物联网信息安全 课件 第5章 物联网核心网安全；物联网网络层安全

纪年·记念毕业记物联网信息安全5.5

物联网核心网安全5.5.1核心IP骨干网的安全5.5.26LoWPAN适配层的安全物联网核心网安全——6LoWPAN和RPL的安全性5.5.1核心IP骨干网的安全核心IP骨干网的安全IP骨干网什么是IP骨干网？5.5.1物联网信息安全核心IP骨干网的安全物联网信息安全骨干网（BackboneNetwork）是用来连接多个区域或地区的高速网络。每个骨干网中至少有一个和其他骨干网进行互联互通的连接点。不同的网络供应商都拥有自己的骨干网，用以连接其位于不同区域的网络。IP核心网关键技术5.5.1..物联网信息安全在3GPP网络中，核心网根据向移动用户提供的业务的不同，总体上划分为两个业务域：提供话音业务的CS域和提供数据业务的PS域。IP核心网关键技术5.5.1..物联网信息安全IP核心网关键技术5.5.1

PS域.CS域移动核心网络对IP承载技术需求.物联网信息安全一些重要概念物联网信息安全1.CS域R4版本处理话音的MSC与GMSC分裂成两个网元，即MSCServer/GMSCServer与其控制的网关MGW，R4可以认为是向全IP网络的一个过渡阶段，支持No.7信令在2个核心网络功能实体间以基于不同的网络方式来传输，包括基于MTP、IP和ATM的网络上来传输。核心网通过各种媒体网关与信令网关，可以与2G网络、PSTN等外部网络进行互连互通，能够实现2G网络与3G网络之间的相互漫游。在3G网络中，如果是从2G网络演进而来，则可以将2G的网络看作是3G核心网络的一个外部网络。一些重要概念物联网信息安全2.PS域SGSN直接服务于MS，为MS提供移动性管理、会话管理等功能。SGSN通过Gn口与GGSN相连，在Gn口采用GTP协议对信令和用户数据进行封装传输；GGSN通过Gi口提供用户接入PDN的网关功能，Gi口采用IP、ATM等技术承载。

