GlobalSign 新闻中心

23 2018

PKI可以保护物联网设备从芯片到云

Arm是全球半导体市场的重要参与者。 虽然它不生产自己的芯片,但它的处理器设计能够提供约1,000亿个硅芯片,供应传感器、智能手机和超级计算机等产品。据估计,51亿Arm芯片中约一半用于工业用途。 作者:GlobalSign的物联网产品管理总监Nisarg Desai。

像任何一家半导体公司一样,Arm(现在由日本的SoftBank拥有)非常注重安全性,并且在全公司范围内负责确保安全产品从芯片到云。

Arm最近宣布了其“平台安全架构”计划,旨在为物联网设备开发商提供安全指导。它有四个推荐的安全原则,其中之一是基于证书的认证,这个市场预计在未来几年会增长。考虑到全球顶级信息安全行业研究机构Ponemon Institute报告的当前趋势,这并不令人意外。其2017年公钥基础设施(PKI)全球趋势研究收集了来自全球超过1,500IT安全从业人员的信息,以确定PKI的走向,发现43%的物联网设备将在未来两年内采用数字证书进行身份验证。

GlobalSign长期以来一直是基于PKI解决方案的提供商,因为它经过时间考验,基于开放标准,拥有易于实施和广泛接受的技术。在这种情况下,PKI更具有相关性,因为它非常适合物联网设备。它可以在不同类别的设备上以相对轻量级的方式实现。按照定义,大多数物联网设备都是数据收集器,数据发送器,有时是数据处理器。因此,安全通信对物联网设备非常重要,PKI是实现这个目的的一种简单且经济高效的方式。非对称密码学形成了PKI的基础,在数学上和经验上证明,它是向目标发送者提供安全分发加密消息的有效手段。

安全芯片

芯片启用和加速功能构成了当今最安全的软件和硬件实现的基础。例如,任何设备的核心身份都存储在一个安全元素(Secure Element)中,该元素是形成设备信任根的芯片。它充当信任锚,然后启用其他安全功能,例如安全启动和远程证明。许多这些功能需要大量的处理能力,因此专用的加密芯片加速了这些操作,使其更快速、功耗更低。这些芯片中的很多都是基于Arm设计的。理解添加安全元素有多种选择很重要。可信平台模块(TPM)芯片是一种加密协议处理器,与主处理器并置,需要进行重新设计才能实现其集成。同样安全但更具成本效益的选择是使用物理不可克隆函数(PUF)。还有其他各种选择,但详细讨论这些选项不在本文的讨论范围之内。

物联网设备的PKI

PKI的角色是管理,分发,使用,存储和撤销数字证书并管理公钥加密。 自二十世纪七十年代以来,PKI一直依赖于它,并在20世纪90年代首次被用于电子签名等技术。今天,它被视为保护物联网设备最可靠的方法之一。所有物联网设备都需要强大的身份认证来证明他们是他们自称的人,而不是其他人。这个身份应该是通用的,并且易于通信方验证。很快,由于PKI独特的数学能力,他们甚至可以直接产生自己的身份并将其安全存储。 即将推出的物联网设备也将各自拥有自己的独特证书以证明其可靠性。 通过以这种方式使用PKI,物联网设备将更加值得信赖,从而减少未经授权访问的机会。

PKI实现了从芯片到云的“轻量级”IoT安全性。 图片由GlobalSign提供。

芯片到云安全

正如前文所提到的,Arm有一个指令来确保从芯片到物联网堆栈以及嵌入到芯片上的云的全面安全性。 Arm采用自己的低功耗Cortex-M产品系列,并增加了对其开源Arm Mbed OS嵌入式操作系统的支持。这种组合非常易于使用,并且易于配置,因此非常适合设计物联网设备的小型开发人员,并处于准备开始创建设计应用程序的阶段。他们可以简单地将Mbed OS用作其嵌入式操作系统。

Arm Mbed家族还包括一个名为Mbed Cloud的云平台即服务。由于目前大多数物联网用例涉及从边缘的物联网设备收集传感器数据,然后将其传输到云应用程序进行进一步处理,因此云服务非常有用。 Mbed操作系统可以本地集成并连接到Mbed Cloud。现在,传输层安全性(TLS)是大多数设备到云连接的首选协议。这需要使用数字证书。

对于Mbed Cloud而言,重要的是它支持“携带自己的证书颁发机构(CA)”程序。“您可以让第三方CA创建专用的PKI层次结构,并将根CA证书上传到Mbed Cloud。这使基于证书的身份验证能够自动接受来自具有从该特定层次颁发的证书的所有设备的连接请求。

