设备制造商无法确保物联网平台安全的5个原因

安全标准将无法保护正在兴起的物联网平台,在平台后安全到来之前,该平台仍然很脆弱。

肖像历史

如果Akamai、思科和谷歌的后平台安全和隐私机器学习安全系统能够保护网络和移动平台,那么物联网设备制造商将只是更大的安全生态系统的一部分。这是因为他们没有数据来训练人工智能机器学习模型。

因此,物联网后平台安全和隐私将成为物联网设备安全之上的一层。这五个因素就是为什么会这样。

1.产品开发商低估了物联网的安全性

在争夺市场的过程中,为新平台开发的产品开发人员会低估本应内置在其产品中的安全和隐私特性。在某些情况下,这将是一种委托行为,但大多数将是一种疏忽行为,因为在产品大规模进入市场之前,很难预测漏洞。Windows和移动设备经历了类似的事情。他们已经变得强硬起来,但在进化的早期,他们很容易成为网络罪犯的目标。

2.保卫物联网周边和端点将失败

物联网中没有周界可以防御,而防御周界在所有其他平台上都失败了。只要看一看最大的入侵名单,你就会发现大多数受害的公司都依赖于防御网络犯罪。尽管不那么频繁,成熟的移动和PC终端零日漏洞仍然被发现和利用。物联网设备的更好结果是无法预料的。

3.银行劫匪去有钱的地方;网络犯罪分子去那里的漏洞

物联网处于起步阶段已经证明,由于脆弱的安全漏洞吸引网络罪犯。因为它们比Mobile和Windows平台上的更容易的目标网络罪犯可以被吸引到这些设备。

4.安全和保密基础小内存微处理器物联网设备仍然被发明

内置的32位大物联网处理器的设备将运行Linux的开发人员必须添加基于Linux发展的25年历史上强大的安全性选项。它并不能保证产品的开发将充分利用Linux的丰富的安全性。但是,建设成本低廉,与微控制器和小内存占用低功耗的物联网设备是无法对安全平台之前绘制一个新的安全问题。物联网平台变硬之前很多物联网设备将被运,露出数十亿设备的战功。

你可以在看到下面的网络传输层安全(TLS)用于加密浏览器的流量为什么成熟稳健的平台,如移动和windows自带的安全和隐私保护将不适合典型的电池供电的微控制器配置的比较。

物联网设备:

16 KB RAM

128 KB闪存

低功率广域网,物理层数据包大小限制在大约100字节

减少通讯以延长电池寿命的应用

TLS:

TLS是为大带宽因特网广域网设计的。

TLS证书超过1 KB,需要进行两次往返才能建立加密链接。

TLS要求最少的存储器不包括与超过100个算法及其库4KB的。

标准,以保护物联网是由互联网工程任务组开发。的小存储器的微控制器的IoT设备运输安全的一部分已经被标准化以约束应用协议(CoAP协议),一个HTTPS状轻量级协议,和简明二进制对象表示(CBOR)为属性 - 值对人类可读数据表示和阵列数据类型,如由JSON浏览器使用,但更紧凑。

此外,用于保护CBOR对象的CBOR对象签名和加密(COSE)以及用于保护CoAP消息的CoAP对象安全性(OSCoAP)正在开发中,目前仍处于草案阶段。

在标准被提出、讨论和批准的同时,物联网设备制造商正在运送易受攻击的设备,这些设备要么具备最佳可用安全功能,要么尽可能多地符合它们的开发时间表。

5.物联网没有数据来训练机器学习模型来保卫物联网平台

自然语言处理,语言翻译和照片分类的高精度演示了将机器学习到物联网安全的可能性。Akamai的,思科和谷歌已经建立了后平台的安全解决方案,填补了使用机器学习成熟的移动和网络平台周边和端点安全和隐私的差距。

机器学习需要大量的数据来训练模型。谷歌消耗了一整个因特网来训练它的语言翻译模型。Akamai在任何时候都掌握着互联网流量的六分之一,它用这些流量来构建自己的Kona Site Defender平台,以保护客户免受分布式拒绝服务(DDoS)和web应用程序攻击。但是,没有像谷歌或Akamai这样的可信实体能够访问大量的物联网数据,从而训练机器学习安全模型来保护由不同平台组成的物联网平台。

Akamai, Cisco和谷歌的后平台机器学习安全方法

Akamai拥有在后台使用机器学习的安全,提高产品和保护自己免受DDoS和Web应用程序的攻击。该机型现在哪个客户有机会获得调整模型到他们的网站产品。机器学习模型精度可以达到高的90个百分位数。Web请求可能很难为恶意或良性的分类,虽然。客户的网站可能是一个角落的情况下与跨越Akamai的网络经历了高准确度较低精度偏差。科纳站点卫士报告这些难以分类的情况下,使客户能够获得的数据再培训的培训数据的庞大语料库用少量的数据来提高分类的Web请求为恶意或善意的准确性模型。

思科希望在不牺牲员工隐私的前提下,保护自己不受加密通信中恶意软件的侵害。谷歌和Mozilla已经影响web开发人员使用TLS来保护服务器和客户机之间传输期间的数据。攻击者通过伪造、窃取甚至合法签署SSL证书来对攻击进行加密和伪装,从而滥用互联网的信任系统。显而易见的解决方案是在服务器和客户端之间建立一个代理服务器,对数据包进行解密和检查,就像一个处于攻击中间的人,以侵犯用户隐私为代价。

思科选择了一种不同的方法维护用户的隐私。通过分析数以百万计的样品TLS流动,恶意软件样本和数据包捕获,它发现,在TLS流未加密的元数据包含指纹,攻击者不能隐藏,即使加密。在完成分析和理解机器学习模型,他们需要创建和训练之后,开发团队获得更多的TLS流量数据比样本数据来训练模型。

谷歌Android安全使用培训,以识别恶意软件的机器学习模型,在Android手机上运行。所谓播放保护训练模型与最新的矢量定期从正在重新训练用它可以重新训练归类上只有100个恶意软件样本的新的恶意应用程序恶意软件和元数据的样本中央机器学习模型进行更新。同类机型分类上传到Play商店为恶意或良性的应用程序。

物联网安全标准只是保护物联网设备的生态系统的一部分。一旦有足够的数据作为第三层防御,位于终端和周边安全之上的物联网机器学习层可能就会出现。

加入网络世界社区吧有个足球雷竞技appFacebook的LinkedIn对那些顶级心态的话题发表评论。
相关:

版权©2017Raybet2

工资调查:结果在