从现有标准进展来看，CS域Mc、Nc、Nb、A、Iu-CS等逻辑接口已经IP化，即采用IP承载；PS域Gn、Gp、Gi、Iu-PS、Gb等逻辑接口也都采用IP承载。从目前商用情况来看，CS域Mc、Nc、Nb和PS域Gn、Gp、Gi口IP接入已经大面积商用。从成本与运维的角度看，IP承载有突出的优势，移动网络全IP承载是移动网络的发展趋势。一些重要概念物联网信息安全3.移动核心网络对IP承载技术需求由于电信业务特别是话音业务对数据网络的要求远高于普通互联网接入服务，因此为了保证移动网络安全可靠的地运行，对IP承载提出了新的功能要求。SSL/TLS协议运行机制的概述5.5.1..物联网信息安全互联网的通信安全，建立在SSL/TLS协议之上。1.作用2.历史3.基本运行过程SSL/TLS协议运行机制的概述5.5.1..物联网信息安全1.作用5.5.1..物联网信息安全不使用SSL/TLS的HTTP通信，就是不加密的通信。所有信息明文传播，带来了三大风险。（1）窃听风险（eavesdropping）：第三方可以获知通信内容。（2）篡改风险（tampering）：第三方可以修改通信内容。（3）冒充风险（pretending）：第三方可以冒充他人身份参与通信。SSL/TLS协议是为了解决这三大风险而设计的，希望达到：（1）所有信息都是加密传播，第三方无法窃听。（2）具有校验机制，一旦被篡改，通信双方会立刻发现。（3）配备身份证书，防止身份被冒充。互联网是开放环境，通信双方都是未知身份，这为协议的设计带来了很大的难度。而且，协议还必须能够经受所有匪夷所思的攻击，这使得SSL/TLS协议变得异常复杂。2.历史5.5.1..物联网信息安全互联网加密通信协议的历史，几乎与互联网一样长。1994年，NetScape公司设计了SSL协议（SecureSocketsLayer）的1.0版，但是未发布。1995年，NetScape公司发布SSL2.0版，很快发现有严重漏洞。1996年，SSL3.0版问世，得到大规模应用。1999年，互联网标准化组织ISOC接替NetScape公司，发布了SSL的升级版TLS1.0版。2006年和2008年，TLS进行了两次升级，分别为TLS1.1版和TLS1.2版。目前，应用最广泛的是TLS1.0，接下来是SSL3.0。但是，主流浏览器都已经实现了TLS1.2的支持。TLS1.0通常被标示为SSL3.1，TLS1.1为SSL3.2，TLS1.2为SSL3.3。3.基本运行过程5.5.1..物联网信息安全SSL/TLS协议的基本思路是采用公钥加密法，也就是说，客户端先向服务器端索要公钥，然后用公钥加密信息，服务器收到密文后，用自己的私钥解密。但是，这里有两个问题。（1）如何保证公钥不被篡改？解决方法：将公钥放在数字证书中。只要证书是可信的，公钥就是可信的。（2）公钥加密计算量太大，如何减少耗用的时间？解决方法：每一次对话（session），客户端和服务器端都生成一个"对话密钥"（sessionkey），用它来加密信息。由于"对话密钥"是对称加密，所以运算速度非常快，而服务器公钥只用于加密"对话密钥"本身，这样就减少了加密运算的消耗时间。5.5.26LoWPAN适配层的安全1.6LoWPAN协议物联网信息安全5.5.26LoWPAN是一种基于IPv6的低速无线个域网标准，即IPv6overIEEE802.15.4。背景将IP协议引入无线通信网络一直被认为是不现实的(不是完全不可能)。迄今为止，无线网只采用专用协议，因为IP协议对内存和带宽要求较高，要降低它的运行环境要求以适应微控制器及低功率无线连接很困难。基于IEEE802.15.4实现IPv6通信的IETF6LoWPAN[1]

草案标准的发布有望改变这一局面。6LoWPAN所具有的低功率运行的潜力使它很适合应用在从手持机到仪器的设备中，而其对AES-128加密的内置支持为强健的认证和安全性打下了基础。IEEE802.15.4标准设计用于开发可以靠电池运行1到5年的紧凑型低功率廉价嵌入式设备(如传感器)。该标准使用工作在2.4GHz频段的无线电收发器传送信息，使用的频带与Wi-Fi相同，但其射频发射功率大约只有Wi-Fi的1%。这限制了IEEE802.15.4设备的传输距离，因此，多台设备必须一起工作才能在更长的距离上逐跳传送信息和绕过障碍物。物联网信息安全技术优势普及性：IP网络应用广泛，作为下一代互联网核心技术的IPv6，也在加速其普及的步伐，在低速无线个域网中使用IPv6更易于被接受。适用性：IP网络协议栈架构受到广泛的认可，低速无线个域网完全可以基于此架构进行简单、有效地开发。更多地址空间：IPv6应用于低速无线个域网时，最大亮点就是庞大的地址空间。支持无状态自动地址配置：IPv6中当节点启动时，可以自动读取MAC地址，并根据相关规则配置好所需的IPv6地址。l易接入：低速无线个域网使用IPv6技术，更易于接入其他基于IP技术的网络及下一代互联网，使其可以充分利用IP网络的技术进行发展。易开发：针对低速无线个域网的特性对这些技术进行适当的精简和取舍，可以简化协议开发的过程。物联网信息安全概况6LoWPAN的设计目标是在无线个域网（WPAN）中引入IPv6协议6LoWPAN支持星型、树型、MESH网等多种网络拓扑结构IETF关于6LoWPAN已有多项提案RFC4919,RFC4944,draft-ietf-6lowpan-hc,等IPSO组织对6LoWPAN的发展进行推动IPSO的目标是在物联网和各种智能设备中中推广IP技术成员有Atmel,Cisco,Ericsson等物联网信息安全6LoWPAN体系结构