入门

对物联网设备开发人员来说,非常重要的第一步是实现跨垂直物联网平台堆栈的安全性,即从终端设备或传感器节点通过边缘和雾层到云平台以及底层数据和应用程序的基础架构。这可以确保数据通过这些层传递并且链中的每个步骤都会验证传达一方的身份和权限,同时确保数据隐私性和完整性。这些都可以通过PKI 实现。

对于不太熟悉PKI的人来说,这是一种常用的加密和认证方法。该体系结构是以电子方式共享信息,增加了可信度。首先,我们可以看看设备如何确保其内部的完整性。实现这一点的一种方法是安全启动。在加载到设备上之前,数字签名服务可用于签名和计算任何固件的散列。用于签名固件的公钥被存储在设备上的不可擦除存储器中。每当设备启动时,引导加载程序的散列(应用算法从较大的文件生成一个小字符串的过程,稍后可用于验证文件的完整性)由公钥生成并签名。现在,如果我们可以信任这个公钥,并且验证这个签名记录是否准确,那么我们已经证明引导程序(以及其他被检查过的)是真实的。如果我们随后将此签名的报告或文件发送到远程服务器,以便定期证明引导加载程序是正版的,则我们有远程证明。

现在我们已经建立了一个设备,它的代码是真实的,我们可以转移到它之外的安全通信。设备可以向与之通信的边缘路由器或网关展示其身份证书。然后,网关可以检查并验证证书,然后接受传入的数据包。现在,边缘网关可以与云平台服务器建立(TLS)连接,并通过自己的证书向服务器证明其身份。同时,边缘网关也可以要求并验证服务器的身份证书,从而启用相互TLS连接。

这种双向验证有效避免了窃听,注入和其他中间人(MITM)攻击。设备证书还可以支持基于角色的授权。因为CA发布证书不能被修改,所以可以插入允许该设备假定的特定标识符字段(或角色)。现在,我们不仅可以验证数据源,还可以验证设备是否允许传输或接受该数据。

这两个基本的安全原则:认证和授权,可以通过简单地将安全证书配置步骤集成到其设备制造过程中,由设备设计人员轻松实现。然后,这很容易扩展到更严格的安全技术,如安全启动和固件认证。一些CA(包括GlobalSign)拥有可用于帮助实现这些安全目标的工具和平台。其中一个例子就是我们的新设备注册服务。这里提到的所有建议的密码技术都使用非对称密码学作为基本构建块。设备证书,公开信任的根和代码签名都是使用PKI实现的。

通过支持第三方CAARM可以有效、轻松地为Mbed的采用者提供大量的选项来实现基于设备的安全功能。

零售业中的一个案例

使用上述方法开发的项目越来越多。目前,GlobalSign正在帮助日本的一个书商利用ARMMbed OSMbed Cloud来开展一个项目。

该项目内容为跟踪隐藏传感器的新书的销售情况,这些传感器位于8½x11聚碳酸酯板背面,也被称为牌匾。追踪斑块附近书籍的传感器在基于Cortex-M的芯片上运行Mbed OS。每个芯片都使用由GlobalSign提供的数字证书。该证书随后与Mbed Cloud交谈,通知事件。比如从堆栈中拾起一本书已经发生。此外,还有一款移动应用程序可供用户查看已拍摄或出售的书籍数量。在牌匾的正面是一个E-Ink显示屏,显示该书的详细信息,例如价格,内容描述等。也可以通过应用程序动态更新。

证书标识传感器和显示器以证明数据的来源。当有人走到桌子上拿起一本书时,会触发一个近场接近传感器来检测障碍物的存在(或不存在)。根据配置的映像映射,应用程序可以检测到有人靠近它,拿起一本书,然后离开,缩短书架。传感器将通过Mbed OS发出通知发送给Mbed Cloud。书商可以使用该应用程序来追踪拾取的书籍数量。

为什么我们需要为这样一个良性用例实施安全解决方案,为什么它必须是基于PKI的?首先,书商可能会将库存系统整合到这个工作流程中。每当一本书被拿起(不被替换)时,自动计数器会减少可用库存。因此,我们需要确保这些数据的准确性和完整性。另外,在商店中可能有几本书和电台,因此这些信息的标识和记者的身份至关重要。其次,PKI是一种实现这种解决方案的简单方法,也是项目所使用的。但是,这不是唯一的方法。由于Mbed OS具有较低的资源占用空间,并且Cortex-M芯片非常节能,因此可以使用低功耗电池供电设备来启用此应用,而不会影响安全性。

目前,预计到2018年春末将建造大约100个牌匾并随后部署。一旦这个试点项目完成,它可能会扩展到全日本的所有书店。


返回 GlobalSign 新闻中心