您好, 登錄| 注冊|
論壇導航
您好, 登錄| 注冊|
子站:
產品/技術
應用分類

安卓微信自动抢红包:您的LoRaWAN IoT設備的安全性如何?

2020-03-06 10:43 來源:電源網編譯 編輯:咩咩

免费红包群 www.ithngw.com.cn 低功耗廣域網(LPWAN)正在幫助推動物聯網(IoT)爆炸式增長。它們將數百萬個低功耗IoT和工業IoT(IIoT)設備連接到從室內到覆蓋大范圍甚至城市的各種距離(從短到真的很長)的無線網絡中。但是使用LoRaWAN標準的設備設計人員可能會陷入沉思,認為僅配置其安全密鑰就足以防止其設備被黑客入侵。一份新報告說不是。

四種協議使企業可以選擇LPWAN連接:蜂窩NB-IoT,LTE-M和Sigfox,以及非蜂窩LoRaWAN標準。其中,開放式LoRaWAN占絕對優勢。連接和物聯網高級首席分析師Lee Ratliff說,Omdia(以前是IHS Markit – Technology)對LoRa提出了“很高的預測”。

您的LoRaWAN IoT設備的安全性如何?

Omdia LPWAN出貨量2019 vs 2023.jpg(來源:Omdia)

根據LoRa聯盟的說法,LoRa被用于制造業,智能城市,智能公用事業,車輛跟蹤和醫療保健等行業的超過1億個IoT和IIoT設備中的M2M通信。

但是利用所有這些無線流量,這些網絡的節點的安全性如何? IOActive Research撰寫的關于LoRaWAN實施的新白皮書得出的結論不是很好。設備很容易受到黑客攻擊,特別是那些使用該標準的修訂版1.0構建的設備,包括1.0.2和1.0.3,這是迄今為止的大多數部署。

LoRaWAN的機制經過精心設計,可以安全地傳輸數據,并且該協議經常進行安全修訂。其漏洞主要在于如何實現和管理用于IoT / IIoT設備,網關和服務器之間的網絡級和應用程序級通信的加密密鑰。如果處理不當,LoRaWAN部署將很容易成為黑客和其他威脅行為者的目標。在某些部署中(例如過程控制,自動化制造或能源公用事業),結果可能從插入錯誤的傳感器數據到停止電力服務到中斷工業過程設備操作中的通信都可能產生潛在的有害影響。

LoRaWAN安全漏洞是可以避免的

當在部署之前未替換某些密鑰源代碼,將相同的密鑰用于一組設備或密鑰的強度不足以防止進行逆向工程時,就會出現問題。如果硬編碼密鑰被盜用,則無法更改。

IOActive的研究人員還發現,包含某些信息的標簽并不總是在設備部署之前被刪除;如果不遵循某些步驟,則可以克隆設備固件;某些與Internet連接的LoRaWAN服務器使用默認或易于猜測的憑據,并且可以很容易地被黑客入侵以訪問密鑰。

在更常見的網絡安全問題上,其中某些服務器配置不正確或發現運行的軟件過時或未打補丁。由于LPWAN是開放的,因此也可以輕松地在線獲取源代碼。報告討論的其他問題并非特定于LPWAN,例如數據泄露或對設備制造商或服務提供商網絡的黑客攻擊。

“今天部署的大多數節點不是1.1,LoRa的第一個版本沒有提供空中固件更新的準備,” Ratliff說。因此,這些節點可能由于其自定義的實現方式以及?;奔渲卸戲竦奈侍舛換岜桓?。

您的LoRaWAN IoT設備的安全性如何?

LoRaWAN為從終端設備到網關以及從網關到網絡服務器的通信提供了兩層安全性:網絡級和應用程序級。每個都使用兩個128位加密密鑰。網絡服務器和應用程序服務器之間的數據完整性不是由協議定義的,而是由服務提供商決定的。 (來源:IOActive)

LoRaWAN 1.0也沒有固件無線(FOTA)更新機制。 “即使有,硬件也必須具備[它]的能力–這增加了成本,因為需要更多的閃存來保存兩個固件映像,直到更新完成為止–確實存在FOTA可能會阻塞一定比例的節點的風險否則會造成破壞?!彼?。 “使用1.1,如果您要部署LoRa并需要進行OTA更新,那么這將不是問題。但是使用LoRa的制造商必須啟用它?!?

白皮書的主要作者和IOActive的CTO Cesar Cerrudo說,也許最令人擔憂的是,這些漏洞并不為人所知。各個組織一味地信任LoRaWAN,因為它使用了加密,但是如果黑客可以訪問密鑰,則可以輕松繞過該加密,這很容易做到。用戶之間對網絡安全問題的認識也不夠,他們認為僅由于協議具有加密功能,安全密鑰就足以?;ねㄐ?。一些制造商可能會在其LoRaWAN設備中添加加密功能,但是由于他們不是網絡安全專家,因此加密效果可能還不夠好。

此外,Cerrudo說,不存在用于測試網絡或檢測網絡攻擊的工具。該公司發布了一套開源工具,即LoRaWAN審核框架,因此用戶可以審核和滲透測試其基礎架構的安全性。該報告本身包含用于借助這些工具檢測可能的網絡攻擊的技術,以及用于LoRaWAN實施的最佳實踐和基本安全狀況。

Omdia網絡安全技術高級分析師Tanner Johnson確認缺乏網絡安全工具。他說:“盡管可能有一些私人的,自定義的安全工具實施方案,用于監視,檢測和預防LPWAN上的網絡威脅,但沒有針對個人協議量身定制的任何此類工具,”他說。 “在物聯網網絡安全中,主要目標是可視性?!?

問題可能不僅僅限于LoRaWAN

Cerrudo表示,IOActive之所以選擇LoRaWAN進行調查是因為其普及性和開放性技術,與專有的Sigfox不同,盡管Sigfox也存在安全問題,包括在處理密鑰方面的類似問題。使用LTE-M和NB-IoT,用戶通常需要依靠無線通信服務提供商來確保安全性。

Ratliff說,其他LPWAN標準可能沒有像流行的LoRaWAN那樣被仔細研究過,因此尚不清楚它們是否更容易或更安全地實施。 “ LTE-M借鑒了經過嚴格審查的LTE標準。因此,很多人認為它和LTE一樣安全。 NB-IoT是新事物,受到LoRa的關注。但它在中國境外的部署不那么普遍,因此可能不在同一條船上?!弊鈧?,NB-IoT也很可能會發現漏洞。

Ratliff說,記住有線與無線之間的安全性差異非常重要。無線網絡比有線網絡更容易受到攻擊,因為在其中,攻擊面是每個節點,而不僅僅是需要物理訪問的單個網關。借助無線協議,黑客可以遠程訪問節點,因此風險很小。這意味著即使網絡安全,他們也一直在努力。

本文編譯自eetimes。

標簽: LoRaWAN IoT LPWAN

聲明:本網站原創內容,如需轉載,請注明出處;本網站轉載的內容(文章、圖片、視頻)等資料版權歸原網站所有。如我們采用了您不宜公開的文章或圖片,未能及時和您確認,避免給雙方造成不必要的經濟損失,請電郵聯系我們,以便迅速采取適當處理措施;歡迎投稿,郵箱:[email protected]。

微信關注
技術專題 更多>>
測試測量領域里的那些經驗之談
與世界無線連接5G商用年

頭條推薦

2019慕尼黑上海電子展
客服熱線
服務時間:周一至周五9:00-18:00
微信關注
免費技術研討會
獲取一手干貨分享

互聯網違法不良信息舉報

Reporting Internet Illegal and Bad Information
400-003-2006