車(chē)聯(lián)網(wǎng)安全除了在終端、連接、平臺(tái)進(jìn)行必要的安全防御，還要進(jìn)行長(zhǎng)期的安全運(yùn)營(yíng)與安全管控。
車(chē)云按：2017年6月21日-22日，由中國(guó)安全產(chǎn)業(yè)協(xié)會(huì)、TIAA車(chē)載信息服務(wù)產(chǎn)業(yè)應(yīng)用聯(lián)盟與車(chē)云網(wǎng)共同主辦的2017年中國(guó)安全產(chǎn)業(yè)峰會(huì)暨首屆交通安全產(chǎn)業(yè)論壇在北京召開(kāi)。華為產(chǎn)品與解決方案營(yíng)銷(xiāo)運(yùn)作部物聯(lián)網(wǎng)營(yíng)銷(xiāo)總監(jiān)王元在會(huì)上介紹了華為物聯(lián)網(wǎng)安全方案及其在車(chē)聯(lián)網(wǎng)領(lǐng)域的應(yīng)用。
▲華為產(chǎn)品與解決方案營(yíng)銷(xiāo)運(yùn)作部物聯(lián)網(wǎng)營(yíng)銷(xiāo)總監(jiān)王元
以下為演講實(shí)錄：
感謝大會(huì)主委會(huì)的邀請(qǐng)，也感謝主持人的介紹，謝謝大家堅(jiān)持到現(xiàn)在，我盡量加快速度。我今天要講的是華為物聯(lián)網(wǎng)安全方案及其在車(chē)聯(lián)網(wǎng)領(lǐng)域的應(yīng)用。
首先大家了解到物聯(lián)網(wǎng)時(shí)代，萬(wàn)物可被遠(yuǎn)程感知以及控制，安全形勢(shì)目前異常嚴(yán)峻。有幾組的數(shù)據(jù)在這里，27%的控制系統(tǒng)已經(jīng)被攻破或者被感染，80%以上的設(shè)備采用簡(jiǎn)單的密碼，80%以上的設(shè)備保留有硬件、調(diào)試接口，然后這些都沒(méi)有封裝。還有大量的物聯(lián)網(wǎng)通信協(xié)議實(shí)際上是缺乏安全機(jī)制的。
面對(duì)這種比較嚴(yán)峻的形勢(shì)我們也會(huì)看到有大量的威脅案例存在，包括2015年的時(shí)候特斯拉案例，這個(gè)之前可能也有我們的演講嘉賓提到過(guò)。在2015年8月，美國(guó)安全局兩位專(zhuān)家對(duì)特斯拉進(jìn)行了模擬的黑客探測(cè)，然后他們是通過(guò)對(duì)特斯拉上面的SD卡進(jìn)行解析，發(fā)現(xiàn)里面有密碼是明文存儲(chǔ)的。這樣他們通過(guò)明文存儲(chǔ)的密碼遠(yuǎn)程登錄到云端系統(tǒng)上，然后通過(guò)系統(tǒng)的連接進(jìn)行對(duì)控制系統(tǒng)的固件升級(jí)更新，這樣更新之后它可以獲取到登錄本地汽車(chē)網(wǎng)關(guān)的密碼，從而遠(yuǎn)程登錄到汽車(chē)，對(duì)汽車(chē)進(jìn)行控制。
這里面三個(gè)比較重要的點(diǎn)就是在于本地存儲(chǔ)的泄露，以及終端系統(tǒng)密碼破解，以及終端仿冒到平臺(tái)上。這個(gè)案例告訴我們對(duì)于終端的攻擊很多時(shí)候是由于明文存儲(chǔ)未加密、未保護(hù)，造成了車(chē)毀人亡的事故。
