物联网终端安全白皮书（2019）_35页_30mb

物联网终端安全白皮书总结

核心内容

本白皮书由物联网安全创新实验室组织，中国信息通信研究院、中国移动研究院牵头，联合多家企业共同发布，旨在推动物联网终端安全产业健康发展，提升终端安全能力，保障用户隐私和关键基础设施安全。

主要观点

• 物联网终端数量快速增长，尤其在5G商用部署推动下，终端与物联网卡耦合更加紧密。
• 物联网终端安全事件频发，涉及拒绝服务攻击、设备被控制、数据泄露等多类型风险。
• 物联网卡实名登记难，易被滥用，成为诈骗的温床。
• 物联网终端安全能力普遍较低，需通过多种手段提升安全防护能力。
• 产业生态正在逐步形成，企业开始布局安全技术与标准，推动终端安全体系构建。

关键信息

一、物联网终端概述

1. 物联网终端发展情况

• 物联网应用覆盖智能交通、智慧医疗、智慧电网、智慧农业等各个行业，终端数量呈指数增长。
• 截至2019年第三季度，我国授权频段蜂窝物联网终端连接数已达9.2亿，预计2025年将突破19亿。
• 非授权频段技术如LoRa也快速发展，国内部分企业已部署城域级LoRa网络。

2. 物联网终端架构及分类

• 物联网终端通常包含硬件、固件系统、应用、数据、通信接入五大模块。
• 根据网络接入方式，分为有卡终端（蜂窝物联网终端）和无卡终端（非蜂窝物联网终端）。
• 根据应用场景，可分为消费性、公共性和生产性三类物联网终端。

二、物联网终端安全发展态势

1. 终端安全能力普遍较低，安全事件频发

• 安全事件类型包括拒绝服务攻击、设备被控制、敏感数据泄露等。
• 典型案例：2016年美国摄像头DDoS攻击、2017年校园自动售货机被控制、2017年智能电表漏洞导致停电等。

2. 终端安全事件影响较广，覆盖垂直行业

• 涉及智慧医疗、车联网、智能家居、智慧城市、智能电表等多个领域。
• 安全事件可能对用户生命财产安全、行业正常运行、国家关键基础设施造成严重威胁。

3. 物联网卡较难实名登记，变身诈骗温床

• 物联网卡流转链条长、登记责任主体不明确，导致实名登记难。
• 部分物联网卡未严格落实“功能最小化”要求，仍可进行语音、短信通信，成为诈骗工具。
• 2019年“黑卡”非法获利达32亿元，成为黑产重要组成部分。

三、物联网终端安全风险分析

1. 物联网终端安全风险点分析

• 种类多、规模大：难以统一管理，导致安全策略难以落地。
• 安全能力低：无法抵御攻击，易被入侵、控制。
• 硬件安全风险：易被破坏，暴露调试接口、芯片设计缺陷等。
• 固件安全风险：未验证启动代码、权限管理不严格。
• 通信安全风险：易被控制，形成大规模DDoS攻击。
• 应用安全风险：存在逻辑缺陷、编码漏洞，易被利用。
• 数据安全风险：数据易被窃取、篡改，影响应用服务。

2. 物联网卡安全风险点分析

• 实名登记难：流转链条复杂，责任主体不明确。
• 功能最小化难落实：受限于网络设备能力，无法有效限制流量。
• 使用行为难监测：缺乏有效手段对物联网卡使用情况进行监控，无法及时止损。

四、物联网终端安全保障体系

1. 评估安全风险

• 构建分级分类管理机制，实现物联网终端安全风险评测。
• 引入区块链技术，实现物联网卡全链条安全管理，确保数据真实、完整、不可篡改。

2. 增加安全能力

• 物联网卡内生增强安全能力：提供身份认证、数据加密、敏感数据存储保护。
• 外在赋予安全能力：通过集成安全模组、SDK等方式，提升终端安全能力。
• 构建安全可信环境：引入可信技术，实现终端、网关、平台的可信连接和管理。

3. 全面监测预警

• 建立统一监测平台，实现对终端和物联网卡的全面监测。
• 利用大数据分析技术，进行安全态势感知，及时预警异常行为。

五、物联网终端安全未来展望

1. 明确要求，推动健康发展

• 国家层面应明确物联网终端安全管理要求，推动行业提升安全意识。
• 各行业需制定专门的安全管理政策，促进行业规范发展。
• 建立健全安全标准体系，规范产业链发展。

2. 以卡促端，创新管理模式

• 5G商用部署将推动物联网卡与终端进一步耦合。
• 物联网卡安全管理需同步提升终端安全能力。
• 以物联网卡管理为契机，实现终端与卡的统一安全管理。

3. 鼓励创新，促进产业革新

• 鼓励应用新技术（如区块链、边缘计算、可信接入）探索新的安全解决方案。
• 推动新思路落地实施，形成创新示范应用，为产业发展奠定基础。

4. 产业聚力，构筑共识生态

• 需加强产业链协作，形成产业联盟，推动安全需求、标准、解决方案等方面达成共识。
• 共建安全生态，实现多方共赢，促进行业健康发展。

总结

物联网终端安全已成为影响社会稳定和国家安全的重要议题。随着5G商用部署和终端数量快速增长，安全问题日益凸显。需从国家、行业和产业三个层面，推动终端安全体系建设，强化实名登记、功能最小化、安全能力提升和全面监测预警。同时，通过技术创新和产业协作，构建安全可信的物联网生态，实现终端安全的全链条管理与防护。