ISACA Journal
Volume 4, 2,015 

Translated Articles 

物聯網解決方案的安全性與隱私權挑戰 

作者:Sivarama Subramanian, CISM, Varadarajan Vellore Gopal, CEH and Marimuthu Muthusamy 

物聯網(IoT)是令人著迷的,因為它潛在地快速轉變企業與人類的生活。人們普遍認為,物聯網對於人類生活將促成的重大轉變,會與網際網路轉變人類溝通及分享資訊的方式相似。

物聯網包括設備和傳感器相互作用,並與其他機器、物體和環境進行通信。Gartner 預測,到了2020年將會有260億的設備相互連結。1, 2 另外,仍有其他預測指出到了2020 年將會有500 億的設備相互連結。3 在這些相互作用的設備與系統間爆炸姓增長的結果,預計大量的數據會被產生以及移動在信息處理系統中。這些原始數據將被處理和分析,以產生有意義的資訊來進行可執行的決策。

物聯網的應用領域

在現有的形式下,物聯網預計轉化每一個商業領域,包括製造業與物流(ManLog)、醫療保健、銀行及金融服務、生命科學、零售與產業以及家庭自動化。在某些領域中使用物聯網的情況4 包括以下的內容:

  • 製造業與物流:
    • 機器對機器通訊
    • 機器對基礎設施通訊
    • 移動中貨物的資產追蹤
  • 醫療保健與生命科學:
    • 患者健康的遠程監控
    • 診斷和藥物輸送
  • 產業與家庭自動化:
    • 智能城市、智能家庭及自動化
    • 產業建築自動化
    • 家電監控,如洗衣機、空調和冰 箱
    • 畜牧業—標記和裝置來監控活動
  • 零售業:
    • 條形碼和無線射頻識別(RFID)的 替換,以支援更多數據到監控系 統 ,從而提高供應鏈效率
    • 透過產品與智能手機的通信, 更 易於產品的學習性與曝光率

正在規劃的多樣性服務使用物聯網意味著沒有一家公司可以開發出一個完整的終端對終端的解決方案與支持以物聯網為基礎的創新。所有的商業領域,零售業將成為第一個大量採用物聯網的領域。顯而易見的是, Walmart已經在其供應鏈管理上實施物聯網。5

物聯網的通用拓墣

物聯網的體系結構通常由四個相互關聯的系統或是個體來表示,如 圖1 所示。

某些組織可能廢除其當地服務器的雲端基礎設施。

物件或裝置
“物件”是任何當前互相聯結在工業、家庭或企業設置,並有能力蒐集目前的狀態或信息加以行動,或將其發送到其他系統進行進一步的分析。

所有的這些物聯或裝置都附有感應器來協助蒐集目前的狀態或信息。基於能力和處理能力分 類的三種有效的裝置如下:

  • 最小的裝置是具有8位元的系統晶片(SoC)控制器(例如Arduino boards)
  • 下一個層級的裝置是具有32 位元架構的 Atheros or ARM晶片。這些運行一個壓縮或嵌入式Linux平台,例如OpenWRT。
  • 最有能力的是32 位或64 位平台,如 Raspberry Pi 或Beagle Bone。這些設備可以運行一個完整的Linux 操作系統或其它操作系統如Android。在許多情況下,這些都行動電話或基於行動電話技術。

有多種的技術/協議它是可以連接到外部世界。一些最廣泛使用的包括:

  • 乙太網路或Wi-Fi連接
  • 低功耗藍芽
  • 近距離無線通訊
  • 紫蜂技術

通訊閘
通訊閘是連接物聯網與各設備間之中介系統,並提供支援功能,如可管理性和安全性。當網路間其各設備無法直接溝通傳輸時,此時需要有通訊閘作為中介。從IT 的角度來看,85%的現有的設備/物件中,其設計並非使用來連接網路通訊,且通訊閘是這些物聯網裝置中最主要的關鍵。6 圖2 為在物聯網環境中使用的各種網絡協議。

網絡和雲端基礎架構
網絡是當前的網際網路相互連接通訊協議(IP)系統,如路由器,中繼器和通訊閘,控制資料流,並連接到電信和有線網絡如3G,4G和 LTE。

雲端基礎設施提供了必要的工具,從物聯網所產生的資料其處理數據需要龐大的儲存容量與處理能力。

服務層

該層是由組件所包括(例如,服務總線,提取,轉換,加載[ETL];應用;網絡伺服器)來實現數據的動作,並透過各種渠道,如桌面,瀏覽器和行動裝置(應用程式)應用來呈現其用於不同介面。

安全和隱私問題/挑戰
物聯網承諾提供前所未有的隨時隨地可以接 入到彌補一切從組裝線,健康和保健設備,以及氣象傳感器運輸系統的設備。不受阻礙地獲得那些數據帶來重大的安全和隱私的挑戰,其中包括:

