源隔离、分离和设备生命周期管理——这些都是更全面的东西，”丁斯莫尔说。

也就是说，PSA可能被认为专注于Arm结构。博尔扎指出:“PSA与开发基于arm的设备的人有关，但没有其他处理器供应商真正加入进来。”

手臂然而，他强调，使用Arm技术并不是PSA的要求。Arm负责安全设备生态系统、汽车和物联网业务的高级总监David Maidment表示:“PSA认证是一个与架构无关的安全倡议，由六个安全实验室以及安全顾问Prove&Run和Arm组成。它以独立的方式运行，并使用TrustCB作为其认证机构来监督一致性和公正性。实验室根据特定认证级别的定义标准审查安全实现，并与NIST和ETSI网络安全基线保持一致。作为联合创始人，Arm为如何构建PSA认证产品提供资源和指导。”

虽然PSA认证似乎被广泛认为是专注于芯片，但梅德门特指出，它们还包括系统级认证。“PSA认证的存在是为了游说整个生态系统整合安全最佳实践，”他说。“该方案涵盖芯片、软件平台、RoT组件、电路板、平台和设备。”

在欧洲，全球平台组织已经开发了SESIP(物联网平台安全评估标准)，该标准仍然以硅为重点，但比PSA更广泛。它就像是通用标准的轻量级版本。通过对SESIP PSA配置文件的认证，设备可以同时获得SESIP和PSA认证。然而，反过来则不然:PSA认证本身并不能获得SESIP认证。

“不管是好是坏，像SESIP这样的认证会让你注意到流程和技术，”Scott Best说，他是该公司反篡改安全技术主管Rambus．“有内部攻击，有可能出现设计工具威胁，还有供应链威胁，很多认证过程都涉及到，‘你是如何构建这个产品的。它是在哪里制造的?你对那些在设计中有手指的人施加了多少控制?’在一个SoC上市之前，你可能已经有1000个人接触过它的设计。”

虽然远非完美，但贝斯特说，这类认证至少迫使公司检查他们的设计、工程流程和设施。贝斯特说:“我不太相信这些认证，但它们确实能弥补一些明显的缺陷。”“认证不一定是渗透测试，除非是一些安全应用，否则很少有要求做更多的事情。但是，所有用于安全应用的设备也不能进行穿透测试。”

接下来我们进入系统级别。英飞凌科技(Infineon Technologies)应用工程总监马克·斯塔福德(Mark Stafford)表示:“有一个专门针对物联网的标准，它从通用标准中借鉴了一些，那就是ioXt(安全物联网)。”“有一些经过认证的实验室有专门针对物联网的正式方法。”

ioXt专注于大规模物联网。这是一种“复合”方法，在对整个设备进行认证时接受组件和模块认证。例如，通过PSA认证的芯片可以“导入”该认证，并将其用于ioXt认证。

Neustadter指出:“另一种帮助不具备安全专业知识的小型市场进入者的方法是利用已经预先构建的安全系统，就像一个安全的飞地。”这使得芯片制造商对芯片进行预认证是有益的。这样就更容易卖给系统建造者，因为一些认证负担将被消除。同样，使用预认证的IP可以使芯片认证更容易。

与此同时，Eurosmart正在开发基于欧洲网络安全认证框架的方法:

• GSMA的物联网SAFE提出了一种利用SIM卡作为信任根的架构
• ISO 21434包含道路车辆的要求
• CTIA对通过蜂窝系统通信的设备执行其全球认证论坛(GCF)规则。

最重要的是，云提供商可能有自己的规则，与他们通信的设备必须遵守这些规则。

而且，IEEE和保险商实验室(UL)也不甘示弱，预计也会加入进来。UL参与的一个好处是消费者的认可，因为我们习惯于看到他们在熟悉的家用电器上证明整体设备的安全性。

与此同时，行业组织正在定义行业可以团结一致的特定于应用程序的安全配置文件。虽然这些努力通常由大公司主导，但它们是开放的组织，较小的公司也可以参与进来，以确保规则不会过度偏袒财力雄厚的在位者。

通过所有这些碎片化，任何合作或合并的唯一迹象似乎是能够从SESIP验证中获得PSA认证。近期似乎没有其他整合。

是否严格和度量标准
不同的方法具有不同的严格程度。显然，最不严格和最简单的方法是自我认证。您记录了您的安全策略，并对该文档的信任是您的动力。

因为其他组织使用实验室来验证安全声明，他们被认为更严格。但即便如此，也要由开发人员来说明设备具有哪些安全功能。实验室的作用是验证你说你做了什么。道说:“认证计划只是标准化你的测试方式。

有些项目有等级，这样，如果你符合一组特定的标准，你就有资格获得那个等级。这些级别没有统一的定义。

你看不到的是指标。这样的指标极难定义，更难以达成一致。

博尔扎说:“设计一个指标来告诉你你有多安全，从一到五，结果是非常非常困难的。”“这在很大程度上取决于谁在做测试。如果你说的是渗透测试，这取决于渗透测试人员的技能。”

此外，安全性的主要挑战之一是它是不断移动的。“在某个时间点，当你在某个指标上的得分是3.7时，关于安全性，你唯一可以可靠地说的是，它永远不会超过3.7，”Borza继续说道。“在未来的某个时间点，情况可能会更糟。”

