广告

LoRaWAN IoT设备够安全吗?

2020-04-27 Ann R. Thryft 阅读:
LoRaWAN IoT设备够安全吗?
各种低功耗广域网技术(LPWAN)推动了物联网(IoT)的爆炸式发展。数以百万计的低功耗IoT与工业物联网(IIoT)设备连接到无线网络,有的传输距离短,有的传输距离长,涵盖室内到野外甚至城市应用。LoRaWAN设备的设计者可能认为,只要配置了安全密钥就可以防止黑客入侵设备。一份最新的报告显示,事实并非如此。

各种低功耗广域网技术(LPWAN)推动了物联网(IoT)的爆炸式发展。数以百万计的低功耗IoT与工业物联网(IIoT)设备连接到无线网络,有的传输距离短,有的传输距离很长,涵盖室内到野外甚至城市应用。其中,对于采用LoRaWAN技术标准的设备来说,其设计者可能认为,只要配置了安全密钥就足以避免设备被黑客入侵。一份最新出炉的报告显示,事实并非如此。C3vednc

目前有4种LPWAN连接协议可供企业用户选择:蜂窝式NB-IoT、LTE-M、Sigfox以及非蜂窝式LoRaWAN标准。在这些协议中,开放性的LoRaWAN具有绝对优势。市场研究机构Omdia(前身为IHS Markit-Technology)连接与物联网资深首席分析师Lee Ratliff表示,他们对LoRa“有相当高的预期” 。C3vednc

根据产业联盟LoRa Alliance的统计数据,目前已有超过1亿台IoT与IIoT设备采用LoRa技术支持机器对机器通信,涵盖制造、智慧城市、智能设施、车辆追踪以及医疗保健等应用领域。C3vednc

C3vednc

图1:2019年与2023年的LPWAN设备出货量比较。(图片来源:Omdia)C3vednc

在这些无线通信应用中,网络节点的安全性有多高?安全技术顾问公司IOActive Research发表了关于LoRaWAN布署的白皮书,其结论是:不是很高。根据该公司的研究,采用LoRaWAN的设备容易遭到黑客攻击,特别是采用1.0修订版标准的设备,包括目前大多数的部署采用的1.0.2与1.0.3标准。C3vednc

LoRaWAN的机制是经过精心设计以安全传输数据的,该通信协议也经常进行安全性更新。其脆弱之处主要在于如何为IoT/IIoT设备、网关与服务器之间的网络层与应用层通信实现加密密钥并进行管理,如果没有正确处理,LoRaWAN布署就很容易成为黑客与其他安全威胁者的攻击目标。C3vednc

在一些布署案例(例如工艺控制、自动化制造或者能源设施)中,这可能会导致插入错误的传感器数据,电力服务停摆,或是工业设备通信中断,带来潜在的危害。C3vednc

LoRaWAN安全漏洞可以避免

如果在布署LoRaWAN之前没有替换某些密钥源码,而是将同样的密钥用于一组设备,或者是密钥强度不足以阻止反向工程,就可能会产生安全问题。如果硬编码密钥被盗用,它是无法更改的。C3vednc

IOActive的研究人员还发现,包含特定信息的标签在设备布署之前并不一定都会被去除;如果不遵循特定程序,设备固件可能被复制;某些连网的LoRaWAN服务器使用默认或容易破解的凭证,很容易被黑客入侵并取得密钥。C3vednc

更常见的网络安全问题是一些服务器没有被正确配置,或是内部软件已经过时或未打补丁。因为LPWAN是开放性的,源码很容易在网络上获得。IOActive的报告中还提到其他不限于LPWAN的安全问题,如数据外泄,以及针对设备制造商或服务提供商网络的黑客攻击。C3vednc

Ratliff表示:“目前布署的大多数节点并非1.1版标准,而是第一版的LoRa标准,不支持无线固件更新。”因此这些节点由于定制化的部署而无法更新,会引起服务中断问题。C3vednc

C3vednc

图2:LoRaWAN提供从端点设备到网关以及从网关到网络服务器的双层通信安全性:网络层和应用层。每一层均使用 两个128位加密密钥。网络服务器与应用服务器之间的数据完整性并非由通信协议定义,而是由服务提供商定义。(图片来源:IOActive)C3vednc

LoRaWAN 1.0标准不支持固件无线更新机制(FOTA)。Ratliff指出:“就算有FOTA功能,也要硬件支持才行,这会使成本增加,因为需要更多闪存来储存固件映像,直到更新完成。此外还有一个风险,就是FOTA可能导致一部分节点堵塞,甚至引起中断。”C3vednc

Ratliff补充道:“若采用1.1标准来布署LoRa,无线下载更新就不会有问题,但制造商必须让其LoRa设备支持该功能。”C3vednc

IOActive首席技术官、白皮书主笔Cesar Cerrudo表示,最需要注意的,或许是那些易受攻击的弱点并非人人皆知。许多组织都因为LoRaWAN使用了加密技术而盲目信任,但如果黑客能取得密钥,其加密技术就很容易被破解,而且有很多方法能轻松取得密钥。C3vednc

Cerrudo还强调,使用者对网络安全问题不够警觉,他们以为只要通信协议加密了,安全密钥就足以保护通信。一些制造商可能会对自己的LoRaWAN设备加密,但是效果可能并不太好,因为他们不是网络安全专家。C3vednc