物联网信息安全6LoWPAN各层协议物联网信息安全5.5.26LoWPAN物理层和MAC层采用IEEE802.15.4标准适配层是6LoWPAN的主要组成部分，主要功能有：压缩分片和重组Mesh路由网络层采用IPv6协议主讲人：张绛丽全IP网——Internet+物联网物联网信息安全Contiki平台上具有世界上体积最小的6LoWPAN协议栈：uIPv6uIPv6已经通过了IPV6认证，并且是开源的IPv6部分：仅占用11KB的ROM和1.8KB的RAM

uIPv6协议栈物联网信息安全物联网信息安全802.15.4协议栈体系结构物联网信息安全分片、重组与压缩物联网信息安全IPv6允许传输的最大数据包为1280个字节，而IEEE802.15.4物理层单个数据包最大为127个字节，因此6LoWPAN在传输时需采用分片和重组机制。6LoWPAN采用无状态帧头压缩机制。IPv6：40octets,TCP：20octets,UDP：8octets，还有安全、路由等附加字节。为了降低开销，在无线子网传输时对帧头进行压缩，压缩程度可达80%。6LoWPAN的改进：标准方面物联网信息安全增加适配层对IEEE802.15.4中专用时隙GTS机制的支持，支持不同的服务质量（QoS）；改进6LoWPAN邻居发现协议，提高网络的自组织入网与管理能力；考虑对IEEE802.15.4系列新标准的支持能力，例如IEEE802.15.4e/g等。加入支持时隙和调度的路由协议6LoWPAN的改进：协议实现方面物联网信息安全1.开发透明型6LoWPAN—3G网关，实现端到端全IPv6通信2.为Contiki平台上现有的6LoWPAN协议添加动态入网功能3.在Contiki平台的MAC层中支持IEEE802.15.4的GTS机制4.在Contiki平台上添加针对各种传感器的应用示范Thankyou——1441906124——徐振物联网信息安全物联网安全技术物联网网络层安全需求物联网工程课程目录针对承载网络信息传输的攻击

(1)对非授权数据的非法获取

基本手段为：窃取、篡改或删除链路上的数据；伪装成网络实体截取业务数据；对网络流量进行分析；

(2)对数据完整性的攻击

攻击者对系统无线链路中传输的业务与信令、控制信息等进行篡改，包括插入、修改和删除等；物联网网络层安全5.1网络层安全需求

5.1.1网络层安全威胁

5.1.2网络层安全技术和方法5.2近距离无线接入安全——WLAN安全

5.2.1无线局域网WLAN的安全威胁

5.2.2无线局域网的安全机制物联网网络层安全物联网体系结构图物联网网络层概述

物联网网络层功能：主要通过各种网络接入设备与移动通信网和互联网等广域网相连，把感知层收集到的信息快速、可靠、安全地传输到信息处理层，然后根据不同的应用需求进行信息处理、分类、聚合等。

物联网网络层构成：主要由网络基础设施、网络管理及处理系统组成。物联网的承载网络：主要用于连接终端感知网络与服务器，包括互联网、移动网、WLAN网络和一些专业网；是一个多网络叠加的开放性网络。物联网网络层安全网络层安全技术需求物联网的特点物联网具有：由大量机器构成、缺少人对设备的有效监控、数量庞大、设备集群等特点。物联网网络层安全特点物联网除具有传统网络安全的问题之外，还具有一些与现有网络安全不同的特殊安全问题。