设定的期望
获得认证需要时间和精力。该过程必须构建到整个开发计划中，以便时间表准确地设定期望。

一个极端的例子是安全元素(se)。根据陶氏的说法，这些认证可能需要两年的时间，即使是对一行代码的更改也会增加几个月的时间。相比之下，PSA可能需要几个月的时间才能颁发认证。

术语也会有所不同。例如，NIST使用“已验证”来表示我们所说的认证，而通用标准和PSA使用“已认证”。

“合规”这个词要复杂得多。博尔扎说:“那些不想花时间、精力和金钱对自己的产品进行全面验证的公司，通常会用‘合规’这个模棱两可的词来避免承认自己没有经过测试。”“特别是在FIPS 140的情况下，NIST会发现声称符合规定但尚未经过验证的产品，他们会发出停止通知。”

开发者该怎么做?
考虑到这种复杂的情况，开发者很难知道到哪里去寻求认证。这就变成了产品经理的角色:他们必须尽早决定认证策略应该是什么。

“对于产品经理来说，决定实施验证流程或获得认证的标准并不是一件简单的事情，”公司解决方案和生态系统高级集团总监Frank Schirrmeister说节奏．“他们需要为市场找到定义标准的地区，然后再慢慢了解你需要去哪个标准化委员会。”

Schirrmeister提出了一个不断升级的认证规模。除了政府规定的安全之外，它还从IoTSF的自我认证开始。在此基础上，您可以使用PSA和SESIP添加下一层。其他组织会进行系统范围的检查，因此适当的检查会因应用程序而异。

如果想要获得最高级别的祝福，可以申请FIPS 140或通用标准认证，但这是一个重要的过程，在确定自己能通过之前不应该开始。

波维说:“走这条路要付出巨大的代价。“只有当你知道自己会成功时，你才会想要经历它。你必须非常确定你已经做了功课，并且正确地实施了它。”

图1:组织认证层次结构的一种可能方法。底部说明了最基本的规则集，而最上面的方框需要大量的努力和资源才能实现。请注意，虽然许多人认为PSA是芯片级的，但Arm表示他们也做系统级的认证。他们还声称ioXt是特定于应用程序的。资料来源:Bryon Moyer/Semiconductor Engineering

根据Dinsmore的说法，如果有一种方法可以对抗许多威胁，那就是使用身份和公钥基础设施(PKI)——也就是说，可以用来验证设备的公钥/私钥对。然而，即使是这样，在一个由小型微控制器运行的小型设备中也是一个挑战。

她说:“有人用的是32位微型电脑，容量为256 KB，频率为48兆赫，我告诉他们，‘你需要为密码算法腾出80 KB，你需要这些算法来证明你自称的身份。’”

物联网消费者呢?
对于消费者来说，目前还没有什么适合他们的东西。安全认证世界对他们来说太复杂了。他们想在购买之前看到一个他们信任的品牌。现在还没有这样的标签，不过，如果UL通过了公认的认证程序，这将是一个消费者可以期待的名字。

如今，由于没有标签，消费者购买设备时都以为它们是安全的。这通常是一个糟糕的假设。安全性仍然不被认为是必须的，而是一种成本。Povey指出，根据英国数字、文化、媒体和体育部(DCMS)的数据，只有5%的设备具有安全性。因此，没有意识到这一点的消费者会带着一种错误的安全感进行购买。

Schirrmeister指出:“在实施方面需要进行教育，然后还有关于如何与消费者沟通的问题。

博尔扎说:“消费者没有任何真正的保证，也不能指望他们真正弄清楚什么东西足够好。”“所以这是一个迫切需要某种保护的地区。我不愿说它需要政府的监管。”

让行业自己决定是可行的，但只能在一定程度上起作用。博尔扎继续说:“苹果公司的立场是，他们是一家保护隐私的公司，这是一个很好的立场。”“但再开一次董事会，就会被人翻脸了。”

如果监管走得太远了，那么至少一个公正的第三方消费者团体可以帮助进行仲裁。诺伊施塔特说:“消费者组织或一些监督机构必须做出更严肃的报告，以监控设备安全。”

即使安全设备与非安全设备同时可用，安全设备的成本也会更高——可能会明显更高。在这方面，监管可以设定一个所有参与者都必须达到的安全底线，这样安全就不再是价格竞争的一个点。教育还将帮助消费者理解为什么在安全方面多花钱是值得的。

丁斯莫尔说:“我还没有看到任何东西能很好地解释安全性的价值，以至于客户愿意在网络摄像头上多花20英镑，因为它被证明是安全的。”

对于工业设备，人们很容易认为这些公司会雇佣能够通过认证的安全专家。但事实往往并非如此。博尔扎说:“大多数公司内部都没有专业知识。“而且他们很难招到人。”

在事情变得更简单之前，要找到获得设备安全认证的最佳方法仍然令人困惑和困难。这使得预先规划过程以及芯片或系统设计的所有其他要求变得更加重要。

相关的
永远在，永远在危险中
芯片安全问题随着更多的处理元素、自动唤醒、无线更新和更强的连接性而增加。
随着越来越多的设备连接，IC安全威胁日益严重
意识增加了，但系统的复杂性和潜在的攻击面也增加了。
半导体安全知识中心
关于安全的特别报告、头条新闻、白皮书、技术文件、视频和博客。
为什么很难阻止针对ic的网络攻击
与会专家:任何芯片都可以被逆向工程，那么如何才能将损害降到最低呢?
处理芯片中的安全漏洞
挑战从持续的安全更新到预期的寿命超过了制造它们的公司。