此外Cerrudo表示,目前市面上没有工具能测试网络或检测网络攻击。IOActive发布了一套开源工具LoRaWAN Auditing Framework,使用者可以对基础架构的安全性进行审查与渗透测试。白皮书还介绍了如何利用这些工具来检测可能出现的网络攻击,以及布署LoRaWAN的最佳实践案例和基础安全知识。C3vednc

Omdia网络安全技术资深分析师Tanner Johnson也指出,市面上缺乏网络安全工具。“或许有一些能监控、检测并避免LPWAN网络威胁的私有或定制安全工具,但是还没有一款针对单个协议量身定制的工具供大家使用。”他表示:“IoT网络安全的主要目标是可见性。”C3vednc

问题不限于LoRaWAN

Cerrudo表示,IOActive选择LoRaWAN作为研究对象,是因为其比较受欢迎并具有开放性架构,这是与专有Sigfox不同的地方。当然,Sigfox也有安全性问题,包括处理密钥的类似问题,LTE-M与NB-IoT的使用者则通常依赖无线通信服务商来提供安全性。C3vednc

Ratliff指出,其他LPWAN标准可能没有像流行的LoRaWAN这样被仔细检查过,因此还不知道安全布署它们是更容易还是更困难。“LTE-M借鉴了经过严格审查的LTE标准,因此很多人认为该标准跟LTE一样安全。NB-IoT是一种新的标准,与LoRa一样受到关注,但在中国以外的市场并不常见,因此可能无法相提并论。”很可能最终会发现NB-IoT一样有弱点。C3vednc

Ratliff强调,需要注意的是,有线网络与无线网络的安全性并不相同,无线网络比有线网络更脆弱,因为在无线网络中,每个节点都可能受到攻击,而不只是需要物理接入的单个网关。黑客能通过无线通信协议远程连接节点,这就会带来风险。也就是说,就算面对号称安全的网络,黑客仍然会一直尝试攻击。C3vednc

(原文刊登于ASPENCORE旗下EETimes英文网站,参考链接:How Secure Is Your LoRaWAN IoT Device?。)C3vednc

本文为《电子技术设计》2020年05月刊杂志文章,版权所有,禁止转载。免费杂志订阅申请点击这里C3vednc

本文为EDN电子技术设计 原创文章,禁止转载。请尊重知识产权,违者本司保留追究责任的权利。
Ann R. Thryft
EETimes工业控制技术编辑。Ann Thryft曾为EDN、RTC杂志、COTS Journal、NIkkei Electronics Asia、EE Times、Computer Design和 Electronic Buyers' News等媒体撰稿。 她曾向读者介绍了几种新兴趋势,包括:早期手机架构,机顶盒系统设计,开放式网络服务器和交换机/路由器架构,软件定义无线电和RFID。 在EBN,Ann获得了两项独立评选的最佳技术专题奖。 目前,她是《测试与测量世界》的特约技术编辑,并协助研究和编写In-Stat报告。 她拥有斯坦福大学文化人类学学士学位和商业营销协会(前身为B/PAA)的认证商业通讯员证书。
  • 微信扫一扫
    一键转发
  • 最前沿的电子设计资讯
    请关注“电子技术设计微信公众号”
  • 5G时代有哪些关键的“省钱”技术? 大家都知道,对于运营商而言,要实现5G商业成功,既要拓展新业务增加收入来源,也要勒紧腰带尽可能节省TCO成本,否则,谈什么持续发展啊?那5G时代有哪些关键“省钱”技术呢?
  • 论国产数字芯片设计EDA平台的重要性 据了解,全世界的信息量真的能够被有效利用的不足1%,这意味我们虽然能够捕捉获取很多信息,但真正能够将其互享、检索、保护、传播、处理的少之又少,海量的信息到目前为止还远远没有被充分的挖掘。要想把这些信息能够充分的利用起来,核心问题就是在于算力,算力有许多办法实现,但归根到底离不开半导体。
  • Silicon Labs的Secure Vault物联网安全解决方案获全球 屡获殊荣的低功耗SoC助力物联网产品免受软件和硬件攻击,以保护其知识产权、生态系统和品牌信任度
  • 剖析华为造车路径,自动驾驶只是“开胃菜”! 关于“华为造车”的话题,EDN已经讨论过很多次,也发表了不少关于其动向以及技术详解的文章,近日,有业内人士对华为的357条汽车专利进行了认真分析,华为的汽车专利主打自动驾驶与电动汽车,他认为自动驾驶只是“开胃菜”,涉及了驱动系统、散热系统等多项环节的电动车专利才是硬核。
  • 自动驾驶竞赛:赢家与输家 由于人工智能极其复杂,加上夸张的宣传,导致一些厂家因为AI难以实现而将其摆在次要位置,而不是将AI视为实现自动驾驶这个真正目标的首要工具。经过最初的发展,角逐者们现在终于认识到人工智能已经开始引领这场竞争……
  • 自动驾驶竞赛的核心:人工智能与计算相结合 十年前,英伟达开发了一种通用图形处理单元(GPU)开发环境,以支持在GPU中加速神经网络和矢量方程。从那时起,边缘应用中实现推理的深度神经网络(DNN,一种用于神经网络的更高级的分层特征方法)开发竞赛迅速展开。
广告
热门推荐
广告
广告
EE直播间
在线研讨会
广告
广告
面包芯语
广告
向右滑动:上一篇 向左滑动:下一篇 我知道了