  • 不足認證/授權—龐大的用戶和設備的數量依賴於虛弱和簡單的密碼和授權。許多設備通行密碼,如“1234”。
  • 缺乏傳遞加密—大多數設備不對被傳輸的資料進行加密,即使當設備使用互聯網。
  • 不安全的網絡/手機界面—大多數物聯網為基礎的解決方案,對設備管理或匯總數據的消費網絡/手機界面。這個Web界面被發現是容易出現的開放Web應用安全項目(OWASP)十大安全漏洞,如不良區段管理,弱缺省的憑證和跨站點腳本漏洞。
  • 缺省憑證—大部分設備和傳感器配置為使用缺省的用戶名/密碼。
  • 缺乏安全碼作法—服務和商業邏輯應以不固守安全編碼之作法被開發。
  • 隱私擔憂—在衛生保健領域中使用的設備收集的至少一種個人信息;設備絕大多數收集詳細信息,如用戶名和出生日期。然而,事實上,許多設備在網絡上傳輸的信息沒有加密,甚至帶來更多的隱私風險。隱私風險存在於作為物聯網中的對象收集和數據,涉及到他們的服務聚合小部分。例如,經常購買不同種類的食物可以透露買家的宗教或健康信息。這是隱私的一個方面相對於物聯網挑戰。

減輕安全和隱私挑戰

物聯網的產品是由安全僅當安全嵌入在生產的生命週期。物聯網解決方案的每個組成部分也應進行安全檢查,以檢測漏洞。

對策如下述,可以採取應對安全挑戰:

  • 基礎設備平台分析—弱平台配置可能導致妥協,如權限提升。7 一個基本的設備平台,操作系統和安全性能,配置和功能應該與基成蔭的信息安全要求進行驗證。驗證需要做以確保任何測試接口從硬件移除。
  • 網絡流量驗證—網絡通信(有線或無線)應為任何可截取,未加密的或者修改的數據8 進行分析。有性能和安全性之間的折衷加密時推薦的。輕質的加密算法可以用來滿足性能要求 。
  • 功能安全認證要求—高級功能的安全要求應驗證。他們也應受到負面測試(顛覆或模糊)。9 物聯網解決方案,可以使用軟件即服務(SaaS)為基礎的身份管理解決方案的授權和認證的要求。
  • 信任邊界審查和故障注入—整個信號路徑中的所有信任邊界進行審查,如有故障注入用負面測試用例。10 信任邊界可以採用手動滲透技術進行驗證。定期滲透測試建議。
  • 側信道攻擊防禦驗證—如果邊信道防線實施,無論是在軟件還是硬件,就應該使用連續滲透測試活動驗證。連續滲透測試有助於最大限度地減少高級持續性威脅(APT)的物聯網解決方案。
  • 安全代碼審查—早期的安全代碼審查導致早期緩解技術。敏感和安全的影響等方面的引導過程中,安全執法和加密模塊應通過安全的代碼審查。當安全漏洞在開發週期被發現定影安全缺陷的成本大大降低。
  • 終端到終端的滲透測試—終端到終端的滲透測試應該在整個信號路徑進行識別的物聯網解決方案的Web界面,手機界面和雲接口的任何漏洞。滲透測試將給出每個組件的物聯網解決方案的安全狀況。

物聯網解決方案之安全評估

總部設在美國的軟體公司開發利用物聯網安全技術的旅遊產品。該產品可提供關於車輛的即時資料,如車速、車輛的位置與同行的旅伴。

所涉及的技術元件包括:

  • 車輛之感知器
  • 通訊閘
  • 服務
  • 網頁界面
  • 手機界面

威脅樣式如欺騙,篡改,拒絕,信息洩漏,拒絕服務(DoS),權限提升(STRIDE)等軟體方法進行識別攻擊的情況,並為每個組員制定減緩計劃 (圖3)。

結論

在物聯網解決方案的早期生命週期中引入安全性可以使更佳地容易設計。關於物聯網解決方案之安全與隱私的挑戰,可以通過以下安全系統開發生命週期(SDLC)的做法,透過安全編碼和定期的測試可加以解決。

Endnotes

1 Gartner, “Gartner Says the Internet of Things Installed Base Will Grow to 26 Billion Units by 2020,” Newsroom, 12 December 2013, www.gartner.com/newsroom/id/2636073
2 Gartner, “Gartner Says the Internet of Things Will Transform the Data Center,” Newsroom, 19 March 2014, www.gartner.com/newsroom/id/2684616
3 Cisco, “The Internet of Things,” Cisco Visualizations, 2014
4 Freescale, What the Internet of Things (IoT) Needs to Become a Reality, white paper, May 2014, www.freescale.com/files/32bit/doc/white_paper/INTOTHNGSWP.pdf
5 Hardgrave, Bill; “RFID Adoption Is on Target,” RFID Journal, 5 January 2015, www.rfidjournal.com/articales/view?12575
6 Intel, Developing Solutions for Internet of Things, white paper, 2014, www.intel.in/content/dam/www/public/us/en/documents/white-papers/developing-solutions-for-iot.pdf
7 NCC Group, Security of Things: An Implementer’s Guide to Cyber-Security for Internet of Things Devices and Beyond, 2014, https://www.nccgroup.com/en/learning-and-research-centre/white-papers/security-of-things-an-implementers-guide-to-cyber-security-for-internet-of-things-devices-and-beyond/
8 Ibid.
9 Ibid.
10 Ibid.

