1年被攻击3270万次，IoT信息安全谁来守护？

近日，互联网信息安全成为全民热议话题，并首次上升到国家安全法的高度，不由得让信息安全意识薄弱的中国企业为之一颤!

尤其是数据繁多、端口庞杂，安全问题频出的物联网行业，更是如履薄冰。

网络安全公司 Sonicwall 在《 2019 年网络威胁报告》中指出，在 2018 年 Sonicwall 记录有3270 万次物联网攻击，比起 2017 年的1030 万次物联网攻击，增长比例达 217.5%。

据Gartner数据显示，到2020年，所有针对企业的攻击中有25%涉及物联网。

全球化敏捷AIoT平台Ayla CEO刘渝龙认为，物联网的安全问题，比互联网安全要复杂的多，其安全隐患主要来自于三大端口：一是连接可信的问题；二是数据传输的问题;三是平台安全的问题。

那么如何有效杜绝物联网行业的安全问题?

01 连接可信的安全

物联网设备的SPU/SKU极其多，涉及到的领域也非常广泛，仅一个智慧家庭领域，包含的大大小小智能设备就高达2万SKU。

国内无论哪一个公有PaaS云平台连接的设备都在亿级，每一天都接收到大量调取平台服务和数据的请求，如果其中任意一个设备出现漏洞，都会给黑客侵入提供“绿色通道”。

如何确保设备的可信和安全？

Ayla享誉全球的端到端安全体系中，就有针对设备安全及连接可信的独创成果，即一机一码安全机制。

通俗来讲，就是一个设备拥有独立的专属密匙，当设备接入云端或发送调取数据请求时，身份认证通过后方可执行，有效阻绝入侵漏洞。

如今，Ayla的一机一码安全机制，已经成为国内各大物联网云平台争相效仿的标配，为我国的物联网安全筑起坚实的基础。

02 数据传输的安全

近几年，智能家居端到端的数据传输漏洞导致的安全问题频出，去年小米摄像头在海外被黑客劫持，今年又爆出不法分子劫持数万家庭摄像头，贩卖影像谋利。

刘渝龙透露，端到端的数据传输是双向的，只有做到双向传输加密，才能防范被不法分子破解或劫持。

Ayla的数据加密采用TLS安全机制，包含三方面的内容：接入认证，密钥协商，通讯过程数据加密。

Ayla云是设备和云双向认证，设备对云采用x.509证书认证，云对设备采用RSA签名验证;密钥协商是标准TLS的方式;数据加密是AES128，这样就可以最大限度保证数据的保密性、一致性。

其原理是：信息加密把明码的输入文件用加密算法转换成加密的文件以实现数据的保密。加密的过程需要用到密匙来加密数据然后再解密。没有了密钥，就无法解开加密的数据。

也就是说，如果有不法分子中途劫持了这组数据，只能看到一堆乱码，无法看到原本的数据，这样也能保证数据在传输过程中没有被篡改过。

03 平台服务的安全

随着越来越多的企业及机构使用物联网PaaS云服务，一些安全问题也日渐显露，如网络攻击频繁，客户数据泄漏等等问题。

其实，只要做好公有云的数据隔离和运营管理，就能有效保障平台数据安全。

如中国首家通过SOC3安全认证和ISO27001信息安全管理体系的AIoT平台Ayla，在平台安全上具有严密的防护机制：

1，专业的devopts团队对云运营做安全审核，及运维保证。

Ayla的PaaS云上设置了权限管理、系统监控等功能，能够365天24小时不间断进行监控，发现安全漏洞和隐患时，及时修补bug，保持系统更新，维护数据和运营安全。

2，充分根据PKI的安全原则，建立的基础安全机制，保证各种密钥安全，并且保证数据在系统中可信，安全的流通。

3，多重数据隔离机制，确保安全的数据存储。

Ayla的PaaS采用多租户架构和内外网分离的数据隔离体系。

多租户下的隔离包括了几个方面的内容：

一是系统本身元数据和基础主数据的隔离(用户，角色，权限，数据字典，流程模板);

二是系统运行过程中产生的动态数据的隔离;

三是业务系统底层所涉及到的计算资源和存储资源的隔离。

内外网的数据隔离是指将内部网络与外部可访问的应用程序和数据分离，这样可以避免不法分子从外部网络漏洞侵入内网。

04  谁愿意为安全付费?

刘渝龙认为如今国内物联网安全问题频出，最根本的原因是两个：

一是供需双方中，没有人愿意为安全买单。因为建立完善的安全防护体系，需要投入大量的技术资源和运营资源，最终体现到市场上，就是成本的提升;

二是对物联网安全没有可以遵循的标准和监管机制，目前国内对于安全的重视度不够，没有可参考的安全标准，物联网企业即使想做也是有心无力，而且目前政府对信息泄漏的处罚机制缺失，许多企业有恃无恐。

不过近两年随着智能家居进入千家万户，消费者对物联网安全认知渐渐提升，安全意识觉醒，愿意为安全付费的用户群体愈来愈多，这将倒逼整个物联网行业的安全体系升级。