随着物联网产业规模不断壮大，数以亿计的终端设备接入物联网，给消费者和传统企业带来了创新、智能、互联的新服务，与此同时，物联网也承载了越来越多的生产生活信息和个人隐私数据，其安全问题逐渐得到重视。相对于传统互联网，物联网的多源异构性、开放性、泛在性等特点，使其面临着更加复杂的安全风险与挑战。其中，物联网终端常常部署在无人值守或者不安全的物理环境中，且自身安全能力差异大，容易成为攻击者的目标，目前已成为物联网整体安全的薄弱环节。如何解决物联网终端安全问题，是进一步推动物联网业务广泛部署、产业快速发展的关键。从目前产业内各方的安全技术应用和实践来看，基于终端可信计算技术，可以提高物联网终端自身的安全防护能力，增强通讯安全并提升物联网云端服务器的终端安全管理能力，全方位提升物联网的整体安全性。
一、物联网安全问题概述
近年来物联网安全事件层出不穷，物联网安全支出不断增长。伴随着各类物联网场景的快速应用，物联网相关安全事件也不断涌现，给人们生产生活带来危害，比如，2016年10月，攻击者利用Mirai恶意软件控制了上百万台物联网设备，并组成“僵尸网络”向美国主要域名解析服务商Dyn公司发起大规模DDoS（拒绝访问服务）攻击，造成包括Twitter、Reddit等在内的大量互联网知名网站数小时无法正常访问；2021年8月，美国联邦网络安全和基础设施安全局（CISA）公布了一个影响超8300万台设备的物联网设备严重漏洞，攻击者通过该漏洞可以看到网络摄像头等设备拍摄的实时视频，并能利用该漏洞控制这些设备进行非法行为。物联网安全需求的增长也推动物联网安全行业市场规模的扩大，据Gartner研究¹预测，2021年全球物联网安全总支出超过25亿美元，到2024年这一数字将进一步增长为40亿美元，复合年增长率达到20%。
物联网安全风险可以划分为感知层、网络层和应用层风险2。感知层面临的安全风险主要是设备安全问题。感知层由海量传感器终端设备组成，主要功能是在应用场景中对感知对象各类信息的采集、识别以及控制。感知层设备安全如果被攻破，终端设备产生的数据可能会被恶意篡改影响到后续应用层面的业务处理决策、或被非法窃取而泄露用户隐私，此外，攻击者还可以利用被大量劫持的终端设备，对整个网络发动DDoS攻击造成网络瘫痪等。网络层面临的安全风险主要是通讯安全问题。网络层的作用在于安全高效地传输感知层采集的数据并与服务端进行交互，相较于传统互联网，物联网网络协议多样，且受限于物联网设备对耗电量、计算资源、网络带宽等的要求，无法承载复杂的密码算法和安全协议，通讯过程中的身份认证、密钥协商、数据机密性和完整性保护都更为复杂。应用层的潜在风险在于数据安全和隐私保护。应用层需要根据不同行业应用需求而对物联网数据进行存储、分析和处理，同时对物联网终端进行安全管理。如何在高效、智能处理海量数据的同时，又能保证数据安全和用户隐私，是目前应用层面临的关键挑战。
物联网终端是物联网海量数据的源头，是构建可信物联网体系的关键，但当前终端设备安全是物联网安全的薄弱环节。由于物联网终端规模巨大、设备间能力差异大，大部分终端设备计算资源有限、安全防护较弱，且常常部署在无人值守的不安全物理环境中，容易被攻击者利用安全漏洞入侵，并进而控制物联网设备发起DDoS攻击、窃取隐私数据或者篡改数据以影响业务决策，物联网设备安全已成为当前物联网安全的薄弱环节，也是提升物联网整体安全、构建可信物联网体系的关键所在。
二、物联网终端可信技术体系
构建物联终端安全体系已成行业共识，引入可信计算成为业内探索和实践的重点方向。种类繁多、规模海量的异构物联网终端已成为目前物联网领域大部分安全事件的攻击起点，构建终端安全体系成为了行业各方如政府、企业等的共识，从国家政策引导、标准制定、企业安全应用与实践来看，可信计算是当前重点探索方向。可信计算的主要思想是，首先在计算平台中（如物联网终端）创建一个安全信任根，利用密码学原理从信任根出发建立信任链，一级一级验证硬件平台、操作系统、应用软件等的安全性，以此实现信任的逐级扩展，构建一个安全可信的计算环境，并能对终端进行可信管理、异常行为监测和评估、恶意攻击溯源和阻断等。国外较早启动可信计算领域研究，2003年全球可信计算组织（TCG）成立，目的是制定可信计算标准并推动应用基于硬件安全模块的可信计算平台，目前多个芯片厂商如英特尔、英飞凌等已经商业化生产了符合其标准的安全产品³；我国也在2005年在全国信息安全标准委员会成立了可信计算工作小组，制定了可信密码模块（TCM）等标准，并推动一系列支持国产密码的可信计算产品出现；在2019年发布并实施的等保2.0标准中，也充分强化了可信计算技术的应用要求，并适用于物联网领域。
