低端產(chǎn)品將是脆弱的

到2020年，如果500億或者更多設(shè)備與80億人共享同一個因特網(wǎng)，數(shù)據(jù)安全最薄弱的環(huán)節(jié)將會出在某種程度上由人類掌控的機器上嗎？換一種說法，M2M網(wǎng)絡(luò)上的一個不那么智慧的客戶端將會成為未來惡意網(wǎng)絡(luò)活動攻擊的目標嗎？在巴塞羅那舉行的移動世界大會（MWC）上，國際行動安全公司（AdaptiveMobile）的安全顧問大膽地提出了這個問題，這些問題是值得關(guān)注的，并正在世界范圍內(nèi)引起共鳴、引發(fā)討論，包括舊金山的信息安全國際論壇。

另一方面，在某種重要程度上，這些問題正在被解決嗎？或者僅僅是被關(guān)注？今天下午，來自巴塞羅那的報道中，國際行動安全公司的CathalMcDaid在為移動世界大會準備的一份新的報告中談到了這些問題中的某些部分。這份報告題為"M2M：未來的威脅？”，它對一個由相對簡單、單純的通信設(shè)備組成的全新的宇宙，是否會通過設(shè)計引發(fā)一個不穩(wěn)定的因特網(wǎng)提出了質(zhì)疑。

McDaid說：“我們對移動網(wǎng)絡(luò)安全性的設(shè)定實際上是為人類設(shè)計的，比如，如果我發(fā)給你一條垃圾信息，你可能會向運營商或者相關(guān)機構(gòu)舉報我們。但是，如果你是一個有形的移動設(shè)備，我發(fā)一條垃圾信息給你，你根本不可能會去舉報它或采取類似的舉動，相反，你只會繼續(xù)程序。如果我發(fā)給你一千條或者上萬條信息，你將會有拒絕服務(wù)的可能性。所以，當(dāng)涉及安全性時，我們試圖推進的是有計劃地設(shè)置，并且要考慮到人與機器之間的互動溝通。”

McDaid相信，通過M2M的介入，惡意攻擊的性質(zhì)將不再被復(fù)雜化或簡單化，而是會完全不同。McDaid說，那是因為它們是低功率設(shè)備，M2M網(wǎng)絡(luò)上的自動客戶端將不被允許運行安全軟件。

國際行動安全公司的報告在這一點上進行了深入分析：“最新的智慧型手機和平板設(shè)備都具有復(fù)雜、高端的運行系統(tǒng)，足以保護設(shè)備并抵御最先進的移動通信安全威脅。不幸的是，并不是所有通過M2M技術(shù)構(gòu)建的物聯(lián)網(wǎng)的終端設(shè)備都同樣強大。許多M2M設(shè)備沒有優(yōu)良的驅(qū)動系統(tǒng)和任何處理能力，通常只能完全投入在預(yù)先設(shè)定的功能中運行，這意味著它們無法被置入安全軟件。”

McDaid列舉了一些數(shù)據(jù)，表明二十分之一的網(wǎng)絡(luò)信息都是由機器發(fā)送給機器的。他說，包括通信規(guī)則在內(nèi)的解決方案，都是不成熟的，而不是像短消息業(yè)務(wù)（SMS）一樣簡單。據(jù)McDaid估計，在未來20年內(nèi)，當(dāng)消費者為他們的移動設(shè)備建立新的、更完備的通信規(guī)則時，M2M交流可能不需要為可預(yù)見的未來升級格式。因此，在這個時間跨度內(nèi)，將必須支持以往的規(guī)則，基于此來追尋機器間的通信安全。

正如他的報告內(nèi)容，McDaid說：“那些規(guī)則基本上是為人類設(shè)計的，智力的升級是不適用的。但是，如果M2M確實如McDaid預(yù)計的那般會帶來一個全新的時代的話，相關(guān)的技術(shù)發(fā)展難道不應(yīng)該幫助其提高可行性和可靠性嗎？McDaid的答案是"應(yīng)該，同時也不應(yīng)該”。

“是的，我們了解所有的新技術(shù)，也知道這些通信介質(zhì)是如何工作的。但是，另一方面，以前我們的安全模式已經(jīng)包含了人類……如果某人的移動設(shè)備被病毒侵害，一個可能的結(jié)果就是賬單上的數(shù)據(jù)流量暴漲。但這不會發(fā)生在M2M領(lǐng)域，在這一領(lǐng)域，設(shè)備可以簡單的保持運行。所以在那種情況下，你將可能被其他人關(guān)注，這一點是無法保障的。”