作者:Sivarama Subramanian, CISM
Is lead security tester for Center of Excellence (CoE) at Cognizant Technology Solutions, where he is leading security testing research, enabling new service rollouts and aligning new security trends to customer needs. He can be reached at sivaramasubramanian.kailasam@cognizant.com.

Varadarajan Vellore Gopal, CEH
Is a security researcher and security testing manager at Cognizant Technology Solutions, where he manages a security testing program for a banking and financial company. He can be reached at varadarajan.velloregopal@cognizant.com.

Marimuthu Muthusamy
Is chief architect at Cognizant Technology Solutions. He can be reached at marimuthu.muthusamy@cognizant.com.

譯者:諶家蘭,國立政治大學會計學系特聘教授,電腦稽核協會專業發展委員會委員/編譯出版委員會委員

Quality Statement:
This Work is translated into Chinese Traditional from the English language version of Volume 4, 2015 of the ISACA Journal articles by the Taiwan Chapter of the Information Systems Audit and Control Association (ISACA) with the permission of the ISACA. The Taiwan Chapter assumes sole responsibility for the accuracy and faithfulness of the translation.

品質聲明:
ISACA臺灣分會在ISACA總會的授權之下,摘錄 ISACA Journal 2015,Volume 4 中的文章進行翻譯。譯文的準確度及與原文的差異性則由臺灣分會獨立負責。

Copyright
© 2015 of Information Systems Audit and Control Association (“ISACA”). All rights reserved. No part of this article may be used, copied, reproduced, modified, distributed, displayed, stored in a retrieval system, or transmitted in any form by any means (electronic, mechanical, photocopying, recording or otherwise), without the prior written authorization of ISACA.

版權聲明:
© 2015 of Information Systems Audit and Control Association (“ISACA”). 版權所有,非經ISACA書面授權,不得以任何形式使用、影印、重製、修改、散布、展示、儲存於檢索系統、或以任何方式(電子、機械、影印、或錄影等方式)發送。

Disclaimer:
The ISACA Journal is published by ISACA. Membership in the association, a voluntary organization serving IT governance professionals, entitles one to receive an annual subscription to the ISACA Journal.

Opinions expressed in the ISACA Journal represent the views of the authors and advertisers. They may differ from policies and official statements of ISACA and/or the IT Governance Institute and their committees, and from opinions endorsed by authors’ employers, or the editors of this Journal. ISACA Journal does not attest to the originality of authors’ content.

Instructors are permitted to photocopy isolated articles for noncommercial classroom use without fee. For other copying, reprint or republication, permission must be obtained in writing from the association. Where necessary, permission is granted by the copyright owners for those registered with the Copyright Clearance Center (CCC), 27 Congress St., Salem, MA 01970, to photocopy articles owned by ISACA, for a flat fee of US $2.50 per article plus 25¢ per page. Send payment to the CCC stating the ISSN (1526-7407), date, volume, and first and last page number of each article. Copying for other than personal use or internal reference, or of articles or columns not owned by the association without express permission of the association or the copyright owner is expressly prohibited.

免責聲明:
ISACA Journal 係由ISACA出版。ISACA 為一服務資訊科技專業人士的自願性組織,其會員則有權獲得每年出版的 ISACA Journal。

ISACA Journal 收錄的文章及刊物僅代表作者與廣告商的意見,其意見可能與ISACA以及資訊科技治理機構與相關委員會之政策和官方聲明相左,也可能與作者的雇主或本刊編輯有所不同。ISACA Journal 則無法保證內容的原創性。

若為非商業用途之課堂教學,則允許教師免費複印單篇文章。若為其他用途之複製,重印或再版,則必須獲得ISACA的書面許可。如有需要,欲複印ISACA Journal 者需向Copyright Clearance Center(版權批准中心,地址:27 Congress St., Salem, MA 01970) 付費,每篇文章收取2.50 元美金固定費用,每頁收取 0.25 美金。欲複印文章者則需支付CCC 上述費用,並說明ISACA Journal 之ISSN 編碼(1526-7407)、文章之出版日期、卷號、起訖頁碼。除了個人使用或內部參考之外,其他未經ISACA 或版權所有者許可之複製行為則嚴明禁止

 

Add Comments

Recent Comments

Opinions expressed in the ISACA Journal represent the views of the authors and advertisers. They may differ from policies and official statements of ISACA and from opinions endorsed by authors’ employers or the editors of the Journal. The ISACA Journal does not attest to the originality of authors’ content.