1、【W(wǎng)ord版本下載可任意編輯】 將物聯(lián)網(wǎng)設(shè)備連接到云端的安全解決方案 盡管人們?cè)絹碓揭庾R(shí)到需要安全性，但開發(fā)人員經(jīng)常發(fā)現(xiàn)自己在安全性方面采取了快捷方式，將物聯(lián)網(wǎng)設(shè)備連接到云端。在許多情況下，合適的安全機(jī)制的復(fù)雜性，微型電池供電的物聯(lián)網(wǎng)設(shè)備中可用的有限內(nèi)存和處理資源以及運(yùn)輸產(chǎn)品的需求之間的沖突似乎是不可克服的。 解決這些問題和為簡(jiǎn)化物聯(lián)網(wǎng)設(shè)備中安全功能的實(shí)施，MicrochipTechnology和Google合作創(chuàng)立了一種方法，將Microchip的安全硬件功能與稱為JSON Web令牌（JWT）的簡(jiǎn)單數(shù)據(jù)構(gòu)造相結(jié)合。結(jié)果是確保物聯(lián)網(wǎng)設(shè)備與Google CloudIoT服務(wù)之間相互身份驗(yàn)證的簡(jiǎn)

2、便方法。 本文將介紹物聯(lián)網(wǎng)設(shè)備安全威脅，并介紹當(dāng)前用于應(yīng)對(duì)該威脅的設(shè)備。它將確定安全漏洞以及開發(fā)人員和嵌入式系統(tǒng)設(shè)計(jì)人員如何使用JWT關(guān)閉它們。 物聯(lián)網(wǎng)設(shè)備的安全漏洞 對(duì)物聯(lián)網(wǎng)設(shè)備的攻擊可以采取多種形式，絕不僅限于大規(guī)模的物聯(lián)網(wǎng)部署。對(duì)于希望利用用于分布式拒絕服務(wù)（DDoS）攻擊的僵尸網(wǎng)絡(luò)中的許多單個(gè)設(shè)備的資源的黑客來說，即使是的物聯(lián)網(wǎng)也是一個(gè)很有吸引力的目標(biāo)。因此，每一類物聯(lián)網(wǎng)設(shè)備的設(shè)計(jì)者都不可防止地需要通過基于硬件的強(qiáng)*全機(jī)制來保護(hù)他們的系統(tǒng)，從而阻止攻擊。 例如，使用系統(tǒng)內(nèi)存或閃存存儲(chǔ)用于加密和身份驗(yàn)證的私鑰會(huì)使IoT設(shè)備容易受到攻擊。更糟糕的是，黑客可以竊取這些密鑰并使用它們來訪問物聯(lián)

3、網(wǎng)網(wǎng)絡(luò)和附加的公司資源。 安全I(xiàn)C Microchip Technology的CryptoMemory和CryptoAuthentication IC等專用安全設(shè)備具有硬件功能基于保護(hù)私鑰和其他秘密數(shù)據(jù)的機(jī)制。 EEPROM陣列集成在這些器件中，提供安全存儲(chǔ)，只能通過器件的SPI或I 2 C串行接口訪問的加密安全機(jī)制（圖1）。因此，這些設(shè)備提供了一種向任何物聯(lián)網(wǎng)設(shè)備設(shè)計(jì)添加安全存儲(chǔ)和其他安全功能的簡(jiǎn)單方法。 圖1：Microchip Technology硬件安全設(shè)備（如AT88SC0204C CryptoMemory IC）提供安全存儲(chǔ)，使用集成加密機(jī)制保護(hù)對(duì)片上EEPROM的訪問。 （圖片：

4、Microchip Technology） Microchip CryptoAuthentication系列的成員（如ATECC608A）增強(qiáng)了安全存儲(chǔ)根底，并支持安全設(shè)計(jì)中常用的加密算法。在其硬件功能中，該器件具有多種算法的硬件加速功能，包括： 非對(duì)稱加密算法： FIPS186-3橢圓曲線數(shù)字簽名算法（ECDSA） FIPS SP800-56A橢圓曲線Diffie-Hellman（ECDH） NIST標(biāo)準(zhǔn)P256橢圓曲線加密（ECC） 對(duì)稱加密算法： SHA-256哈希密碼術(shù) 基于哈希的消息身份驗(yàn)證代碼（HMAC）密碼術(shù) AES-128密碼術(shù) AES-GCM（ Galois字段乘法）密碼學(xué)

5、密鑰派生函數(shù)（KDF）： 偽隨機(jī)函數(shù)（PRF）KDF 基于HMAC的提取 - 并且擴(kuò)展KDF（HKDF） 對(duì)于加密來說，這組加密功能代表了支持更別安全協(xié)議所需的全面機(jī)制列表。身份驗(yàn)證和安全數(shù)據(jù)交換。例如，KDF功能提供了傳輸層安全性（TLS）協(xié)議所需的基本機(jī)制，用于在交換甚至開始之前驗(yàn)證數(shù)據(jù)交換會(huì)話中的參與者。 在此協(xié)議中，TLS會(huì)話以客戶端向服務(wù)器發(fā)送啟動(dòng)安全會(huì)話的請(qǐng)求。服務(wù)器使用其數(shù)字證書開展響應(yīng)，客戶端使用該證書來確認(rèn)服務(wù)器的身份。在客戶端以這種方式驗(yàn)證服務(wù)器之后，會(huì)話設(shè)置繼續(xù)通過使用服務(wù)器的公鑰來生成會(huì)話密鑰，以加密使用PRF KDF或更強(qiáng)大的HDKF創(chuàng)立的一些隨機(jī)值。 TLS身份驗(yàn)證

