5、物联网中的访问控制与认证

物联网中的访问控制与认证

1. 引言

物联网设备根据处理能力大致可分为受限设备和非受限设备。受限设备的计算资源有限，网络连接能力较弱，通常配备预编码的静态操作指令集，用户或动态配置的空间较小，如智能灯、门窗传感器、温湿度传感器等。由于处理能力有限，这些设备主要依赖第三方计算服务（如云计算）进行数据分析，并依靠中间网关与远程云进行安全通信，它们会采用多种网络媒介（如 Wi-Fi、蓝牙、NFC 和蜂窝网络）与其他设备通信。

非受限设备则具有较强的自主性，具备必要的数据存储和处理能力，能执行基本的数据操作，为执行器做出初步决策，还会与云进行高计算和数据存储操作。不过，它们仍需手动配置才能运行，不当配置和默认设置可能导致网络攻击。而且，这两类设备默认都缺乏全面的安全机制，配置也较为有限。

为保护这些设备免受网络攻击，需要更具体、轻量级的机制，其中身份管理和访问控制尤为关键。部署特定设备的安全机制对于大量物联网设备来说并不划算，因为一个受攻击的设备就可能削弱整个系统的安全性。例如，2016 年曾发生利用 Mirai 物联网僵尸网络对知名安全服务提供商网站的复杂分布式拒绝服务（DDoS）攻击。近期的安全漏洞凸显了物联网设备多层安全防护的必要性，可利用中间网关和公共云计算来部署这些安全层。

2. 物联网中的身份管理

在物联网生态系统中，每个设备都需要唯一的身份来实施安全规则。强大的身份管理能让设备在与其他设备和用户建立安全连接前进行自我识别。设备的典型生命周期活动包括：
- 设计阶段的身份 ：物联网设备身份创建和管理始于设计阶段。每个设备在开发阶段会获得基本身份，并写入 ROM 以备未来部署。此身份主要