IoT security: Review, block-chain solutions, and open challenges.(物联网安全：概述、区块链解决方案和开放挑战)

在本篇论文中，作者通过分析安全威胁及其对IoT可能解决方案的映射的参数，并对IoT安全问题进行了分类和分层，以及给出了解决这些问题的对策。然后，讨论基于区块链的安全解决方案的基本特征，并分析其在保护IoT方面的有效性。最后，提出了未来强调开放的可能解决IoT安全问题的方向。

• 原文链接：IoT security: Review, block-chain solutions, and open challenges

一、写作背景

论文名称	作者 / 单位	来源	年份	简要内容
IoT security: Review, block-chain solutions, and open challenges	Minhaj Ahmad (Bahauddin Zakariya University)	Future Generation Computer Systems	2018	概述IoT的安全需求，并对IoT分层架构的安全问题进行了分类。

从本文可知，大多数IoT设备容易被黑客攻击和破坏，以及在计算、存储和网络容量方面受到限制，需要保护整个部署架构免受可能对数据的隐私、完整性或机密性构成威胁的攻击，且安全的解决方案需要适应受约束的体系结构。以此为写作背景，作者提出并调查了IoT的主要安全问题，并对IoT分层架构的安全问题进行了分类。

二、主要内容

首先，作者总结了IoT的安全需求，包括数据私密性、保密性和完整性，认证、授权和计费，可用性的服务，能源效率和单点故障，并提出基于智能合约的区块链有望在管理、控制、最重要的是保护IoT设备方面发挥重要作用。总结了区块链解决IoT安全的几种方向。

• a) 地址空间：区块链的地址空间为160位，可以为IoT设备离线生成和分配地址，且无需注册或唯一性验证，区块链是一个比IPv6更可扩展的IoT解决方案；
• b) 事件的身份和管理：区块链能够轻松、安全、高效地解决IoT设备所有权和身份关系变化的挑战。区块链已被广泛用于提供可信和授权的身份登记，所有权跟踪和监控产品、商品和资产；
• c) 数据验证和完整性：链接到区块链网络的IoT设备传输的数据进行加密验证和签名，从而保证传输数据的身份验证和完整性。此外，通过IoT设备进行的所有交易在区块链分布式账本上，可以安全的跟踪；
• d) 身份验证、授权和隐私：区块链智能合约能够提供去中心化的认证规则和逻辑，从而能够为IoT设备提供单方和多方认证。此外，智能合约可为链接提供更有效的授权访问规则与基于角色的访问管理。通过使用智能合约，可以设置访问规则、条件和时间，允许特定的个人访问静止或传输中的数据，从而确保数据的隐私性。
• e) 安全通信：IoT应用通信协议，如HTTP、MQTT和路由相关协议都不安全，都必须封装在其他安全协议中。使用区块链，密钥管理和分发完全被消除，因为一旦安装并连接到区块链网络，每个IoT设备都将拥有自己的唯一ID和非对称密钥对。

论文指出IoT安全性和区块链的研究工作大部分集中在利用区块链技术使IoT总体受益，包括不可变的事件日志、数据访问控制管理、收集IoT数据的交易和IoT设备的对称和非对称密钥管理。这些挑战主要包括所有权和身份关系、身份验证和授权、数据治理和隐私。最后，作者也指出了未来可能考虑的方向。

• a) 资源受限：IoT的资源约束架构一直是定义安全机制的主要障碍。与传统范式相反，密码算法必须限制在这些约束条件下工作。对于交换密钥或证书所需的任何广播或多播，需要处理存储和能源需求，以便为IoT成功实现安全和通信协议。
• b) 异构设备：从传感器的小型低功耗设备到高端服务器的异构设备，都需要实现一个动态适应的多层安全框架。在向最终用户提供任何服务之前，该框架应首先适应现有资源，就IoT层安全机制的选择做出决策。
• c) 安全协议的互操作性：为了标准化IoT的安全机制，在不同层次实现的协议需要通过提供转换机制进行互操作。在全局机制中，可以通过考虑体系结构约束来定义每一层安全标准的有效组合。
• d) 单点故障：对于异构网络、架构和协议，IoT范式比其他范式更容易受到单点故障的影响，还需要进行大量的研究工作，以确保足够的可用性IoT元件，特别是关键任务应用。它需要机制和标准来引入冗余，同时考虑到成本和整个基础设施的可靠性之间的权衡。
• e) 硬件和固件的漏洞：在部署IoT之前，还需要验证硬件中的安全算法、路由和包处理机制的实现。任何在部署后被利用的漏洞都很难被发现和缓解。因此，标准的验证协议是控制IoT安全性的必要条件。
• f) 受信任的更新和管理：区块链技术可以成为未来IoT设备所有权、供应链和数据隐私的安全可信治理相关问题的解决方案的推动者。然而，区块链技术本身在可扩展性、效率、仲裁/规则和密钥冲突等方面提出了研究挑战。
• g) 区块链漏洞：依赖矿工散列能力的共识机制可能会被破坏，从而允许攻击者宿主区块链。类似地，具有有限随机性的私钥可以被利用来危害区块链账户，还需要定义有效的机制来确保交易的隐私性，避免在交易过程中可能导致双重开销的种族攻击。

总体来说，本篇论文对IoT各个特性和存在的问题讲述的比较全面，就是感觉前面偏向更底层的通信协议和地址生成问题，比较难理解，引用了许多的参考文献。论文的后半部分指出了许多的几种方向，以及建议的潜在方向，为后面的学习探索提供了更多的选择。

三、总结

总体来说，作者基于IoT底层协议、通信协议的安全问题做出了分析和分类，这些比较偏底层较难理解，并提出了IoT的安全需求，包括数据私密性、保密性、完整性、认证、授权、效率等等。后面指出了基于智能合约的区块链可以在管理、控制和保护IoT设备方面发挥重要作用，这部分是本篇论文的关键。

整体来看，这篇论文的前半部分可以不用细看，都是偏底层协议比较难懂，只需挑选前半部分的IoT安全需求，以及后半部分区块链解决IoT安全和未来研究方向阅读即可。

以上仅代表我个人的疑惑，欢迎大家在下方留言积极讨论，一起学习，一起进步！