6、協(xié)議是Internet安全的根底。稱為證書頒發(fā)機(jī)構(gòu)（CA）的整個(gè)證書提供商行業(yè)已經(jīng)發(fā)展為支持安全通信的這一關(guān)鍵組件。公司從CA獲得可信證書，以便在自己的服務(wù)器上安裝，以支持上述標(biāo)準(zhǔn)TLS服務(wù)器身份驗(yàn)證協(xié)議。 對(duì)于物聯(lián)網(wǎng)應(yīng)用，網(wǎng)絡(luò)與公司廣泛而深入地連接，這種單向缺陷以確保保護(hù)。例如，具有欺詐性證書的黑客可以將自己表示為物聯(lián)網(wǎng)設(shè)備的合法服務(wù)器，作為更廣泛攻擊的一部分。 盡管存在風(fēng)險(xiǎn)，但物聯(lián)網(wǎng)開發(fā)人員經(jīng)常難以實(shí)施TLS相互身份驗(yàn)證協(xié)議，因?yàn)樽C書，密鑰，使用TLS實(shí)現(xiàn)客戶端身份驗(yàn)證所需的軟件可能會(huì)超出許多物聯(lián)網(wǎng)設(shè)備的功能。通過合作，Microchip Technology和Google創(chuàng)立了一種替代方

7、法，將ATECC608A功能與稱為JSON Web令牌（JWT）的簡(jiǎn)單數(shù)據(jù)構(gòu)造相結(jié)合。結(jié)果是確保物聯(lián)網(wǎng)設(shè)備與Google Cloud IoT服務(wù)之間相互身份驗(yàn)證的簡(jiǎn)便方法。 基于JWT的身份驗(yàn)證 在RFC 7519中指定，JWT是行業(yè)標(biāo)準(zhǔn)容器關(guān)于準(zhǔn)備和傳輸JWT的實(shí)體的信息，稱為索賠。 JWT構(gòu)造本身包含三個(gè)部分： 標(biāo)題，包括JSON名稱：密碼算法的名稱（“alg”）的值對(duì)（例如，ECDSA的“EC256”使用NIST P-256曲線）用于簽署令牌和令牌的類型（“typ”）（這些令牌的“JWT”） Payload，包括JSON名稱：每個(gè)索賠的值對(duì) 簽名，它使用標(biāo)頭中指定的算法來編碼密鑰以及標(biāo)頭

8、和聲明集，每個(gè)單獨(dú)轉(zhuǎn)換為加密前的base64 URL編碼表示 RFC 7519為在有效負(fù)載或其他部分中指定聲明提供了極大的靈活性。該標(biāo)準(zhǔn)甚至允許在沒有簽名或加密的情況下創(chuàng)立的不安全JWT，在這種情況下，標(biāo)頭將包括算法的名稱：值對(duì)alg“：”none“。對(duì)于與Google Cloud IoT服務(wù)一起使用的JWT，Google需要簽名部分以及包含三個(gè)強(qiáng)制聲明的有效負(fù)載，包括： “iat” - 以ISO 8601 UTC時(shí)間戳格式創(chuàng)立令牌時(shí)的“頒發(fā)時(shí)間”，自1970-01-01T00：00：00Z以來的秒數(shù)（例如，20*年6月30日的1561896000 12 ：格林威治標(biāo)準(zhǔn)時(shí)間00:00 PM）

9、“exp” - 指定令牌到期時(shí)間的UTC時(shí)間戳，24小時(shí)超過“iat”值加上10分鐘寬限期，以解決不同之間的系統(tǒng)時(shí)鐘偏差客戶端和服務(wù)器（例如，20*年7月1日1561982400，格林威治標(biāo)準(zhǔn)時(shí)間00:00 00:00） “aud” - 包含開發(fā)人員Google Cloud項(xiàng)目ID的字符串 為了探索密鑰生成和其他ATECC608A安全功能，開發(fā)人員可以快速建立一個(gè)圍繞Microchip SAM D21 Xplained Pro評(píng)估套件構(gòu)建的綜合開發(fā)環(huán)境?；贛icrochip ATSAMD21J18A 32位Arm Cortex -M0 + MCU，SAM D21 Xplained Pro套件

10、提供了Microchip軟件框架（ASF）支持的完整硬件平臺(tái)驅(qū)動(dòng)程序和代碼模塊。 為了評(píng)估包括ATECC608A在內(nèi)的CryptoAuthentication設(shè)備，開發(fā)人員可以簡(jiǎn)單地將CryptoAuth XPRO-B附加板插入Xplained Pro板的兩個(gè)擴(kuò)展頭之一。 Microchip提供了用于評(píng)估CryptoAuthLib與ATECC608A的安全功能的例如軟件。更進(jìn)一步，開發(fā)人員可以將Microchip ATWINC1500-XPROWi-Fi附加板插入另一個(gè)標(biāo)頭，以運(yùn)行Microchip例如軟件，該軟件演示了本文中描述的相互流程，包括TLS服務(wù)器和JWT設(shè)備。 結(jié)論 雖然物聯(lián)網(wǎng)應(yīng)用安全帶來了多項(xiàng)要求，但關(guān)鍵挑戰(zhàn)通常在于為物聯(lián)網(wǎng)設(shè)備和云資源實(shí)施相互身份驗(yàn)證。在資源有限的物聯(lián)