M2M通道未必要通過重新設(shè)計開通

Alex Brisbourne是KORE無線集團的首席運營官，也是全球公認的M2M網(wǎng)絡(luò)架構(gòu)和管理的專家，我們今天通過他討論了McDaid的結(jié)論。KORE集團從2003年就開始提供M2M連接系統(tǒng)。通過閱讀國際行動安全公司今天的報告，Brisbourne把M2M網(wǎng)絡(luò)工作闡釋為對現(xiàn)存人類網(wǎng)絡(luò)工作的一個安全考驗。這是一個有趣的觀點，但卻是完全非正統(tǒng)的。

Brisbourne告訴讀寫網(wǎng)說："事實上，當(dāng)你創(chuàng)造越多進入因特網(wǎng)的"門道"時，機器設(shè)備將顯著地增加到這些"訪問門道"來，就像智慧型手機供應(yīng)的增加一樣，會使訪問控制面臨的挑戰(zhàn)變得更加尖銳。但是，這兩點有一個顯著的區(qū)別：智慧型手機典型地為因特網(wǎng)創(chuàng)造了開放的訪問機制。每個手機都有單獨的地址，就像個人電腦一樣。大多數(shù)智慧型手機都正在使用未經(jīng)正規(guī)中心測試的瀏覽器技術(shù)，但是實際上通過智慧型手機瀏覽器發(fā)起的病毒管理、惡意軟件和安全攻擊正在快速增加。部分原因是因為智慧型手機的無比開放性。"

Brisbourne繼續(xù)說，通過對比，一個真正的M2M環(huán)境即將到來。它并非像一些公司所建議的那樣，是網(wǎng)絡(luò)向充斥著各種沒有靈魂的設(shè)備的日常生活的一個延伸。

Brisbourne強調(diào)說："邊緣設(shè)備一般都使用專門的網(wǎng)絡(luò)通道（顧客接入點等），這些通道給數(shù)據(jù)安排唯一的、特定的網(wǎng)絡(luò)資源（服務(wù)，主機），這些資源面臨著錯綜復(fù)雜的（但是絕對可實現(xiàn)的）走出這些領(lǐng)域的挑戰(zhàn)。此外，根據(jù)應(yīng)用程序的不同，數(shù)據(jù)流通常受到來自SSL通訊加密協(xié)定的支持。在諸如能源公用事業(yè)或付款處理之類的高敏感性市場，需要在"終端入口"之外擴大和加深特定的安全覆蓋網(wǎng)絡(luò)，例如支付領(lǐng)域的PCI標準和致力于制定公用事業(yè)領(lǐng)域的安全標準的美國國家標準與技術(shù)研究院（NIST）。這些都注重考察端對端以及兩個端點之間的補償標準。這無疑會繼續(xù)增長。"

換種說法，不能僅僅因為一個M2M交易的終端不包括諾頓殺毒軟件就說它不安全。在M2M平臺中存在建筑差異，這個差異超出了人類通過因特網(wǎng)交流的等級。

Cathal McDaid相信，這些差異并沒有被廣泛地認知，這就是為什么建立一種能保護兩種交流的新的方法是極其必要的。"不需要廢棄人與人之間業(yè)已建立的溝通方式，只需要構(gòu)建一種在面臨M2M時更為智慧的類似P2P的方式即可。"他說，這種更為智慧的額外層次應(yīng)該以在某種程度上的是權(quán)威仲裁者的形式出現(xiàn)，用來判定某個組織是否有權(quán)與某個設(shè)備進行交流。在這一點上，McDaid和Brisbourne達成了少許一致，尤其在設(shè)定一個系統(tǒng)應(yīng)承擔(dān)權(quán)威通道的數(shù)量以及時間的必要性方面相互認可。

“你想要完全否定現(xiàn)在的通道（諾克斯堡）還是只想阻止它直到時機合適，然后不再采取任何相關(guān)行動（擴大禁止范圍）？”Brisbourne問道，“形勢和市場都瞬息萬變，所有的一切都必須先確定下來。作為一個擴大化的企業(yè)數(shù)據(jù)管理結(jié)構(gòu)的一部分，M2M在這種思想水準上毫無防備。”