物联网安全--网络层安全

物联网安全--网络层安全

防火卷帘门安装,钢制防火,防火墙登陆　　（1）核心网要接收来自海量、集群方式存在的物联网节点的传输信息，很容易导致网络拥塞，极易受到DDoS攻击，这是物联网网络层最常见的攻击手段

　　防火卷帘门安装,钢制防火,防火墙登陆（2）网络层存在不同架构的网络互联互通问题，核心网将面临异构网络跨网认证等安全问题。涉及密钥和认证机制的一致性和兼容性，能抵抗DoS攻击、中间人攻击、异步攻击、合谋攻击等

　　（3）物联网中一些节点不固定，与邻近节点的通信关系会发生改变，很难为节点建立信任关系，面临着虚拟节点、虚假路由等攻击

　　?在TCP/IP协议中，网络层协议IP提供了互连跨越多个网络终端系统(即跨网互联)的能力，IP是实现整个网际互联的核心，在该层加入安全机制是保证整个网络安全通信的重要手段

　　?IP层的安全机制称为IPSec，包括了三个功能域：鉴别、机密性和密钥管理。

　　○鉴别机制保证收到的分组确实是由分组首部的源站地址字段声明的实体传输过来的，该机制还能保证分组在传输过程中没有被篡改

　　IPSec通过对IP协议的分组进行加密和认证来保护IP协议的网络传输协议族，用于保证数据的机密性、来源可靠性、无连接的完整性并提供抗重播服务。

　　○由于IPSec位于传输层(TCP、UDP)之下，因此对于应用是透明的。所以当在防火墙、路由器或用户终端系统上实现IPSec时，并不会对应用程序带来任何的改变

　　○IPSec可以对个人用户提供安全性。这对于不在本地的工作者(如出差)，或者对于一个组织内部，为敏感的应用建立只有少数人才能使用的虚拟子网是必要的

　　○IPSec为穿越局域网边界的通信量提供安全保障，但对于局域网内部的通信，它不会带来任何与安全有关的处理负荷

　　也称通道模式，是用来保护整个IP数据报，通常在SA的一端或是两端都是安全网关时使用

　　为了正确封装和提取IPsec的数据包，有必要采取一套专门的方案，将安全服务、密钥等与要保护的通信数据联系在一起，这样的构建方案称为安全关联。

　　SA是发送者和接收者两个IPsec系统之间的一个单向逻辑连接，若要在一个对等系统间进行源和目的的双向安全通信，则需要两个SA。

　　安全关联SA通过一个三元组（安全参数索引SPI、目的IP地址和安全协议AH或ESP）来唯一标识。

　　IPSec协议通过数据包使用一个序列号和一个滑动的接收窗口实现抗重播服务

　　接收窗口的大小可为大于32的任何值，但推荐为64。从性能考虑，窗口大小最好是最终实施IPSec的那台计算机的字长度的整数倍

　　ESP的作用是提供机密性保护、有限的流机密性保护、无连接的完整性保护、数据源认证和抗重放攻击等安全服务

　　ESP可以单独使用，也可以和AH结合使用。一般ESP不对整个数据包加密，而是只加密IP包的有效载荷部分，不包括IP头。但在端对端的隧道通信中，ESP需要对整个数据包加密

　　AH协议用于为IP数据包提供数据完整性、数据包源地址验证和一些有限的抗重播服务

　　与ESP协议相比，AH不提供对通信数据的加密服务，但能比ESP提供更加广的数据验证服务

　　使用了两个交换阶段，阶段一用于建立IKE SA，阶段二利用已建立的IKE SA为IPsec协商具体的一个或多个安全关联，即建立IPsec SA

　　IKE允许四种认证方法，分别是基于数字签名的认证、基于公钥加密的认证、基于修订的公钥加密的认证和基于预共享密钥的认证

　　必须提供终端节点和数据汇聚点间的安全保证。在MAC层可以引入访问控制、MAC帧加密与解密、帧完整性验证、身份认证等安全机制,提供点到点的安全通信

　　可能存在的安全问题：分片与重组攻击，报头压缩攻击（如错误的压缩、拒绝服务攻击），轻量级组播安全和Mesh路由安全等。目前针对6LoWPAN适配层安全的研究还较少

　　分片与重组可能出现IP包碎片攻击，进而可能引起DoS攻击和重播攻击。应对IP包碎片攻击的一种方法是：在6LoWPAN适配层增加时间戳（Timestamp）和现时（Nonce）选项来保证收到的数据包是最新的

