将IoT设备牢固地连接到云的指南
即使是最悲观的估计，也告诉我们，现在有10亿互联网的东西（物联网）今天连接到云服务。然而，几年前，增长低于预测，安全问题通常被称为IOT部署的主要瓶颈，特别是在工业部门。
IOT设备或端点通常被描述为网络的“边缘”。
为了将它们安全地连接到服务器上的一个或多个应用程序，无论是在云还是本地，都必须存在两个基本条件：
- 必须确定发件人和数据收件人的身份，超出疑问。因此，作为起点，驱动物联网设备的每个微控制器或特定于应用的集成电路（ASIC）必须具有唯一，不可变性和不可受动的身份。为简单起见，我们只需使用本文中的微控制器（MCU）的示例，因为这些是在绝大多数应用中使用的。
- 必须以这样的方式发送消息，即只有预期的收件人可以解释它们，并且任何试图干扰运输中数据的设备都不得读取或堵塞。这是使用密码术实现的，这涉及以加密密钥的形式交换数据（keys解锁带有物联网数据和消息的秘密）和身份验证证书。
很少有嵌入式设计工程师是加密专家，密码学是一种复杂的主题，具有自己的语言。因此，如果安全不是在工业应用中采用物联网的障碍，则必须有一种直接的方式来确保IoT设备不仅是安全的，而是将它们连接到基于服务器的应用程序是一种直接的方式安全。还需要在设备的整个生命周期内管理安全性。
本文介绍了安全的IOT基础结构的构建块和需要遵循的过程以创建一个。虽然它引用加密量子的QDID硬件IP集成到MCU和Quarklink云的安全平台，以说明该过程，但基本步骤类似于其他信任（ROTS）和平台的根源。
该过程的概述如下所示。
在IOT端点建立一个信任根（腐烂）
无信任或腐烂包括设备的身份及其加密密钥。一个独特的腐烂是安全物联网网络中最基本的构建块。身份和键基于随机数。这些数字越随机，安全性越大，因为它们越难以确定。
为MCU创建ROTS的最常用方法是使用随机数生成器（RNG），然后使用键注射的过程将身份和键放入设备中。然后将键存储在设备的非易失性存储器中。这种方法存在一些缺点。该过程很昂贵，这意味着涉及第三方进行关键注射，这可能会损害安全性，并且存储钥匙使它们容易受到盗窃或意外泄漏。但是，在工业物联网设备中使用的许多MCU都具有以这种方式创建的rots。
另一种方法是在制造期间将IP嵌入到半导体芯片中的地方，而不需要改变标准CMOS工艺流程 - 由QDID硅硬件IP实现的方法。 然后使用标准程序员将固件注入每个微控制器。 IP和固件的组合使得能够在整个设备生命周期内按需创建多个随机标识和相关键。无需键注射，需要存储键，最小化攻击的漏洞。
量子隧道作为启用安全身份的手段
在半导体制造工艺期间发生硅晶片上的氧化物层的厚度的微小变化，并且可以在硅屏障上观察到这些量子效应。氧化物层的厚度的变化本身是随机的，但是当与量子隧道的概率性质结合时，产生具有异常高熵的量子力学现象 - 随机数或“随机性”。高熵支撑高安全性。
在此基础上，由于安全的物联网网络需要通过创建不需要注入或存储的身份和加密密钥来建立安全腐败，而是可以在整个物联网设备生命周期中在Silicon中按需创建，但这更好为了安全。
现在让我们看一下以更详细的详细信息，请注意创建rots并将设备连接到云的端到端进程，包括每个步骤的位置。
在半导体制造期间
QDID IP将64 x 64位阵列烘烤到每个硅芯片中，并且比特用于创建8 x 128位随机数或“种子”，其中一个被指定为注册种子。比特的集合给出了MCU其独特的身份。但是，它尚未有任何方法证明身份。
在编程房屋或最终用户的设施 - 使用标准程序员
使用标准的质量编程接口（如JTAG，SWD或UART）注入QDID固件。要重申，我们在这里没有注入身份或钥匙，只是固件图像。执行时，固件在MCU内使用半导体制造商的外设生成一对非对称加密密钥 - 一个公共和一个私人–使用QdID产生的种子之一。然后，公钥用于创建一个名为“哈希”的256位加密号码。然后，不可逆哈希将MCU与QuarkLink IoT安全平台注册，该平台托管在安全服务器上。
