物联网终端安全白皮书_2019_-物联网安全创新联合实验室-201911_18页_984kb

物联网终端安全白皮书（2019年）总结

核心内容

《物联网终端安全白皮书（2019年）》由物联网安全创新实验室联合多家企业共同发布，旨在应对物联网终端安全问题，构建安全保障体系，推动产业健康发展。白皮书围绕物联网终端发展现状、安全风险分析、安全保障体系及未来展望等方面展开，提出系统性解决方案。

主要观点

• 物联网终端发展迅速，应用场景广泛，终端数量呈指数增长。
• 物联网终端安全能力普遍较低，安全事件频发，涵盖拒绝服务攻击、设备被控制、数据泄露等多种类型。
• 物联网卡在实名登记和功能管控方面存在较大漏洞，成为诈骗和滥用的温床。
• 物联网终端安全产业正在起步，已形成多生态并存的发展格局，包括基础电信企业、互联网企业和通信企业等。
• 建立“评估安全风险、增加安全能力、全面监测预警”的全过程安全工作机制，是提升物联网终端安全能力的关键。
• 区块链、可信计算、边缘计算等新技术在物联网终端安全中具有重要应用前景。

关键信息

一、物联网终端概述

• 发展情况：

  • 全球物联网终端连接数已超110亿，预计2025年将达250亿。
  • 中国蜂窝物联网终端连接数达9.2亿（截至2019年第三季度），预计2025年突破19亿。
  • NB-IoT、eMTC、LoRa等技术支撑物联网终端发展，应用场景涵盖智慧城市、工业、农业、医疗、交通等。

• 架构与分类：

  • 物联网终端由硬件、固件、应用、数据、通信接入五大模块组成。
  • 按网络接入方式分为有卡终端（蜂窝物联网终端）和无卡终端（非授权频段技术）。
  • 按应用类型分为消费性、公共性和生产性三类终端。

二、物联网终端安全发展态势

• 安全事件频发：

  • 拒绝服务攻击（如摄像头DDoS攻击）、设备被控制（如智能电视漏洞）、敏感数据泄露（如摄像头隐私泄露）等安全事件频发。
  • 物联网终端被攻击后，可能引发大规模网络瘫痪、服务中断等严重后果。

• 安全影响广泛：

  • 安全事件影响多个垂直行业，包括智慧医疗、车联网、智能家居、智慧城市、智能电表等。
  • 2018年国家药监局召回24万件医疗设备，部分因软件安全问题被黑客控制。

• 物联网卡安全问题突出：

  • 物联网卡难实名登记，易被滥用，成为网络诈骗的工具。
  • 2019年，中国物联网卡用户数近9亿，其中约80%为“黑卡”，非法获利达32亿元。

三、物联网终端安全风险分析

• 终端种类多规模大，难统一管理：

  • 终端种类繁多，安全需求差异大，难以实现统一管理。
  • 终端分布广泛，长期无人值守，易被破坏、盗用。

• 终端安全能力较低，难抵御攻击：

  • 由于资源限制，物联网终端难以应用传统安全机制（如加密、认证、存储保护）。
  • 攻击者可通过硬件漏洞、固件漏洞、通信漏洞等方式入侵终端，导致隐私泄露或服务失效。

• 物联网卡风险点显著：

  • 实名登记责任主体不明确，流转链条复杂，难以全面监管。
  • 流量定向访问限制不足，导致部分物联网卡被滥用。

四、物联网终端安全保障体系

• 评估安全风险：

  • 建立分级分类管理机制，通过安全评测识别终端风险等级。
  • 利用区块链技术实现物联网卡全链条安全管理，确保数据不可篡改、信息可追溯。

• 增加安全能力：

  • 物联网卡内生增强安全能力，包括身份认证、数据加密、敏感数据存储。
  • 外在赋予安全能力，通过安全管理平台和安全模组实现终端访问控制、策略下发、行为监测。

• 全面监测预警：

  • 构建统一监测平台，实现对终端和物联网卡的全面监控。
  • 利用大数据技术进行安全态势感知，及时预警异常行为，如机卡分离、终端高频移动、数据篡改等。

五、物联网终端安全未来展望

• 明确要求，推动健康发展：

  • 国家层面应出台物联网终端安全管理政策，明确职责分工，推动行业规范发展。
  • 制定物联网终端安全标准体系，从源头提升终端安全能力。

• 以卡促端，创新管理模式：

  • 5G商用推动物联网卡与终端进一步耦合，需加强终端安全能力以满足功能管控需求。
  • 同步管理物联网卡与终端，将监管范围扩展至网络和应用层。

• 鼓励创新，促进产业革新：

  • 推动新技术（如区块链、可信计算）在物联网终端安全中的应用。
  • 通过创新示范应用，探索新解决方案，提升产业核心竞争力。

• 产业聚力，构筑共识生态：

  • 鼓励产业链各方共建物联网终端安全产业联盟，推动标准制定、测试认证、应用示范等合作。
  • 通过产业协同，构建安全可信的物联网生态体系，实现多方共赢。