　　在网络层采用高级加密标准(AES)和CTR模式加密及CBC-MAC验证等对称加密算法对大容量数据进行加密

　　应用层的安全主要集中在为整个6LoWPAN网络提供安全支持,即密钥建立、密钥传输和密钥管理等；而且应用层要能够控制下层安全服务的某些参数

　　?安全套接字层协议（Secure Socket Layer,SSL）被设计成使用TCP在传输层提供一种可靠的端到端的安全服务，是一种用于基于会话的加密和认证的Internet协议，它在客户和服务器之间提供一个安全的管道

　　?SSL工作在传输层和应用层之间，与应用层协议无关，应用层数据（HTTP、FTP、TELNET等）可以透明地置于SSL之上

　　?SSL记录协议为不同的更高层协议提供基本的安全服务。3个高层协议(SSL握手协议、SSL修改密文规程协议、SSL告警协议)用于管理SSL交换（一共4个协议）

　　机密性(Confidentiality)：SSL记录协议会协助双方产生一把共有的密钥，利用这把密钥来对SSL所传送的数据做传统式加密。

　　消息完整性(Message Integrity)：SSL记录协议会协助双方产生另一把共有的密钥，利用这把密钥来计算出消息认证码。

　　?防火墙是设置在不同网络（典型地，可信任的企业内部网络和不可信的因特网）间的一系列安全部件的组合

　　?这组部件具有性质：(1)双向通信必须通过防火墙；(2)防火墙本身不会影响信息的流通；(3)只允许本身安全策略授权的通信信息通过。

　　?防火墙是一种访问控制机制，用于确定哪些内部服务对外开放，以及允许哪些外部服务对内部开放。

　　○服务控制：确定可以访问的因特网服务的类型，包括入站的和出站的。这是因为防火墙可以基于IP地址和TCP端口号对通信量进行过滤

　　○用户控制：内部用户、外部用户所需的某种形式的认证机制。根据用户试图访问的服务来控制对服务的访问。典型地用户控制防火墙以内的用户（本地用户）

　　○行为控制：对特定服务的使用方式进行控制。如防火墙可以过滤电子邮件来消除垃圾邮件

　　?防火墙有3种主要类型；不同类型的防火墙工作于网络的不同层次，以工作于网络层的分组过滤器和工作于应用层的应用级网关为常见

　　缺点：正确建立分组过滤规则是一件困难的事（分组过滤配置较复杂）；无用户使用记录，不利于分析攻击行为；攻击相对容易实施

　　优点：一般认为比分组过滤器更安全，因为它只对少数几个支持的应用进行检查，从外面只看到代理服务器，而看不到任何内部资源，而且代理服务器只允许被代理的服务通过

　　缺点：网关处于两个串接用户的中间点，必须在两个方向上检查和转发所有通信量，对每个连接都需要有额外的处理负载，使访问速度变慢；需要针对每一个特定的Internet服务安装相应的代理服务器软件，这会带来兼容性问题

　　优点：基于TCP连接代理各种高层会话，具有隐藏内部网络信息的能力，透明性高

　　缺点：像电路交换，其对会话建立后所传输的具体内容不作进一步分析，存在一定安全隐患

　　（3）防火墙不能对病毒感染的程序或文件的传输提供保护（不对报文内容进行检查）

　　泛在接入网安全包括远距离无线接入安全、近距离无线远距离无线）移动通信系统面临的安全威胁

　　1）对敏感数据的非授权访问（违反机密性）。包括：窃听、伪装、流量分析、浏览、泄漏和推论

　　2）对敏感数据的非授权操作（违反完整性）。包括消息被入侵者故意篡改、插入、删除或重放

　　3）滥用网络服务（导致拒绝服务或可用性降低）。包括干涉、资源耗尽、优先权的误用和服务的滥用

　　5）非授权接入服务。包括入侵者伪装成合法用户或网络实体来访问服务；用户或网络实体能滥用它们的访问权限来获得非授权的访问

　　○WPAN是以个人为中心的无线个人区域网，实际上是一个小范围、低功率、低速率、低价格的电缆替代技术