物联网网络层安全物联网网络安全需求

(1)业务数据在承载网络中的传输安全

需要保证物联网业务数据在承载网络传输过程中，数据内容不被泄露、不被非法篡改、数据流信息不被非法获取；

(2)承载网络的安全防护需要解决的问题是：面对最常见的病毒、木马、DDOS等网络攻击，如何对脆弱的传输节点或核心网络设备进行安全防护；

(3)终端及异构网络的鉴权认证提供轻量级鉴别认证和访问控制，实现对终端接入认证、异构网络互连的身份认证、鉴权管理及对应用的细粒度访问控制；物联网网络层安全5.1物联网网络安全需求

(4)异构网络下终端的安全接入

针对物联网M2M的业务特征，对网络接入技术和网络架构均需要改进和优化，以满足物联网业务的网络安全应用需求：①网络对低移动性、低数据量、高可靠性、海量容量的优化；②适应物联网业务模型的无线安全接入技术、核心网优化技术；③终端寻址、安全路由、鉴权认证、网络边界管理、终端管理等技术；④适用于传感器节点的短距离安全通信技术、异构网络的融合技术和协同技术。物联网网络层安全5.1物联网网络安全需求

(5)物联网应用网络统一协议栈需求

物联网核心网层面是基于TCP/IP协议，但在网络接入层面，协议种类繁多，有GPRS/CDMA、短信、传感器、有线等多种通道，因此物联网需要一个统一的协议栈和相应的技术标准，从而杜绝通过篡改协议，协议漏洞等攻击威胁网络应用安全；

(6)大规模终端分布式安全管控物联网应用终端的大规模部署，对网络安全管控体系、安全检测、应急联动、安全审计等方面提出了新的安全需求。物联网网络层安全5.1物联网网络层安全

物联网网络层安全威胁和安全需求

物联网核心网安全新措施

移动通信接入安全

无线接入安全

物联网网络层安全5.1.1网络层安全威胁1.IP欺骗2.ICMP攻击3.端口结构的缺陷网络层面临的安全问题

针对物联网终端的攻击针对物联网承载网络信息传输的攻击针对物联网核心网络的攻击物联网网络层安全针对网络终端的攻击病毒、木马对网络终端的威胁：随着物联网终端的计算和存储能力的增强，使其遭受病毒、木马等侵入的机会也大大增加；且病毒或木马在物联网中具有更大的传播性、更强的破坏性、更高的隐蔽性，因此威胁更大；网络终端自身平台缺乏完整性保护和验证机制：平台软/硬件模块容易被攻击者篡改；终端内部各通信接口间缺乏机密性和完整性保护：传递的信息容易被窃取或篡改。物联网网络层安全针对网络终端的攻击使用偷窃的终端和智能卡对终端或智能卡中的数据进行篡改对终端和智能卡间的通信进行侦听伪装身份截取终端与智能卡间的交互信息非法获取终端和智能卡中存储的数据物联网网络层安全5.1.2网络层安全技术和方法1.逻辑网络分段2.VLAN的实施3.防火墙服务4.加密技术5.数字签名和认证技术针对核心网的攻击

(1)对数据的非法获取

对用户业务、信令和控制数据的窃听，伪装成网络实体截取用户信息以及对用户流量进行主动与被动分析，即：对系统数据存储实体的非法访问；在呼叫建立阶段伪装用户位置信息等。

(2)对数据完整性的攻击对用户业务与信令消息进行篡改；对下载到用户终端或UsIM的应用程序与数据进行篡改；通过伪装成应用程序及数据发起方篡改用户终端或USIM的行为；篡改系统存储实体中储存的用户数据等。物联网网络层安全网络层安全技术和方法逻辑网络分段VLAN的实施

逻辑网络分段是指将整个网络系统在网络层（ISO/OSI模型中的第三次）上进行分段。例如，对于TCP/IP网络，可以把网络分成若干IP子网，各子网必须通过中间设备进行连接，并利用这些中间设备的安全机制来控制各子网之间的访问。

基于MAC的VLAN不能防止MAC的欺骗攻击。因此，VLAN划分最好基于交换机端口。VLAN的划分方式的目的是为了保护系统的安全性。因此，可以按照系统的安全性来划分VLAN。针对核心网的攻击

