中国信通院--物联网终端安全白皮书-2019--_35页_30mb

物联网终端安全白皮书（2019年）总结

核心内容概述

本白皮书由物联网安全创新实验室联合多家机构共同发布，旨在系统梳理物联网终端安全现状，分析其面临的安全风险，并提出构建全过程安全保障体系的思路，为物联网终端安全产业发展提供指导和建议。

主要观点

• 物联网终端在5G推动下迅速发展，应用场景广泛，但安全能力普遍较低。
• 物联网终端安全事件频发，影响范围广，覆盖多个垂直行业，包括智慧医疗、车联网、智能家居等。
• 物联网卡因实名登记困难，成为网络诈骗和恶意攻击的工具。
• 物联网终端安全产业初现雏形，正在形成多种生态体系，包括基础电信企业、互联网企业、通信企业等。

关键信息

一、物联网终端发展情况

1. 应用场景多样化
   物联网终端已渗透至智能交通、智慧医疗、智慧电网、智慧农业等多个领域，数量呈现指数增长趋势。

   • 全球物联网终端连接数量截至2019年已达110亿，预计2025年将突破250亿。
   • 中国蜂窝物联网连接数量在2019年第三季度达到9.2亿，预计2025年将突破19亿。

2. 物联网终端架构与分类

   • 物联网终端一般由硬件、固件系统、应用、数据、通信接入五大模块组成，具有轻载、可调整的特性。
   • 按网络接入方式分为“有卡终端”（蜂窝物联网终端）和“无卡终端”（非授权频段技术）。
   • 按应用类型分为消费性、公共性和生产性物联网终端。

二、物联网终端安全发展态势

1. 终端安全能力普遍较低

   • 多数终端缺乏有效的安全防护机制，易受攻击、被控制、泄露数据。
   • 2016年美国摄像头DDoS攻击、2017年校园自动售货机被控制、2017年智能电表漏洞等事件表明安全问题严重。

2. 终端安全事件影响广泛

   • 涉及多个行业，如智慧医疗、车联网、智能家居、智慧城市、智能电表等。
   • 事件不仅影响服务稳定性，还可能造成隐私泄露、生命财产损失及社会稳定风险。

3. 物联网卡实名登记困难

   • 物联网卡难以实现严格实名登记，成为诈骗温床。
   • 未实名的物联网卡被用于网络注册、电信诈骗等非法行为，每年非法获利达32亿元。

4. 终端安全产业初现生态

   • 基础电信企业、互联网企业、通信企业等正在构建多种生态体系，推动安全产业发展。
   • 国外如AT&T、思科等企业已建立物联网安全联盟和平台；国内如华为、小米、阿里等企业也在积极布局。

三、物联网终端安全风险分析

1. 终端种类多规模大，难统一管理

   • 各类终端在功能、性能、安全需求上差异较大，难以统一标准和管理方式。
   • 由于终端分布广泛，缺乏统一的实时监控手段，导致管理困难。

2. 终端安全能力较低，易受攻击

   • 硬件、固件、通信、应用、数据等模块均存在安全风险。
   • 攻击者可利用漏洞、侧信道攻击、恶意软件等方式对终端进行控制、数据篡改、隐私泄露等。

3. 物联网卡安全风险突出

   • 物联网卡因流转链条长、实名登记责任主体分散，难以落实实名管理。
   • 流量功能难以严格限制，存在被滥用的风险。
   • 缺乏全面监测手段，无法及时发现异常行为。

四、物联网终端安全保障体系

1. 评估安全风险

   • 构建“分级分类”管理机制，对终端进行风险评级（高、中、低）。
   • 通过安全风险评测，确定是否需要增强安全能力或进行分类管理。

2. 增加安全能力

   • 通过“内生增强”、“外在赋能”、“安全可信”三种方式提升终端安全能力。
   • 内生增强：利用物联网卡实现身份认证、数据加密、敏感数据存储保护。
   • 外在赋能：通过安全模组、SDK等技术手段，为终端赋予安全策略执行能力。
   • 安全可信：构建端到端安全可信体系，实现主动免疫、自我进化、恶意攻击溯源等能力。

3. 全面监测预警

   • 建立统一监测平台，实现对终端和物联网卡的全面监测。
   • 利用大数据技术进行态势感知，及时预警异常行为，如机卡分离、终端异常移动、数据篡改等。

五、物联网终端安全未来展望

1. 明确要求，推动健康发展

   • 国家层面应提出明确的安全管理要求，推动各行业和产业链提升安全意识。
   • 行业层面应出台专门的安全管理政策，解决终端安全痛点。
   • 产业层面应建立统一的安全标准体系，规范产业链发展。

2. 以卡促端，创新管理模式

   • 5G商用部署将推动物联网卡与终端更加紧密耦合。
   • 物联网卡安全管理需落实“功能最小化”要求，终端需同步增强安全能力。
   • 安全管理可扩展至网络和应用层面，实现全面监管。

3. 鼓励创新，促进产业革新

   • 鼓励应用新技术，如区块链、边缘计算、可信接入等，探索新的安全解决方案。
   • 推动新思路落地实施，以创新示范应用为抓手，促进行业革新。

4. 产业聚力，构筑共识生态

   • 物联网终端安全需产业链各环节协同合作，形成共识生态。
   • 建议成立物联网终端安全产业联盟，推动安全需求、解决方案、标准规范、测试认证等方面达成一致，构建生态化、规模化发展模式。