完整的可信计算技术涵盖可信硬件、可信操作系统、可信应用、可信接入、可信管理等内容，可构建端到端的物联网安全体系4。
▶可信硬件是在硬件层面嵌入可信计算模块如安全芯片，创建可信根并为实施可信计算各种功能以及各种数据加解密操作提供基础支撑，同时可将物理芯片与终端设备标识进行绑定以便于进行终端可信身份管理；
▶可信操作系统是对终端固件或者操作系统进行可信增强，增加可信启动、文件完整性保护、命令白名单执行监控等功能，强化身份认证、访问控制等功能；
▶可信应用是指基于终端上构建出的可信执行环境，实现对应用程序的完整性可信验证，减少因使用未知或被篡改应用软件而遭到攻击的可能性，同时可对可信应用的调用和通信进行权限控制、数据加密处理等安全保护，可有效防范内存窃听、中间人攻击等攻击手段；
▶可信接入是指结合了用户身份验证、设备身份验证、设备可信状态管理、安全基线管理规则等在内的管控手段，对物联网终端进行可信评估后，才允许访问网络资源，并通过按需动态授权实施细粒度访问控制；
▶可信管理是指对物联网终端进行的全生命周期管理，包括对终端设备库、固件系统库、应用软件库、安全策略库等的统一管理，以及对物联网终端进行状态监控、风险评估、安全更新、应急处理等安全管理措施。
在实际应用中，针对物联网终端能力差异，可构建分级分类管理机制并应用可信计算技术。由于各种物联网应用场景的碎片化需求以及成本控制诉求，物联网终端具有种类多、规模大、计算资源和安全能力差异大等特点，难以对物联网终端实施统一的安全要求并应用完整的可信计算技术。可基于应用场景和面临的安全风险，识别出相应的安全需求，并结合着物联网终端的应用环节、风险等级和成本诉求，对物联网终端进行分类分级管理，并分别制定相应的安全要求和评测体系。例如，对于硬件配置不高且安全要求等级不高的简单功能物联网终端，可以引入轻量级可信计算能力，如TCG组织推出的设备标识组合引擎架构（Device Identity Composition Engine，DICE）和蚂蚁集团推出的硅指纹信任根技术等，通过构建基础的可信设备标识体系，实现轻量级的完整性验证、远程认证、安全更新等功能；对于硬件配置高、计算能力强的通用智能终端等，可以实施完整的可信计算能力，如蚂蚁集团推出的设备可信扩展技术（Device Trusted Extension，DTX），结合终端可信执行环境能力，实现软硬一体的端到端物联网安全体系。可信计算技术可进一步结合着全面的风险监测预警体系，变被动防护为主动免疫，使得物联网网络可具备自身免疫的安全防御能力。
三、终端可信技术典型应用解决方案
目前物联网终端可信技术体系仍处在快速迭代发展中，本部分将结合具体场景，简要介绍当前物联网终端可信计算技术的一些典型应用解决方案。
（一）人脸识别线下支付交易场景
刷脸支付是一种基于人工智能、计算机视觉、大数据等技术实现的新型支付方式，刷脸支付的发展及普及，对于提升用户移动支付体验、改善商户经营效率、带动经济社会智能化发展具有重要价值。在线下支付场景中，刷脸支付POS机作为金融级物联网终端设备，在安全与合规上有着更高的要求，既要保证人脸数据在采集、传输和使用上的合规，保障用户个人隐私，也要保证支付链路的完整与安全，防止盗刷误刷，避免用户资金损失。
刷脸支付POS机属于硬件配置高、计算能力强的终端设备，如图1所示，可结合终端上已集成的可信硬件及可信操作系统（如安全芯片或可信执行环境），通过设备管理、密钥管理等可信应用，与云端可信服务管理结合，实现设备的可信管理以及全链路的业务安全。
具体处理流程简要描述如下：
