5.1概述

芯片采购网专注于整合国内外授权IC代理商现货资源，芯片库存实时查询，行业价格合理，采购方便IC芯片，国内专业芯片采购平台。

?物联网网络层分为核心网络和接入网络。

?核心网络是物联网数据传输的主要载体，是物联网网络层的骨干和核心。

?接入网络是从骨干网络到用户终端的通信网络。

无线近距离接入网(如无线局域网)ZigBee、蓝牙）

无线远距离接入网(如4)G移动通信）

其他有线接入(如其他有线接入(如(如其他有线接入)PSTN、ADSL、宽带、有线电视、现场总线)

5.1.2网络层安全要求

(1)承载网络中业务数据的传输安全

(2)承载网络的安全防护

(3)终端和异构网络的认证

(4)异构网络下终端的安全接入

(5)物联网应用网络统一协议栈需求

(6)大规模终端分布式安全控制

5.1.三网络层安全机制

(1)构建集物联网、互联网、移动通信网络于一体的网络安全体系结构

(2)建设物联网网络安全统一防护平台

(3)提高物联网系统各应用层次之间的安全应用和保障措施

(4)建立物联网网络安全接入和应用访问控制机制

5.2核心网安全

核心网络面临的安全威胁：

（1）核心网络应接收来自大量物联网节点的传输信息和集群模式，容易导致网络拥塞和接收DDoS攻击是物联网网络层最常见的攻击手段

(2)网络层存在不同架构的网络互联问题，核心网络将面临异构网络跨网认证等安全问题。它涉及到密钥和认证机制的一致性和兼容性，可以抵抗DoS攻击、中间人攻击、异步攻击、合谋攻击等

(3)物联网中的一些节点不固定，与邻近节点的通信关系会发生变化，很难为节点建立信任关系，面临虚拟节点、虚假路由等攻击

5.2.2 IPSec安全协议与VPN

?以物联网为核心TCP/IP协议为基础

?在TCP/IP在协议中，网络层协议IP它提供了跨越多个网络终端系统(即跨网络互联网)的能力，IP是实现整个网络互联的核心。在这一层增加安全机制是确保整个网络安全通信的重要手段

?IP层的安全机制称为IPSec，它包括识别、机密性和密钥管理三个功能域。

○识别机制确保收到的分组确实由分组第一部分的源站地址字段声明的实体传输。该机制还可以确保分组在传输过程中不会被篡改

○机密机制使通信节点能够对报纸进行加密

○密钥管理机制主要完成密钥的安全交换

IPSec（IP Security）是IETF公布于1998年11月IP目标是安全标准IPv4和IPv6.提供透明的安全服务。

IPSec通过对IP协议分组加密认证保护IP该协议的网络传输协议系列用于确保数据的机密性、来源可靠性、无连接的完整性和抗重播服务。

?IPSec的优点

○由于IPSec位于传输层(TCP、UDP)因此，应用程序是透明的。因此，在防火墙、路由器或用户终端系统中实现IPSec不会给应用程序带来任何变化

○IPSec它可以为个人用户提供安全性。这对于非本地工人（如商务旅行）或组织内部的敏感应用程序来说是必要的

○IPSec为穿越局域网边界的通信量提供安全保障，但对于局域网内的通信，它不会带来任何与安全相关的处理负荷

○IPSec对终端用户透明

?IPSec的组成

○Authentication Header（AH，验证报头)协议

定义认证的应用方法，提供数据源认证和完整性保证

○Encapsulating Security Payload（ESP，协议包装安全有效负荷

定义加密和可选认证的应用方法，提供可靠性保证

○Internet Key Exchange（IKE，密钥交换标准)协议

用于密钥交换

?IPSec的工作模式

○传输模式

传输模式用于保护两个主机之间端对端的上层协议

○隧道模式

又称通道模式，用于保护整个通道模式IP通常在数据报中SA安全网关使用的一端或两端

?安全关联(Security Association，SA)

