物联网安全（原书第2版）

第2版更新要点

同本书第1版相比，第2版从内容到结构均做了不同程度的调整。主要包括：

• 进一步将物联网生态系统的各个组成部分进行了澄清（第1章）；
• 全面介绍了安全开发生命周期（第3章），包括瀑布式开发、螺旋式开发、敏捷开发、DevOps等；
• 分别对物联网设备的安全设计、物联网安全运维生命周期进行了专题介绍（第4章、第5章）；
• 增加了对雾计算相关内容的介绍（第10章）。

随着物联网的来临，业务系统需要具备防范新兴威胁的能力。当前，业务生态系统中包含了云计算基础设施、移动终端、固定终端等诸多系统设备，这些都导致了新攻击面的出现，相关各方也都体现出了信息共享的迫切愿望，以及基于所采集的大量数据开展运用的需求。因此，在实现新型物联网服务与解决方案时，*大程度地降低网络安全威胁极为重要。人、设备以及机构之间的互联互通也将网络安全风险提升至前所未有的高度。随着计算资源的流动性越来越强，所有业务都连接到云端，现有的基础设施难以实现数以百万级设备的安全管理，而我们正是通过这些设备同物联网建立了连接。
本书向读者介绍了网络安全解决方案、物联网设计的*佳实践以及物联网解决方案中设备与基础设施威胁的缓解方法。
在本书中，首先，你将了解到物联网技术栈各个层次中部分典型、不同于以往的漏洞，并将了解到信息系统同现实威胁的新的关联路径。然后，你将了解开发人员/厂商为确保物联网设备安全设计与安全部署采用的不同方法。而且，你将了解为企业级物联网实现安全开发所专门设计的安全措施。通过为物联网部署加密基础设施，你还将了解可操作指南。之后，你将会了解物联网身份标识与访问控制管理的选择与配置。*后，我们会展开介绍云安全架构与安全*佳实践，以实现跨架构、多域物联网部署的运维与管理。

*部分：基本概念。包括第1章和第2章，介绍物联网的基本概念、面对的威胁，以及主要分析方法。

第二部分：物联网安全保障。包括第3～5章，分别从开发、设计、运维角度对如何保障物联网安全进行了介绍。

第三部分：密码学基础知识及其在物联网中的应用。包括第6章和第7章，首先对密码学的基础知识进行了介绍，然后介绍了物联网的身份标识与访问控制解决方案。

第四部分：专题要点。包括第8～11章，针对物联网特点，从隐私保护、合规性监管、云安全、安全事件响应与取证等人们较为关心的问题进行了专门的介绍。

布莱恩·罗素（Brian Russell）

Brian Russell是网络安全公司TrustThink的创始人，主要致力于可信物联网解决方案的研发，拥有20余年的信息安全从业经验，负责过多个领域复杂系统的安全工程项目，涉及密码现代化、密钥管理、无人机系统以及网联汽车安全等。他也是云安全联盟物联网工作组的联席主席，分别于2015年和2016年获云安全联盟*高奖项Ron Knode Service Award。他还是圣迭戈大学网络安全运维与管理课程的兼职教授。

德鲁·范·杜伦（Drew Van Duren）

Drew Van Duren拥有20余年的信息安全从业经验，致力于为商业和政府的信息系统提供安全保障，其中很多系统都涉及人身安全与国家安全。通过将系统安全设计同核心工程学科紧密结合，他在应用密码学设计、密钥管理、系统安全架构设计等领域积累了丰富的经验。还担任着两个密码测评实验室的技术负责人，这两个实验室是美国提供FIPS 140-2测评认证业务*大的实验室，并且Drew还为纽约市网联汽车部署试点项目提供安全咨询，同时是多家标准组织的成员，如RTCA、SAE以及IEEE 1609工作组。现在，Drew是IEEE P1920标准委员会的成员，负责无人机网络安全架构的标准制定。