(3)拒绝服务攻击

基本手段包括：物理干扰、协议级干扰、伪装成网络实体对用户请求作出拒绝回答，滥用紧急服务等。

(4)否认攻击主要包括：对费用的否认、对发送数据的否认、对接受数据的否认等。(5)对非授权业务的非法访问

基本手段包括伪装成用户、服务网络、归属网络，滥用特权非法访问非授权业务。物联网网络层安全网络层安全技术和方法防火墙服务加密技术数字签名和认证技术

防火墙技术是网络安全的重要安全技术之一，其主要作用是在网络入口点检查网络通信，根据客户设定的安全准则，提供内外网通信。

加密型网络安全技术的基本思想是不依赖于网络中数据途径的安全性来实现网络系统的安全，而是通过对网络数据的加密来保障网络的安全可靠性。

认证技术主要解决网络通信过程中通信双方的身份认可，数字签名是身份认证技术中的一种具体技术，同时数字签名还可用于通信过程中的不可依赖要求。基于PKI的认证组成图物联网网络层安全特点

(1)无法复制传统网络成功的技术模式

不同应用领域的物联网具有完全不同的网络安全和服务质量要求；

(2)不同于传统网络的安全架构传统网络的安全架构是从人通信的角度设计的，而物联网中以机器通信为主。若使用传统网络安全架构，会割裂物联网机器间的逻辑关系；

(3)物联网需要严密的安全性和可控性

物联网中的大多数应用均涉及个人隐私或企业内部机密，因此，需具有保护个人隐私、防御网络攻击的能力；物联网网络层安全物联网网络层安全特点

(4)多源异构的数据格式使网络安全问题更复杂

物联网在感知层从各种感知节点所采集的数据海量且多源异构，致使网络接入技术、网络架构、异构网络的融合技术和协同技术等相关网络安全技术必须符合物联网业务特征；

(5)对于网络的实时性、安全可信性、资源保证性方面的要求均高于传统网络如：在智能交通应用领域，物联网必须是稳定的；在医疗卫生应用领域，物联网必须具有很高的可靠性。物联网网络层安全物联网网络层安全框架物联网网络层构成

物联网网络层可分为：业务网、核心网、接入网三部分；物联网网络层安全解决方案

(1)构建物联网与互联网、移动网相融合的网络安全体系结构；(2)建设物联网网络安全统一防护平台；(3)提高物联网系统各应用层之间的安全应用与保障措施；(4)建立全面的物联网网络安全接入与应用访问控制机制。物联网网络层安全基于网络层安全特点的解决方案5.2.1无线局域网WLAN的安全威胁

无线局域网WLAN是计算机网络与无线通信技术相结合的产物。随着无线局域网（WLAN）、第三代移动通信技术（3G）等无线无线互联网技术的产生和运用，无线网络使人们的生活变得轻松自如，并且在安装、维护等方面也具有有线网无法比拟的优势，但随着WLAN应用市场的逐步扩大，除了常见的有线网络的安全威胁外，WLAN的安全性问题显得尤其重要。针对核心网的攻击

(3)拒绝服务攻击

基本手段包括：物理干扰、协议级干扰、伪装成网络实体对用户请求作出拒绝回答，滥用紧急服务等。

(4)否认攻击主要包括：对费用的否认、对发送数据的否认、对接受数据的否认等。(5)对非授权业务的非法访问

基本手段包括伪装成用户、服务网络、归属网络，滥用特权非法访问非授权业务。物联网网络层安全5.2.1无线局域网WLAN的安全威胁（1）无线局域网的网络结（2）WLAN的安全风险分析