第二個(gè)事例是在2016年10月，美國(guó)發(fā)生了大規(guī)模的DDOS的攻擊事件，起因是黑客通過(guò)網(wǎng)絡(luò)掃描發(fā)現(xiàn)大量非常容易被攻破的終端，他們有非常簡(jiǎn)單的密碼。通過(guò)病毒的感染對(duì)這些終端進(jìn)行遠(yuǎn)程控制，然后利用這些終端進(jìn)行大規(guī)模的DDOS攻擊，啟動(dòng)了150萬(wàn)臺(tái)設(shè)備對(duì)DNS進(jìn)行了三波的攻擊，美國(guó)大概有5個(gè)小時(shí)的時(shí)間屬于網(wǎng)絡(luò)癱瘓，非常嚴(yán)重。
第三個(gè)案例是在網(wǎng)絡(luò)側(cè)的攻擊，在2015年的1月份，南京水泥廠(chǎng)被周?chē)娜罕娕e報(bào)，說(shuō)他們二氧化硫排放量嚴(yán)重超標(biāo)。實(shí)際上在政府的檢測(cè)平臺(tái)，他們看到數(shù)據(jù)是顯示正常的，原因其實(shí)就在于水泥廠(chǎng)在當(dāng)氣體監(jiān)測(cè)器把氣體監(jiān)測(cè)數(shù)據(jù)采集之后上傳到RTU時(shí)，由于網(wǎng)絡(luò)傳輸過(guò)程是明文傳輸，這樣被非法分子篡改數(shù)據(jù)以至于造成嚴(yán)重的后果。
最后簡(jiǎn)單地分享關(guān)于系統(tǒng)方面的攻擊，這是在烏克蘭，他們的電網(wǎng)，當(dāng)時(shí)有黑客把釣魚(yú)軟件通過(guò)郵件發(fā)送給當(dāng)時(shí)辦公室的辦公人員，他們打開(kāi)之后，其中攜帶的木馬病毒就整體擴(kuò)散，然后辦公電腦被黑客當(dāng)作跳板，攻擊到了控制管區(qū)的控制主機(jī)。控制主機(jī)他們進(jìn)去之后對(duì)于關(guān)鍵的器件下了斷電指令，以至于停電時(shí)間3到6小時(shí)，非常嚴(yán)重。
而且黑客在攻擊之后把之前攻擊所有的指令信息全部摸掉，以至于檢測(cè)人員無(wú)法檢測(cè)之前的篡改。更有甚者他們對(duì)于求救中心進(jìn)行DDOS攻擊，以至于不知道大家發(fā)生什么事情無(wú)法恢復(fù)，所以造成大范圍停電，影響非常嚴(yán)重。
總觀(guān)我們?nèi)ケ容^物聯(lián)網(wǎng)安全和傳統(tǒng)IT安全他們有什么差別呢？
第一，安全后果不一樣。傳統(tǒng)IT后果大多數(shù)主要是信息的泄露，但是對(duì)于物聯(lián)網(wǎng)來(lái)說(shuō)包括很多方面，而且嚴(yán)重程度可能會(huì)非常駭人聽(tīng)聞，而且不同應(yīng)用場(chǎng)景后果是不一樣的。
第二，它的環(huán)境條件也不太一樣。傳統(tǒng)IT的話(huà)一般都是有專(zhuān)門(mén)的座機(jī)，計(jì)算能力相當(dāng)來(lái)說(shuō)是比較強(qiáng)的，但是對(duì)于物聯(lián)網(wǎng)來(lái)說(shuō)它有大量的終端存在，而且大量的終端可能是資源受限，計(jì)算能力，存儲(chǔ)能力等等各個(gè)方面，甚至還有可能暴露在戶(hù)外、野外，所以它受到的限制非常多，而且可能終端界面特別來(lái)說(shuō)都是比較簡(jiǎn)單的。
第三，攻擊手段和防御方法。從這點(diǎn)來(lái)看，據(jù)我們分析傳統(tǒng)安全和物聯(lián)網(wǎng)安全其實(shí)是大致相同的，不管是從攻擊方法和防御方法談。
所以我們考慮到對(duì)于物聯(lián)網(wǎng)安全，首先我們要根據(jù)它不同的場(chǎng)景以及不同的后果影響，然后對(duì)他們要進(jìn)行分級(jí)的防御措施。對(duì)于不同環(huán)境條件下不同的終端我們也應(yīng)該進(jìn)行分類(lèi)分級(jí)地處理。這是我們相當(dāng)于是對(duì)所有的目前可以了解到看到的攻擊方式進(jìn)行總結(jié)。