译者序
关于作者
关于审校人员
前言
第1章　勇敢的新世界 1
1.1　物联网的定义 2
1.2　网络安全与物联网安全 4
1.3　物联网的现状 5
1.3.1　基于物联网赋能的电网 6
1.3.2　交通运输系统的现代化 7
1.3.3　智能制造 8
1.3.4　遍布全球的智慧城市 8
1.3.5　跨行业协作的重要性 9
1.4　物联网生态系统 10
1.4.1　物理设备与控制器 11
1.4.2　互联互通 14
1.4.3　消息传输协议 17
1.4.4　数据汇聚 20
1.4.5　数据抽象 21
1.4.6　应用 21
1.4.7　协作与处理 23
1.5　物联网的未来 24
1.5.1　自治系统 24
1.5.2　认知系统 24
1.6　本章小结 25
第2章　漏洞、攻击及应对措施 26
2.1　威胁、漏洞和风险概述 26
2.1.1　信息保障的经典核心要求 26
2.1.2　威胁 28
2.1.3　漏洞 28
2.1.4　风险 29
2.2　攻击与应对措施概述 30
2.2.1　常见的物联网攻击类型 30
2.2.2　攻击树 32
2.2.3　故障树和信息物理系统 36
2.2.4　针对信息物理系统的攻击实例剖析 38
2.3　当前针对物联网的攻击手段 40
2.4　经验教训以及系统化方法的运用 44
2.5　本章小结 53
第3章　物联网设备的安全开发方法 54
3.1　安全开发生命周期 54
3.1.1　瀑布式开发 55
3.1.2　螺旋式开发 58
3.1.3　敏捷开发 60
3.1.4　DevOps 63
3.2　非功能性需求的处理 65
3.2.1　信息安全 66
3.2.2　功能安全 69
3.2.3　韧性 70
3.3　软件透明性需求 71
3.3.1　自动化的安全分析 71
3.3.2　研究团体的参与 72
3.4　本章小结 73
第4章　物联网设备的安全设计 74
4.1　物联网安全开发所面临的挑战 74
4.1.1　加快上市速度带来的影响 75
4.1.2　联网设备面临着纷至沓来的攻击 75
4.1.3　物联网设备给用户隐私带来了新的威胁 76
4.1.4　物联网产品与系统可能遭受物理入侵 76
4.1.5　经验丰富的安全工程师一将难求 77
4.2　安全设计的目标 77
4.2.1　设计能够抵御自动化攻击的物联网系统 78
4.2.2　设计能够保证连接点安全的物联网系统 78
4.2.3　设计能够保障机密性与完整性的物联网系统 80
4.2.4　设计功能安全的物联网系统 82
4.2.5　设计采用硬件保护措施的物联网系统 83
4.2.6　设计能够保证可用性的物联网系统 85
4.2.7　设计具备韧性的物联网系统 86
4.2.8　设计合规的物联网系统 90
4.3　本章小结 92
第5章　物联网安全运维生命周期 93
5.1　制定安全策略 94
5.2　定义系统角色 95
5.3　网关与网络的安全配置 96
5.3.1　确保WSN的安全 96
5.3.2　端口、协议与服务 97
5.3.3　网关 99
5.3.4　网络服务 100
5.3.5　网络分段与网络访问控制 100
5.4　设备引导与安全配置 100
5.5　威胁情报与漏洞跟踪体系的构建 102
5.5.1　漏洞跟踪 102
5.5.2　威胁情报 102
5.5.3　蜜罐 103
5.6　资产管理 103
5.7　密钥与证书的管理 104
5.8　账户、口令与授权的管理 105
5.9　固件管理与补丁更新 106
5.10　系统监控 106
5.11　相关人员的安全培训 108
5.11.1　面向员工的安全意识培训 108
5.11.2　针对物联网的安全管理培训 108
5.12　开展渗透测试 109
5.13　合规性管理 112
5.13.1　HIPAA 114
5.13.2　GDPR 114
5.13.3　合规性监控 114
5.14　安全事件管理 115
5.15　末期维护 116
5.16　本章小结 117
第6章　物联网安全工程中的密码学基础 118
6.1　密码学及其在保障物联网安全方面的作用 119
6.1.1　物联网中密码学基础算法的类型及用途 120
6.1.2　加密与解密算法 120
6.1.3　散列算法 124
6.1.4　数字签名算法 125
6.1.5　随机数生成算法 129
6.1.6　密码套件 130
6.2　密码模块原理 131
6.3　密钥管理基础 136
6.3.1　密钥生成 137
6.3.2　密钥建立 137
6.3.3　密钥导出 138
6.3.4　密钥存储 139
6.3.5　密钥托管 140
6.3.6　密钥生命周期 140
6.3.7　密钥清零 140
6.3.8　登记和管理 141
6.3.9　密钥管理相关建议总结 142
6.4　针对物联网协议加密控制措施的分析 143
6.4.1　物联网通信协议中的加密控制措施 143
6.4.2　物联网消息传输协议中的加密控制措施 146
6.5　物联网密码学的未来走向 147
6.5.1　加密的灵活性 148
6.5.2　后量子时代的加密技术 149
6.6　本章小结 149
第7章　物联网的身份标识与访问控制管理解决方案 150
7.1　物联网IAM介绍 150
7.2　身份标识生命周期 153
7.2.1　建立命名规则和唯一性要求 153
7.2.2　安全引导 155
7.2.3　认证信息和属性分发 157
7.2.4　账户监视和控制 158
7.2.5　账户更新 158
7.2.6　账户停用 158
7.2.7　账户或认证信息的撤销或删除 159
7.3　认证信息 159
7.3.1　口令 159
7.3.2　对称密钥 160
7.3.3　证书 160
7.3.4　生物特征 162
7.3.5　对物联网设备的授权 162
7.4　物联网IAM基础架构 163
7.4.1　802.1x 163
7.4.2　物联网PKI 163
7.5　授权和访问控制 168
7.5.1　OAuth 2.0 168
7.5.2　发布或订