正确包装和提取IPsec对于数据包，有必要采取一套特殊的方案，将安全服务、密钥等与要保护的通信数据联系起来，这种构建方案称为安全关联。

SA发送者和接收者是两个IPsec如果系统之间的单向逻辑连接需要对等系统之间的源和目的双向安全通信SA。

安全关联SA通过三元组(安全参数索引)SPI、目的IP地址和安全协议AH或ESP）唯一的标志。

?抗重播服务

IPSec协议使用序列号和滑动接收窗口通过数据包实现抗重播服务

每个IPSec头部包含一个独特而单调的序列号

接收窗口的大小可以超过32的任何值，但推荐为64。从性能上看，最好最终实施窗口大小IPSec计算机字长的整数倍

?ESP协议

ESP其功能是提供机密性保护、有限的流机密性保护、无连接的完整性保护、数据源认证抗重放攻击等安全服务

ESP支持传输模式和隧道模式

ESP它可以单独使用，也可以和解AH结合使用ESP不加密整个数据包，只加密IP包的有效载荷部分不包括IP但是在隧道通信的末端对端，ESP需要加密整个数据包

?AH协议

AH协议用于为IP数据包提供数据完整性、数据包源地址验证和一些有限的抗重播服务

与ESP协议相比，AH对通信数据不提供加密服务，但可比ESP提供更广泛的数据验证服务

?IKE协议

IKE协议是IPSec目前正式确定的密钥交换协议

IKE由混合协议组成ISAKMP、Oakley和SKEME组成，沿用ISAKMP的基础，Oakley的模式以及SKEME共享和密钥更新技术

建立了两个交换阶段IKE SA，已建立阶段二利用IKE SA为IPsec协商具体的一个或多个安全关联，即建立IPsec SA

IKE允许基于数字签名、公钥加密、修订公钥加密和预共享密钥的四种认证方法

?VPN(Virtual Private Network，虚拟专用网络)是一种保证远程网络之间安全通信的技术。

○VPN主要有三个应用领域：远程接入网、内联网和外联网

○VPN的基本功能

加密数据

信息验证和身份识别

访问控制

地址管理

密钥管理

多协议支持

?VPN安全技术

○隧道技术

§点到点隧道协议（PPTP）

§二层隧道协议（L2TP）

○加解密技术

○密钥管理技术

○用户和设备认证技术

○访问控制技术

5.2.3 6LoWPAN安全

为了让IPv6协议在IEEE 802.15.4协议以上工作，实现MAC提出了网络适配层-6的无缝连接LoWPAN（（IPv6 over low-power wireless personal area network），用于完成包头压缩、分片、重组状路由转发

1）MAC层安全

终端节点与数据收集点之间必须提供安全保障。MAC访问控制可以引入层，MAC帧加密解密、帧完整性验证、身份认证等安全机制，提供点到点的安全通信

2)适配层安全

可能存在的安全问题：分片重组攻击、报头压缩攻击（如错误压缩、拒绝服务攻击）、轻量级组播安全Mesh路由安全等。目前针对6LoWPAN适配CMLMicrocircuits代理层安全研究较少

可能会出现分片和重组IP碎片攻击可能会导致DoS攻击和重播攻击。IP包碎片攻击的一种方法是:6LoWPAN增加适配层的时间戳（Timestamp）和现时（Nonce）确保收到的数据包是最新的

3)网络层安全

网络层采用高级加密标准(AES)和CTR模式加密及CBC-MAC验证等对称加密算法加密大容量数据

4)应用层安全

应用层的安全主要集中在整个6LoWPAN网络提供安全支持，即密钥建立、密钥传输和密钥管理；应用层应能够控制下层安全服务的某些参数

5.2.4 SSL/TLS

?避孕套连接字层协议（Secure Socket Layer,SSL）被设计成使用TCP在传输层提供可靠的端到端安全服务，是基于会话的加密和认证Internet协议在客户和服务器之间提供安全的管道

?SSL在传输层和应用层之间工作与应用层协议无关（HTTP、FTP、TELNET等)可以透明放置SSL之上

?SSL不是单一协议，而是两层协议

?SSL记录协议为不同的高层协议提供基本的安全服务。三个高层协议(SSL握手协议、SSL修改密文规程协议，SSL报警协议)用于管理SSL交换(共4个协议)

?SSL记录协议

SSL每个都有记录协议SSL连接提供以下两种服务

机密性(Confidentiality)：SSL记录协议将帮助双方生成一个共同的密钥，并使用这个密钥SSL传统加密传输的数据。

消息完整性(Message Integrity)：SSL记录协议将帮助双方生成另一个共同的密钥，并使用该密钥计算信息认证码。

?TLS协议

提供保密性和数据完整性

该协议由两层组成

§TLS记录协议

§TLS握手协议

5.2.5防火墙

?防火墙是设置在不同网络之间的一系列安全部件的组合(典型的、可信的企业内部网络和不可信的因特网)

?本组件性质：（1）双向通信必须通过防火墙；（2）防火墙本身不影响信息流通；（3）只允许通过其自身安全策略授权的通信信息。

?防火墙是确定哪些内部服务对外开放，允许哪些外部服务对内开放的访问控制机制。

?防火墙是不同网络或网络安全域之间的唯一出入口

?防火墙提供四种控制服务：

○服务控制：确定可访问的因特网服务类型，包括入站和出站。这是因为防火墙可以基于IP地址和TCP端口号过滤通信量

○方向控制：确定允许特定服务请求的流向，即特定服务的方向流控制

○用户控制：内部用户和外部用户所需的某种形式的认证机制。根据用户试图访问的服务来控制服务访问。典型的用户控制防火墙内的用户（本地用户）

○行为控制：控制特定服务的使用。如果防火墙可以过滤电子邮件消除垃圾邮件

?防火墙主要有三种类型；不同类型的防火墙在不同层次的网络中工作，常用于网络层的分组过滤器和应用层的应用级网关

(1)分组(或包)过滤器

优点：价格低，应用透明，处理速度高

缺点：难以正确建立分组过滤规则（分组过滤配置复杂）；无用户记录，不利于攻击行为分析；攻击相对容易实施

(2)应用级网关(也称代理服务器)