首先來(lái)看，我們是按照兩個(gè)維度，就是說(shuō)攻擊的對(duì)象。物聯(lián)網(wǎng)通常大家把它分成三層，從終端到網(wǎng)絡(luò)連接再到上面的平臺(tái)系統(tǒng)。從攻擊本身的類(lèi)型來(lái)說(shuō)，我們有假冒、篡改、泄露、DOS還有越權(quán)方式，同時(shí)攻擊威脅的影響我們也做了標(biāo)識(shí)，所以大概有35種攻擊方式列舉在這里，當(dāng)然這里還不是所有全部，只是給大家作為啟示。
我們?nèi)A為的安全架構(gòu)就是我們要構(gòu)筑“3+1”全面縱深防御機(jī)制，“3+1”怎么來(lái)講？
防線(xiàn)1是從終端來(lái)看提供適度的防護(hù)，物聯(lián)網(wǎng)終端等級(jí)是不一樣的，所以對(duì)于簡(jiǎn)單的終端以及強(qiáng)能力的終端，我們分別實(shí)施針對(duì)性的不同的防御措施。
防線(xiàn)2就是連接側(cè)，我們這里重點(diǎn)強(qiáng)調(diào)對(duì)惡意終端檢測(cè)，怎么樣進(jìn)行檢測(cè)？我們可以通過(guò)不同的檢測(cè)方式，然后看這些終端他們是不是有非預(yù)期的入網(wǎng)時(shí)間，是不是報(bào)文是非法的，以及數(shù)據(jù)流量是不是異常，然后來(lái)判斷他們是否是惡意終端。
防線(xiàn)3平臺(tái)側(cè)，我們重點(diǎn)強(qiáng)調(diào)的是數(shù)據(jù)全生命周期的管理，從采集到計(jì)算存儲(chǔ)到洞察以及到計(jì)算后期的開(kāi)放整體拉通來(lái)看。
以上是“3”，另外一個(gè)“1”是說(shuō)安全管控，是為運(yùn)維人員提供安全的指導(dǎo)以及各種工具的支持。
這里相當(dāng)于對(duì)每一層防線(xiàn)以及安全管控都提供了不同的防御方式，比如說(shuō)在終端側(cè)有本地驗(yàn)證，安全升級(jí)，安全加固，平臺(tái)認(rèn)證，本地資源管控等等。然后對(duì)于網(wǎng)絡(luò)側(cè)我們有無(wú)線(xiàn)惡意終端檢測(cè)，網(wǎng)絡(luò)端，可加固，防火墻等等，然后在平臺(tái)側(cè)我們還包括隱私的保護(hù)，比如說(shuō)還有數(shù)據(jù)庫(kù)的防火墻等等。安全管控方面我們重點(diǎn)強(qiáng)調(diào)的是大數(shù)據(jù)安全分析，以及端到端的安全運(yùn)維SOP。
這時(shí)候我們就回到之前特斯拉的案例，我們?cè)趺礃訉?duì)它進(jìn)行一個(gè)防御呢？
首先對(duì)于它本地的關(guān)鍵信息要做基于TPM/TEE的本地存儲(chǔ)加密，這樣的話(huà)安全硬件存儲(chǔ)它里面的信息，之前美國(guó)專(zhuān)家把它攻破主要原因其實(shí)也在于此。把信息安全加密之后，首先第一步把它防御住了，這是防線(xiàn)1。在防線(xiàn)2連接側(cè)，我們可以通過(guò)不同的方式，一種方式通過(guò)惡意終端的檢測(cè)發(fā)現(xiàn)異常，發(fā)現(xiàn)惡意終端，然后通過(guò)防火墻對(duì)它進(jìn)行隔離。
還有一種方式基于身份密鑰的分布式IBS認(rèn)證，接下來(lái)我們把它打開(kāi)來(lái)看。