当前，很少有人会对物联网（Internet of Things，IoT）在信息安全、功能安全和隐私保护方面的安全隐患提出质疑。鉴于物联网在产业界巨大的应用前景以及用户的多样性，在决定写作本书时我们面临的主要挑战和目标，是如何以一种尽可能实用而又与具体行业无关的方式识别并凝炼出物联网安全的核心概念。同样重要的是，在考虑到当前以及未来不断涌现的数量无法估计的物联网产品、系统和应用时，我们需要对现实应用及其背后的理论予以同样的重视。为此，本书囊括了部分信息安全（以及功能安全）的基础知识。我们按照够用的原则把这些内容纳入进来，是因为几乎所有重要的安全讨论和分析都会涉及这些基础知识。在本书介绍的安全主题中，有些适用于设备（终端），有些适用于设备间的通信连接，其他的则适用于有一定规模的组织机构。
本书的另一个目的在于把物联网相关的安全指导准则解释清楚，而不是完全照搬当前网络、主机、操作系统、软件等对象采用的大量现成的网络安全理论，尽管其中某些内容对于物联网安全依然能够发挥作用。本书在撰写时并未打算针对某一特定行业，或者专注于销售某款产品的公司，而是致力于筛选出实用的安全技术并结合物联网自身特点加以调整，同传统网络安全采用的技术相比，无论在显著特点还是细微差别方面，物联网安全技术都有所不同，而本书介绍的安全技术会将物联网的特点及其同传统网络安全的细微差别充分考虑在内。
当前，从传统制造业（例如家电、玩具、汽车等）到新兴的技术公司，联网设备与服务的研发销售速度惊人，并且增速仍在不断提高。但遗憾的是，并非所有联网设备与服务都是安全的，已经有安全研究人员毫不客气地指出了这一事实，他们对此深感忧虑。尽管这些安全研究人员的很多意见有理有据，但其中部分批评意见也确实表现出了些许傲慢。
然而有趣的是，有些传统行业的技术在高可信（high-assurance）的功能安全和容错设计方面还是很先进的。在产品和复杂系统的工程实现中，用到了大量机械、电气、工业、航空航天和控制工程等主干工程学科的知识与高可信的功能安全设计，从而使得这些产品和复杂系统具有非常高的功能安全性。而很多网络安全工程师对这些学科完全不了解，也意识不到这些学科领域中的知识对功能安全和容错设计的重要作用。
因此，在保障物联网安全的过程中，我们遇到了一个重大障碍，那就是在设计、部署所谓的“信息物理系统”（Cyber-Physical System，CPS）时，会涉及功能安全、功能实现以及信息安全等方面的学科知识，但是融汇各个学科开展协作的情况却非常糟糕。对于在信息物理系统中物理工程学科同数字工程学科的融合方式，大中专院校的课程设置以及企业工程部门也鲜有涉及。我们希望，无论是工程师、安全工程师，还是各类技术管理人员，都能够了解如何更好地开展协作以实现保障功能安全和信息安全的目标。
在受益于物联网的同时，我们还必须最大限度地阻止当前和未来物联网可能给我们带来的危害。要做到这一点，我们就需要采取适当的方式来保障物联网的信息安全与功能安全。我们期望读者能够从本书中有所收获，了解如何对物联网提供安全保障。
本书的读者对象
通过对本书的阅读，当读者所在机构接入物联网设备时，他们就知道如何来保障机构中数据的安全了。本书面向的读者对象主要为信息安全专业人士（包括渗透测试人员、安全架构师以及白帽黑客）。同时，业务分析人员和管理人员也能够从本书中获益。
本书内容
第1章介绍了物联网的基本概念，包括物联网的定义、功能、具体应用和实现等内容。
第2章介绍了物联网面对的各种威胁以及针对这些威胁的应对措施。
第3章主要聚焦于开发人员或者厂商对物联网设备进行安全设计与安全部署时可以采用的各种工程方法。
第4章介绍了部分工具和方法，利用这些工具和方法可以为企业级物联网实现的定制开发提供安全保障。
第5章介绍了物联网系统安全生命周期，关注于物联网系统运维层面，包括规划、部署、管理、监控与检测、修复以及处置等内容。
第6章对应用密码学的相关知识进行了介绍。
第7章深入介绍了物联网的身份标识与访问控制管理机制。
第8章研究了物联网隐私泄露的相关问题，可帮助读者了解如何缓解隐私泄露风险。
第9章介绍如何制定物联网的合规性程序。
第10章对物联网相关的云端安全概念进行了介绍。
第11章对物联网安全事件管理和取证进行了介绍。
本书所需的实验环境
为了完成书中的实验，建议读者安装4.3版本的SecureITree软件，并准备一台通用的台式或笔记本计算机，在Windows、Mac或Linux操作系统中部署好Java 8的运行环境。
警告或者重要提示采用该标记进行指示。
提示与小技巧采用该标记进行指示。