[论文解读] Baseline functionality for security and control of commodity IoT devices and domain-controlled device lifecycle management

Markus Miettinen, Paul C. van Oorschot+1 more|arXiv (Cornell University)|Aug 9, 2018

Advanced Malware Detection Techniques参考文献 17被引用 5

一句话总结

本文提出了一种基线密钥管理框架——以可配置的KMI守护者为核心——实现对异构、多厂商环境中的商品物联网设备的集中式、安全的全生命周期管理。通过中介设备注册、访问控制及软件更新，该框架降低了管理复杂性，增强了领域所有者（尤其是缺乏长期支持的低端制造商设备）的安全性。

ABSTRACT

The emerging Internet of Things (IoT) drastically increases the number of connected devices in homes, workplaces and smart city infrastructures. This drives a need for means to not only ensure confidentiality of device-related communications, but for device configuration and management---ensuring that only legitimate devices are granted privileges to a local domain, that only authorized agents have access to the device and data it holds, and that software updates are authentic. The need to support device on-boarding, ongoing device management and control, and secure decommissioning dictates a suite of key management services for both access control to devices, and access by devices to wireless infrastructure and networked resources. We identify this core functionality, and argue for the recognition of efficient and reliable key management support---both within IoT devices, and by a unifying external management platform---as a baseline requirement for an IoT world. We present a framework architecture to facilitate secure, flexible and convenient device management in commodity IoT scenarios, and offer an illustrative set of protocols as a base solution---not to promote specific solution details, but to highlight baseline functionality to help domain owners oversee deployments of large numbers of independent multi-vendor IoT devices.

研究动机与目标

• 应对大规模、异构物联网部署日益增长的管理挑战，当前尚无统一的安全或管理模型。
• 减轻领域所有者（如家庭用户、城市运营商）必须管理多个不兼容的厂商专用设备管理工具的负担。
• 提供一种标准化、可扩展的基线密钥管理功能，支持商品物联网设备全生命周期中的身份认证、授权、完整性保护及安全更新。
• 使领域所有者即使在制造商停止运营或缺乏长期支持的情况下，仍能保持对设备的可见性与控制权。
• 在10至20年内演变为系统性故障之前，突出物联网设备全生命周期管理中的关键问题，尤其是停用与更新控制。

提出的方法

• 引入守护者模型作为中间可配置实体（KMI守护者），在领域所有者与物联网设备之间中介安全与管理功能。
• 根据计算与通信能力将物联网设备分类为高端、中端与低端，本框架聚焦于商品（低端）设备。
• 在设备注册阶段使用基于PAKE的协议（B2）实现安全主密钥建立，最大限度减少对受限设备的公钥密码学需求。
• 通过让守护者负责访问控制、网络连接与更新中介，将设备特定功能与全生命周期管理解耦。
• 设计一种中介式软件更新机制，确保更新的真实性与完整性，同时允许领域所有者控制部署。
• 提出一种停用模型，由制造商或代理负责管理密码数据库，确保设备从领域中安全移除。

实验结果

研究问题

• RQ1 领域所有者如何在不依赖专有厂商工具的前提下，实现对大规模、异构、多厂商商品物联网设备的集中式、安全化管理？
• RQ2 为确保设备全生命周期中的身份认证、安全更新与访问控制，哪些基线密钥管理功能是必不可少的？
• RQ3 当制造商可能停止运营或缺乏长期安全支持时，如何维持对设备的信任与控制？
• RQ4 集中式守护者实体在中介设备注册、更新与停用过程中，如何在最小化受限设备密码学开销的前提下发挥作用？
• RQ5 在设计可持续、互操作的物联网设备全生命周期管理框架时，面临哪些关键挑战，以避免未来发生安全与可用性危机？

主要发现

• 所提出的KMI守护者框架使领域所有者能够集中管理商品物联网设备的访问控制、设备注册与软件更新，减少对多种厂商专用工具的依赖。
• 该框架通过使用轻量级PAKE协议实现主密钥建立，减轻了设备的密码学负担，避免了在受限设备上部署完整公钥基础设施的需求。
• 中介式软件更新确保了更新的真实性与完整性，即使在制造商无长期支持的情况下，领域所有者仍能保持对更新部署的可见性与控制权。
• 该框架特别适用于“B类”制造商——即以价格竞争、缺乏长期安全投入的厂商——其设备很可能在公司倒闭后仍长期运行。
• 该设计凸显了物联网设备全生命周期管理中的系统性风险，尤其是停用与更新控制问题，并呼吁标准化以防止未来发生安全与可用性危机。
• 本文主张标准化基线设备接口与密钥管理功能至关重要，以避免因大量设备超出制造商生命周期而引发广泛物联网混乱。