无线局域网可分为两大类：第一类是有固定基础设施的，即有接入点AP;第二类是无固定设施的，即自组织网络（人们常称为AbHoc网络）。

1.DHCP导致易入侵。2.接入的风险。3.客户端连接不当的风险。4.窃听导致的风险。5.拒绝服务攻击。

WLAN所面临的基本安全威胁主要有信息泄露、完整性破坏、拒绝服务和非法使用。主要包括非授权访问、窃听、伪装、篡改信息、否认、重放、重路等（3）无线局域网的安全威胁一、无线局域网WLAN的网络结构第一类有固定基础设施的网线局域网基础结构的WLAN图物联网网络层安全扩展的服务集ESS自组织网络图另一类无固定基础设施的无线局域网又叫做自组织网络物联网网络层安全自组织网络存在隐藏终端的问题，存在无线覆盖外的站点，自组织网中的站点“看不到”隐藏终端，侦听不到隐藏终端的载波信号，所以无法避免冲突发生，从而导致CSMA失效，信道吞吐率验证下降。隐藏终端问题如上图，A、D、C分别都能与B通信，由于没有全覆盖，结果导致：A、D或C、D同时发送数据时，彼此认为没有冲突，实际上冲突会在B处发生。物联网网络层安全现有核心网典型安全防护系统部署物联网AAA服务器

是一个能够处理用户访问请求的服务器程序。提供验证授权以及帐户服务。AAA服务器通常同网络访问控制、网关服务器、数据库以及用户信息目录等协同工作。

AAA

Authentication：

验证用户是否可以获得访问权限；

Authorization：

授权用户可以使用哪些服务；

Accounting：

记录用户使用网络资源的情况。物联网核心网安全无线局域网的安全威胁

1.非授权访问：入侵者访问未授权的资源或使用未授权的服务。入侵者可看、删除或修改未授权访问的机密信息，造成信息泄露、完整性破坏，以及非法访问和使用资源。

2.窃听：入侵者能够通过信息信道来获取信息。AP的无线电波难以精确地控制在某个范围之内，所以在AP范围内几乎任何一个STA都能窃听这些数据。

3.伪装：入侵者能够伪装成其他STA或授权用户，对机密信息进行访问；或者伪装成AP，接收合法用户的信息。

4.重放、重路由、错误路由和删除消息。

5.否认：接收信息或服务的一方事后否认曾经发送过的请求或接收过该信息或服务。现有核心网典型安全防护系统部署物联网AAA服务器

是一个能够处理用户访问请求的服务器程序。提供验证授权以及帐户服务。AAA服务器通常同网络访问控制、网关服务器、数据库以及用户信息目录等协同工作。

AAA

Authentication：

验证用户是否可以获得访问权限；

Authorization：

授权用户可以使用哪些服务；

Accounting：

记录用户使用网络资源的情况。物联网核心网安全现有核心网典型安全防护系统部署物联网AAA服务器

是一个能够处理用户访问请求的服务器程序。提供验证授权以及帐户服务。AAA服务器通常同网络访问控制、网关服务器、数据库以及用户信息目录等协同工作。

AAA

Authentication：

验证用户是否可以获得访问权限；

Authorization：

授权用户可以使用哪些服务；

Accounting：

记录用户使用网络资源的情况。物联网核心网安全无线局域网的标准协议

1）IEEE802.11系列标准(1)IEEE802.11标准是IEEE最初制定的第一个无线局域网标准。

(2)IEEE802.11b标准是对IEEE802.11的补充，采用补偿编码键控调制方式。

(3)IEEE802.11a标准也是对IEEE802.11的补充，扩展了物理层。

(4)IEEE802.11g标准是一种混合标准。

(5)IEEE802.11n标准不仅传输速率高，稳定性和覆盖范围都有所提高。

2）家庭网络HomeRF与HIPERLAN协议

(1)家庭网络的HomRF是IEEE802.11与DECT的结合，旨在降低语音数据成本。

(2)HiPerLAN协议标准体系中的HiPerLAN2标准是目前比较完善的WLAN协议。3）蓝牙针对核心网的攻击

(3)拒绝服务攻击

基本手段包括：物理干扰、协议级干扰、伪装成网络实体对用户请