（1）设备可信管理：每台设备具有唯一标识，该唯一标识在设备可信执行环境中生成并安全存储在设备中，用于设备注册，以及在后续业务交易报文中上送用以标识设备身份及可信状态；
（2）工作密钥管理：用设备可信根和设备唯一标识，刷脸支付POS可与云端可信服务管理平台进行工作密钥协商，工作密钥是一机一密，安全储存在终端可信执行环境中；通过可信服务管理平台可对工作密钥进行完整生命周期管理，包括生成、更新和撤销等；
（3）业务安全通讯：基于工作密钥，在各种POS业务场景中，可在可信执行环境中对业务交易报文进行加密和签名保护，以确保交易报文的机密性和完整性；对于上送到云端的交易报文，业务系统可基于设备标识从可信服务管理平台上使用相应工作密钥进行验签和解密操作，然后进行相应业务处理。
（二）智能物联网终端可信AI计算场景
在以视频流分析处理为主的智能物联网如交通监控，仓储控货等场景下，终端设备产生了海量视频流数据，受限于网络带宽压力，无法全部上传服务端，需要服务端将AI推理模型下发到设备端或边缘端处理。AI推理模型一般是AI科技公司的核心资产和知识产权，一旦泄露或被篡改，不仅会导致科技公司的业务受损和竞争力下降，而且可能会被攻击者加以利用，或误导AI模型产生错误决策结果，或从模型中逆向分析推导出原始数据导致隐私泄露问题。因此，对于AI模型提供方来说，需要考虑如何在可能部署在不安全物理环境下的终端或边缘端中，实现对AI模型的安全保护，防止被非法篡改或者复制。
业务边缘终端一般属于硬件配置较高的终端设备，可以支持可信执行环境。如图2所示，结合可信执行环境提供的可信硬件和可信操作系统能力，云端服务器可以对终端设备进行可信管理，实现设备注册认证、密钥安全管理等功能，并进而实现对于AI推理模型在终端内的加密保护，保证AI算法、模型、数据、推理计算过程的安全可信。
图2 智能物联网终端可信AI计算场景示意图
具体处理流程简要描述如下：
（1）设备可信管理：设备边缘终端基于可信根向业务运营方服务端完成身份认证及接入鉴权，并按照一机一密的原则协商生成设备AI模型密钥；
（2）AI模型安全下发：AI模型提供方生成AI推理模型；使用待下发模型的终端AI模型密钥（一机一密），对AI推理模型进行单独加密处理；业务服务端将加密后AI推理模型下发至对应的业务边缘终端；
（3）AI模型安全使用：边缘终端接受视频采集设备拍摄的视频流，将需要缓存的数据进行加密安全存储，将需要AI处理的数据送入可信执行环境安全内存；设备端在可信执行环境中使用AI模型密钥解密AI模型后加载到安全内存中，进行可信推理，将分析后的结果上报到服务端。
物联网作为数字经济发展的基础设施，已经成为国家竞争的战略高点，其安全问题涉及国计民生方方面面，不容忽视。终端设备安全是当前物联网安全的薄弱环节，也是构建可信物联网体系的关键，目前构建物联终端安全体系已成行业共识，引入可信计算也成为业内探索和实践的重点方向，我国相关科研机构、企业在该领域也做了很多的探索和应用。但物联网终端种类繁多，碎片化严重，仍需产业各方继续协作，通过进一步完善物联网安全政策法规、制定物联网安全标准及构建检测认证体系、加强物联网关键核心技术如芯片、轻量级密码学算法等的研发，以及与其他新兴技术如区块链、人工智能等技术融合发展等，进一步提升我国物联网的整体安全水位，共同促进物联网行业的健康可持续发展。
1.《IoT Security Spend Forecast by Sector, 2018-2024, Worldwide》, Gartner.
2.物联网安全综述[J]. 计算机研究与发展, 2017, 54(10)：2130-2143
3.《物联网终端安全白皮书（2019）》，中国信通院物联网安全创新实验室。
4.《物联网终端安全浅析及可信计算解决思路》，安全内参https://www.secrss.com/articles/18825，2020年4月。
作者 | 张璇(玄之)、辛知(卓橪)、孙曦(观岳)
声明：本文来自蚂蚁安全实验室，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