优点：一般认为比分组过滤器更安全，因为它只检查少数支持应用程序，只从外部看到代理服务器，没有内部资源，代理服务器只允许代理服务通过

缺点：网关处于两个串联用户的中间点，必须在两个方向检查和转发所有通信量，每个连接都需要额外的处理负载，以减慢访问速度；需要针对每个特定的Internet安装相应的代理服务器软件会带来兼容性问题

(3)电路级网关

优点：基于TCP连接代理各种高层会话，具有隐藏内部网络信息的能力，透明度高

缺点：如电路交换，不进一步分析会话建立后传输的具体内容，存在一定的安全风险

?防火墙的局限性：

(1)防火墙不能保护绕过它的攻击(越窗不超过门)

(2)防火墙不能支持内部威胁(家贼难防)

(3)防火墙不能保护病毒感染程序或文件的传输(不检查报告内容)

(4)物联网感知层(物联网感知层网络边界模糊)感知层网络边界模糊)

?异构网络的信息交换将成为物联网网络层安全的脆弱点。

5.三是接入安全

泛在接入网络安全包括远程无线接入安全、近距离无线接入安全

5.3.远距离无线接入安全

?(1)移动通信系统面临的安全威胁

1)非授权访问敏感数据(违反机密性)。包括:窃听、伪装、流量分析、浏览、泄漏和推论

2)非授权操作敏感数据(违反完整性)。包括被入侵者故意篡改、插入、删除或重新的消息

3)滥用网络服务(导致拒绝服务或降低可用性)。包括干预、资源耗尽、优先误用和滥用服务

4)否认。用户或网络拒绝承认已执行的行为或行为。

5）非授权访问服务。包括入侵者伪装成合法用户或网络实体访问服务；用户或网络实体可以滥用其访问权限获得非授权访问

?(2)移动通信系统的安全特性要求

1)提供用户身份的机密性

2）实体认证

3)数据传输的机密性

4)数据完整性

5)安全的能见度和可配置性

?(3)移动通信系统的安全架构

网络接入安全

网络域安全

用户域安全

应用域安全

安全服务的可视性和可配置性

?(4)认证与密钥协商（AKA）

5.3.近距离无线接入安全

?1.无线局域网安全

○可用于无线局域网的安全技术：

(1)物理地址（MAC）过滤

(2)服务区标识符（SSID）匹配

(3)有线对等保密（WEP）

（4）WAPI安全机制

（5）IEEE 802.1X EAP认证机制

（6）IEEE 802.11i安全机制

（7）IEEE 802.16d安全机制

?2.无线域网安全

○WPAN以个人为中心的无线个人区域网实际上是一种小范围、低功率、低速率、低价格的电缆替代技术

○目前，蓝牙是无线域网的主流技术ZigBee、超宽带（UWB）等

○蓝牙网络安全模式

蓝牙规定了三种网络安全模式：非安全模式、业务层安全模式和链路层模式

○蓝牙密钥管理

三种密钥主要用于蓝牙安全系统：PIN链路密钥和加密密钥

○ZigBee安全服务内容

·访问控制

·数据加密

·数据完整性

·序列抗重播保护

○ZigBee安全服务模式

不安全模式

ACL模式

安全模式

○UWB信息安全威胁，

·拒绝服务攻击，UWB拒绝服务攻击攻击类型：MAC层攻击和网络层攻击

·秘钥泄露

·假冒攻击

·路由攻击

5.异构网络安全

5.4.3异构网络的安全机制

○异构网络的路由安全

○异构网络的接入认证机制

○异构网络入侵检测机制

○异构网络节点信息传输安全

5.5路由安全

(1)欺骗、篡改或重放路由信息

(2)选择性转发（selective forwarding）

(3)污水池（sinkhole）攻击

(4)女巫（sybil）攻击

(5)虫洞（wormhole）攻击

(6)Hello洪泛攻击

(7)应答欺骗

?(1)对外部攻击的防御对策

?(2)内部攻击的防御对策

————————————————

版权声明：本文为CSDN博主「梦想摸鱼」遵循原创文章CC 4.0 BY-SA版权协议，请附上原始来源链接和本声明。

原文链接：https://blog.csdn.net/Tekapo_s/article/details/119278282