物联网身份与访问管理解决方案

# 物联网身份与访问管理解决方案 ## 1. 账户管理 ### 1.1 账户暂停 对于物联网设备账户，不要自动删除，可考虑将其置于暂停状态，以便后续可能需要进行法医分析时使用与账户关联的数据。 ### 1.2 账户/凭证停用或删除 停用或删除物联网设备及其交互服务使用的账户，有助于防止对手在设备停用后利用这些账户获取访问权限。同时，应删除用于加密的密钥（网络或应用层面），防止对手利用恢复的密钥解密捕获的数据。 ## 2. 认证凭证 ### 2.1 密码 部分协议（如 MQTT）仅支持使用用户名/密码组合进行原生协议认证。在 MQTT 中，CONNECT 消息包含向 MQTT 代理传递此信息的字段，具体如下： ```plaintext MQTT CONNECT Message (V3.1.1) Payload Clientid willTopic willMessage username password ``` 需注意，MQTT 协议在传输过程中不提供对用户名/密码的保密保护，建议使用传输层安全（TLS）协议提供加密保护。使用用户名/密码进行物联网设备认证存在一些安全问题，例如： - 难以管理大量设备的用户名和密码。 - 难以确保设备上存储的密码安全。 - 难以在设备生命周期内管理密码。 若计划使用用户名/密码进行物联网设备认证，可采取以下预防措施： 1. 为每个设备制定至少每 30 天轮换一次密码的政策和程序，最好实现技术控制，使管理界面在需要轮换密码时自动提示。 2. 建立监控设备账户活动的控制机制。 3. 建立支持对物联网设备进行管理访问的特权账户控制机制。 4. 将受密码保护的物联网设备隔离到不太可信的网络中。 ### 2.2 对称密钥 对称密钥材料也可用于认证。消息认证码（MAC）使用共享密钥和已知数据（由密钥签名）通过 MAC 算法（如 HMAC、CMAC 等）生成。接收方通过比较计算出的 MAC 与接收到的 MAC 是否相同，来证明发送方拥有预共享密钥。与密码不同，对称密钥在认证时无需在双方之间传输（除非提前传输或通过密钥建立协议协商）。密钥可以通过公钥算法建立、带外输入或提前加密发送给设备。 ### 2.3 证书 基于公钥的数字证书是物联网中提供认证功能的首选方法。虽然目前一些实现可能不支持使用证书所需的处理能力，但计算能力和存储的摩尔定律正在迅速改变这一现状。 #### 2.3.1 X.509 X.509 证书具有高度组织化的分层命名结构，包括组织、组织单位和可分辨名称（DN）或通用名称（CN）。以 AWS 为例，它支持一键生成设备证书，同时还会生成公钥/私钥对。建议在本地生成证书，步骤如下： 1. 在设备上生成密钥对。 2. 将证书签名请求（CSR）上传到 AWS IoT 服务。 这样可以自定义证书策略，定义对额外授权过程有用的分层单位。 #### 2.3.2 IEEE 1609.2 在物联网的一些应用场景中，如车联网，需要在拥挤的无线频谱中进行通信。为了满足大量车辆的通信需求并保证安全，行业采用了 IEEE 1609.2 数字证书设计。该证书格式具有以下优点： - 大小约为典型 X.509 证书的一半，同时使用强大的椭圆曲线加密算法（ECDSA 和 ECDH）。 - 具有明确的应用标识符（SSID）和凭证持有者权限（SSP）字段，可让物联网应用在不查询凭证持有者权限的情况下做出明确的访问控制决策。 - 较小的尺寸使其适用于其他带宽受限的无线协议。 ### 2.4 生物识别技术 目前行业正在研究利用生物识别技术进行设备认证的新方法。FIDO 联盟开发了相关规范，定义了使用生物识别技术实现无密码体验和作为第二认证因素的方法。生物识别认证已应用于一些商业物联网设备（如消费级门锁），并且在物联网系统中作为第二认证因素具有很大潜力。例如，语音打印可用于交通领域的分布式物联网设备（如路边设备）的认证，使技术人员能够通过云连接访问后端认证服务器。 ## 3. 物联网授权新进展 使用令牌对资源受限的物联网设备进行授权的进展尚未完全成熟，但一些组织正在努力定义适用于物联网的协议，如 OAuth 2.0。互联网工程任务组（IETF）通过受限环境认证和授权（ACE）工作制定了 RFC 7744，该文档基于使用 CoAP 作为消息协议的物联网设备，提供了一系列用例，阐明了全面的物联网认证和授权策略的必要性，并提出了以下重要考虑因素： - 设备可能托管多个资源，每个资源需要自己的访问控制策略。 - 单个设备对不同请求实体可能有不同的访问权限。 - 策略决策点必须能够评估交易的上下文，包括理解交易是否在紧急情况下发生。 - 动态控制授权策略的能力对于支持物联网的动态环境至关重要。 ## 4. 物联网 IAM 基础设施 ### 4.1 802.1x 802.1x 认证机制可用于限制基于 IP 的物联网设备对网络的访问。并非所有物联网设备都依赖 IP 地址，虽然它不能适用于所有物联网设备类型，但实施