防線(xiàn)1就是針對(duì)復(fù)雜關(guān)鍵的車(chē)載終端我們實(shí)行TPM/TEE的安全加密存儲(chǔ)，首先我們會(huì)把根密鑰在TPM中硬件存儲(chǔ)，之后根據(jù)密鑰我們生出關(guān)鍵密鑰，然后其中一個(gè)就可以用于存儲(chǔ)登錄密碼的加密。利用這個(gè)密鑰我們對(duì)要傳輸?shù)男畔⑦M(jìn)行加密，加密等所有的運(yùn)行都是在TEE OS中，就是說(shuō)可信環(huán)境中進(jìn)行執(zhí)行，然后把結(jié)果發(fā)送給應(yīng)用層。這樣的話(huà)就是說(shuō)它所有的處理都是在一個(gè)完全加固加密的環(huán)境中，以確保它信息的安全存儲(chǔ)加密。
防線(xiàn)2我們利用基于身份密鑰的分布式IBS認(rèn)證，這個(gè)在華為IoT平臺(tái)我們有連接管理，其中有密鑰生成模塊，主要是針對(duì)于下面的終端生成對(duì)應(yīng)其身份的密鑰。把密鑰通過(guò)網(wǎng)絡(luò)的TLS安全管道下發(fā)給各個(gè)終端，進(jìn)行認(rèn)證的時(shí)候就比如說(shuō)汽車(chē)B，它想要傳輸關(guān)鍵信息，那么它就通過(guò)用自己的私鑰對(duì)要傳輸?shù)男畔⑦M(jìn)行簽名加密。
比如說(shuō)它把信息傳給A，A擁有它的公鑰，這個(gè)公鑰就是其身份ID，所有相連接的終端也好都是擁有同樣的。A用B的公鑰，也就是B的身份ID，對(duì)傳輸過(guò)來(lái)的信息進(jìn)行解密認(rèn)證，如果解密之后的數(shù)據(jù)信息和同時(shí)傳送給它的信息一致的話(huà)，那么可以確認(rèn)A認(rèn)證成功，跟A建立連接互通。
還有一種比如說(shuō)把信息傳給平臺(tái)側(cè)，平臺(tái)有專(zhuān)門(mén)的連接管理模塊，它發(fā)現(xiàn)通過(guò)它所擁有的B的身份公鑰進(jìn)行解密之后，出來(lái)的傳輸數(shù)據(jù)和被傳送給它的傳輸信息是不一致的，那么它發(fā)現(xiàn)B是一個(gè)惡意終端或者是假冒的B終端。這樣子這個(gè)連接就不會(huì)建立，信息也不會(huì)進(jìn)行傳輸，這些就是起到了一個(gè)檢測(cè)隔離的作用。
我們還有一種方式，是通過(guò)日志檢測(cè)，它是不同檢測(cè)方式的一種，包括日志檢測(cè)、流量檢測(cè)以及報(bào)文檢測(cè)。對(duì)于汽車(chē)來(lái)講可以通過(guò)日志檢測(cè)來(lái)發(fā)現(xiàn)其異常，比如說(shuō)汽車(chē)每周進(jìn)行固件加固的更新，時(shí)間可能是在每周的凌晨時(shí)間設(shè)定好的，但是發(fā)現(xiàn)后來(lái)終端進(jìn)行申請(qǐng)固件加固的時(shí)間變成了中午，這就是非預(yù)期時(shí)間入網(wǎng)，我們就要對(duì)它進(jìn)行鑒別以及隔離。
另外一種可能位置的變動(dòng)，比如說(shuō)汽車(chē)一直在亞洲跑，突然發(fā)現(xiàn)有命令是在美洲的發(fā)出的，這也是一個(gè)異常行為，這樣我們會(huì)發(fā)現(xiàn)惡意終端。其他兩種中比較通用的是流量檢測(cè)，比如說(shuō)流量數(shù)據(jù)異常增大，這個(gè)對(duì)于DDOS的防護(hù)是非常重要的。還有對(duì)于報(bào)文檢測(cè)，難度是比較大的，因?yàn)樗治隼锩嫠w的信息是不是符合它的格式等等。這里我們就不一一贅述了。