在编程房屋或最终用户的设施 - 使用Quarklink
注入到MCU的固件支持与QuarkLink的通信。然后通过简单选择并单击“菜单”接口，用户执行以下步骤来配置，站在安装到MCU的IOT端点设备。物联网设备可以是HVAC单元，摄像机，资产跟踪模块或任何类型的传感器或执行器。
第一个要求是证明需要连接到软件平台的设备的身份。这是一个六步过程，尽管在后台发生了复杂的事情，但在使用Quarklink时，它就会通过一些下拉菜单和键盘笔划处理。不需要了解加密。这是会发生什么：
- 在下拉菜单中选择预定义的服务器策略。该平台目前支持AWS，Azure和蚊子，但基本上是服务器不可知论者，可以轻松适应其他服务器平台。
- IOT设备中MCU的身份导入为批处理以检查已注册其注册密钥。如果确认注册，该平台仅与设备进行进一步的通信。
- QuarkLink使用行业标准传输层安全（TLS）协议设置安全通信信道。该协议的一部分要求共享密钥 - 生成“会话密钥” - 是生成的。 （该过程的这一部分是基于Diffie-Hellman密钥交换方法，其中详细介绍了广泛发布的 别处）。会话密钥是对称的，用于在物联网设备和QuarkLink之间传输加密数据。使用通常为128位或256位的对称密钥，因为加密和解密更快。
- 然后，该平台询问设备通过安全TLS通道证明其身份。
- QuarkLink验证了公钥的散列与最初发送到设备内的MCU的散列相同，如前所述。
- 对于每个IOT设备，平台生成称为“挑战”的随机数，并将其发送到设备。设备加密此号码并将加密信息返回到平台。
- 该平台解密信息，如果它揭示了“挑战”，该设备已证明其身份。
使用现在在线设备的IOT设备，已建立安全连接，可以将来自设备的数据传送到服务器上运行的应用程序。只有几分钟内实现的所有这些都是在平台直观的用户界面引导的几个击键之内实现的。
该软件平台还促进了整个IOT设备的生命周期内的安全性管理。它管理设备证书和安全策略，确保功能完整性和帮助防止网络攻击。它还促进固件签名和加密，以确保安全的空中（OTA）更新和处理密钥和证书续订。系统故障或其他中断后可能需要后者。如果应该损害设备，则可以从网络中轻松删除它们，如果设备传输到新所有者，则可以进行重新卸载。
此处描述了QuarkLink平台，使用QDID的信任根，但它也是Renesas RA系列安全微控制器生态系统的一部分，它支持Silex Insight的Esecure Rot模块。
使用像QuarkLink这样的软件平台可以显着简化设备安全部署的过程，因为大多数用户可以在系统内能够在一个小时内掌握。这与其他系统相比 - 例如，AWS云中最新的安全指南运行到27章和365页。
复杂性是安全的障碍
在物联网上缓慢避免安全性有很多原因，但主要原因是复杂性。可以理解，加密技术是必要的，但在真实产品中实施它们是困难的。
连接的设备需要能够利用PKI安全机制来保证在线通信是真实的和私密的。连接设备的所有者需要欣赏嵌入其中的数字证书的复杂性以识别，认证和TLS安全通信。这些证书必须由证书颁发机构（CA）签署，该公司认证公共钥匙的所有权。
自动化是唯一可行的解决方案，将这种复杂性降低到嵌入工程师和物联网网络运营商可以快速学习并充分利用的简单用户界面。
克里斯琼斯 是 Crypto Quantique's IOT安全专家。在项目管理和现场应用工程中进行了28年的职业，克里斯在英国剑桥的安全Thingz担任高级应用工程师，在IoT安全中工作。他于2020年5月加入了Crypto Questique。克里斯在英国考文垂大学拥有电气和电子工程的BSC。
相关内容:
- 以规模促进物联网供应
- IOT安全铰链与公钥基础架构有效的设备注册
- 标准对于工业物联网中的安全连接至关重要
- 安全 - AS-Service嵌入式软件可以保护IOT数据
- 云为芯片方法是推动IoT安全的关键
- Protection Suite为IoT设备添加安全边缘和云集成
- IOT.设备安全性：标准化的路径