區塊鏈:物聯網網路安全的關鍵
如果您是駭客,這個方程式其實很簡單:先佔據防護薄弱的物聯網端點,然後用它存取企業網路其他地方價值更高的目標。難怪 2019 年上半年,鎖定物聯網裝置的網路攻擊增加了兩倍。
這類攻擊之所以可行,至少有部分原因在於,物聯網網路多半是採用集中通訊與公開金鑰基礎架構 (PKI) 這類安全架構。龐大的分散式系統隨處可見,PKI 伴隨的諸多挑戰使得物聯網部署容易受到中間人攻擊,分散式網路也容易出現單點故障點。
區塊鏈安全公司 SmartAxiom 副總裁 Trent Poltronett 說明。
Poltronetti 表示:「問題在於 PKI 涉及了大量憑證,而且這條信任鏈是以根憑證為起點。」「如果信任鏈實作得宜則安全無虞,但如果您有在真實世界與使用者互動的端點裝置,那麼您就必須與遠端伺服器對話,而且點擊這類伺服器的裝置可能有數百萬之多。
「如果成功擷取金鑰,您便可展開中間人攻擊,並向伺服器或裝置提供假資料。隨之而來的問題就是,到底要將系統設計成故障時自動打開,在安全性關閉的情況下繼續運作,讓使用者滿意,還是乾脆讓系統全面關閉。」
因此,與其嘗試在分散式系統上執行集中化的安全架構,何不乾脆運用區塊鏈這類分散式安全架構?
區塊鏈:分散式邊緣安全性
區塊鏈是 PKI 的替代方案。區塊鏈屬於分散式資料庫技術,在點對點網路的節點之間建立信任,進而排除了與傳統安全架構相關的單點故障點。
由於以區塊鏈為基礎的網路利用多重分散式節點驗證交易,因此具有諸多優勢:
- 備援:即使個別伺服器或網路停擺,其他區塊鏈節點仍能繼續驗證交易。另外,由於交易儲存於多個節點,因此一個節點受到影響時,整個系統不會被拖累。
- 回復能力:由於密碼編譯雜湊與先前區塊相連,因此交易是透過共用的歷程記錄驗證,為抵擋中間人攻擊提供了另一層防護。
- 可擴充性:區塊鏈網路上的節點愈多,安全性愈強,因為交易驗證採用的運算資源更多。
Poltronetti 表示:「雖然節點每個都簡單又脆弱,但節點組成的群組卻可協同運作,取代安全伺服器在驗證與審核方面的功能。」「節點是備援,所以可靠。因為這是多數人的共識。」
對物聯網系統而言更勝比特幣
儘管佔有這些優勢,但區塊鏈技術多半是專為企業部署而設計。在這類應用中,區塊鏈節點通常掌握了資料中心級的運算與記憶體資源。隨著區塊鏈不斷成長,網路也增加了更多節點,產生與驗證區塊變得更複雜耗時,許多企業區塊鏈使用案例應該會出現大量延遲。
當然,物聯網邊緣節點在資料中心級運算附近沒有任何內容。而且它們對時間極為敏感,因為使用者可沒辦法為了等電燈亮起或是空調開啟等上 10 分鐘。為了抵消這些缺點,SmartAxiom 自行開發了 BlockLock 這個多鏈區塊鏈,有助於從端點到雲端為物聯網提供防護。BlockLock 將傳統的區塊鏈架構一分為二,一個是佈建控制節點、驗證與身份管理的裝置鏈,一個是記錄交易的事件鏈 (圖 1)。
![圖 1.區塊鏈驗證流程已分割成裝置鏈與事件鏈,以改善記憶體使用情況與系統延遲。(來源:SmartAxiom)](https://insighttech.intel.com/wp-content/uploads/sites/45/2020/09/Edge-security-IoT-cybersecurity-IoT-attack-1-2-840x390.png)
這種方法在各方面使物聯網系統受惠。首先,因為裝置鏈僅用於裝置,而非裝置所進行的交易,因此可搭配端點的小容量高速 SRAM。其次,這個架構大幅降低了儲存需求,因為未必每筆新交易都必須複製裝置資料。另外,共用歷程記錄驗證所需之緩衝區外進行的交易,可直接捨棄或封存於雲端儲存體中。
BlockLock 屬於硬體、作業系統和網路不可知。它可在採用 Intel® Atom® 處理器、記憶體不到 512 MB 的物聯網閘道執行,而且消耗不到百分之 5 的系統總資源。
儘管如此,對於資源受限且採用簡單微控制器的物聯網感應器節點,它的效能要求太高。BlockLock 執行時所用的閘道則效率不足,無法支援全套的企業區塊鏈。
為了締造完整的邊緣到雲端區塊鏈架構,並且讓它具備多鏈架構的速度與儲存優勢,SmartAxiom 開發了兩個輔助 BlockLock 堆疊的元件:
- 在端點中,Beachhead Microcode 提供了一個小型區塊鏈庫,可協助產生加密區塊。它還採用 micro-ledger 暫時儲存交易。
- 在雲端/資料中心方面,該公司的 Tenacious Service 與 INFORMIX 整合,長期儲存時間序列和空間/地理資訊系統資料,讓使用者能將本機物聯網區塊鏈與其他分散式 ledger 進行同步,並且加入了其他異常檢測與安全性分析工具。
圖 2 顯示 SmartAxiom 區塊鏈組合的整體圖,統稱 Fortress。即使實作了這整套基礎架構,SmartAxiom 多鏈依舊能在 100 毫秒不到的時間內核准區塊鏈交易,相較於傳統 PKI 驗證,速度至少快了 5 倍。
![圖 2.Fortress 包含三個區塊鏈元件,將多鏈架構從邊緣延伸至雲端。(來源:SmartAxiom)](https://insighttech.intel.com/wp-content/uploads/sites/45/2020/09/Edge-security-IoT-cybersecurity-IoT-attack-2-2.png)
物聯網安全性無所不在
在市場成功部署新技術通常需耗時多年,然而物聯網的安全性卻已經遙遙落後。為了跟上瞬息萬變的物聯網威脅大環境,組織目前紛紛採用區塊鏈式安全解決方案。
舉例來說,某大汽車製造商的其中一間工廠採用了 SmartAxiom 的多鏈安全架構。就這個案例來說,該技術是用來強化即時感應器、致動器和控制系統的網路安全。此外,這個方法可移除倉庫 IT、作業和分析平台間不相通的系統,讓工廠資料得以同步化至包羅萬象的單一系統。
這麼一來,SmartAxiom 的部署能將延遲縮短到 10 毫秒之內。
然而,區塊鏈的機會不侷限於提升安全性與自動化效率。區塊鏈可外推至車輛或其電子控制單元 (ECU),因此或許能讓「邊緣裝置」與帶動物聯網的企業應用程式之間連線安全無虞。
「車上有 200 部處理器。如果在最大的六、七部處理器之間執行輕型區塊鏈,讓它們互相信任,讓它們協同合作,那麼汽車就能夠自我防衛。」Poltronetti 表示。「如果它們信任汽車,那麼它就能成為更大系統中的端點。現在還可用於叫車、共乘、送貨,這真是太美妙了。」