發(fā)現(xiàn)惡意終端之后可以通過(guò)不同方式對(duì)它進(jìn)行隔離，其中一種可以利用工業(yè)級(jí)的防火墻，這樣子的話(huà)就是說(shuō)在連接網(wǎng)絡(luò)層我們有防火墻進(jìn)行一層隔離，對(duì)于檢測(cè)管理、管控側(cè)以及運(yùn)營(yíng)管理側(cè)，這時(shí)候我們同樣可以加一層防火墻進(jìn)行二次隔離，相當(dāng)于層層防護(hù)。
防線(xiàn)3這個(gè)就涉及到數(shù)據(jù)全生命周期的管理，比如說(shuō)在數(shù)據(jù)采集的時(shí)候我們一些敏感字段要進(jìn)行及時(shí)的加密以防它的泄露。還有包括數(shù)據(jù)在計(jì)算和存儲(chǔ)的時(shí)候，我們要對(duì)數(shù)據(jù)進(jìn)行脫敏、加密、霧化，以及包括數(shù)據(jù)洞察方面的密文關(guān)聯(lián)分析，以及數(shù)據(jù)開(kāi)放的安全審計(jì)、權(quán)限控制。當(dāng)然這里面涵蓋的信息又比較多，特別是對(duì)于車(chē)聯(lián)網(wǎng)的話(huà)，汽車(chē)從設(shè)計(jì)制造到后期的管理維護(hù)以及到后面的報(bào)廢處理一系列，其實(shí)它是很完整的。
另外“3+1”結(jié)構(gòu)中的1是對(duì)于安全管控，華為的平臺(tái)它能力是比較強(qiáng)大的。其實(shí)我們這個(gè)平臺(tái)側(cè)它主要提供的是設(shè)備管理，連接管理以及應(yīng)用使能。而應(yīng)用使能中對(duì)于大數(shù)據(jù)的分析是非常關(guān)鍵的，怎么樣利用機(jī)器學(xué)習(xí)和大數(shù)據(jù)實(shí)現(xiàn)智能化的安全防御，這里面涉及到各種模型的建立以及對(duì)于歷史數(shù)據(jù)的分析。我們這里提供的各種算法，以及分布學(xué)習(xí)能力，行為分析，異常檢測(cè)等等，這個(gè)其實(shí)跟我們之間的惡意檢測(cè)也是相互聯(lián)系的。
另外一個(gè)就是基于安全威脅防御的CIS解決方案，這個(gè)地方我們可以提供可視化的呈現(xiàn)方式。以至于分析人員可以更好地對(duì)這個(gè)數(shù)據(jù)進(jìn)行分析理解和處理，以及豐富的異常行為關(guān)聯(lián)分析的評(píng)估能力等等。所以越往上層和平臺(tái)的聯(lián)系非常密切的，華為OceanConnet平臺(tái)是嚴(yán)格遵循了安全開(kāi)發(fā)流程的，它經(jīng)過(guò)EuroPrise 及 IOActive認(rèn)證,和多方面的測(cè)試，包括靜態(tài)代碼分析、動(dòng)態(tài)分析、模糊測(cè)試，滲透測(cè)試等等。
同時(shí)對(duì)于終端的合作伙伴，華為在全球的Openlab和合作伙伴一起開(kāi)發(fā)，對(duì)于設(shè)計(jì)階段，需要達(dá)到什么樣的要求，我們都給出了《華為物聯(lián)網(wǎng)終端安全技術(shù)規(guī)范》。以及在終端進(jìn)行上市之前，怎么進(jìn)行測(cè)試，我們這里提出來(lái)一百多個(gè)測(cè)試場(chǎng)景，涵蓋是非常廣的，給終端用戶(hù)非常好的建議。另外對(duì)于上層安全管控的話(huà)，我們構(gòu)建E2E各環(huán)節(jié)的安全運(yùn)維，它是一個(gè)端到端整體的安全運(yùn)維規(guī)范，我們希望和大家一起在聯(lián)合制定。
好了，我的內(nèi)容就到這里，謝謝大家！
文章評(píng)論
時(shí)間|熱度