物聯網如今無處不在，從天氣傳感器和工業控制系統到智能手表、冰箱和植入式醫療設備。預計2023年全球使用的物聯網設備數量將超過150億臺(這個數量是互聯網用戶數量的三倍)，到2030年，這一數字將幾乎翻一番。

物聯網設備具有巨大的積極變化潛力，但它們連接對象、共享信息和執行操作的能力恰恰使它們極易受到攻擊。隨著物聯網設備的攻擊面幾乎擴展到社會的各個層面，設備的擴散產生了很多風險。

鑒于物聯網設備在關鍵基礎設施、醫療保健和消費者使用的應用中大量存在，確保物聯網安全非常重要。說明物聯網設備漏洞的一些最著名的例子包括心臟設備和胰島素泵等受損的醫療設備，以及汽車中存在缺陷的無線連接，黑客可以破壞汽車剎車、關閉發動機或控制方向盤。還有一些令人不寒而栗的人身安全事件，例如入侵嬰兒監視器讓黑客監視嬰兒，并以綁架威脅他們的父母。不幸的是，調研機構最近的一項調查發現，雖然62%的產品和制造業領導者擔心他們的物聯網設備安全，但只有42%的人認為他們有明確的策略來保護設備身份。

正如新技術經常發生的那樣，物聯網的爆炸式增長已經超過了安全性。但隨著物聯網設備變得越來越普遍，風險顯著增加，甚至危及人們的生命。物聯網安全必須成為一個優先事項，每個企業都有責任采取必要措施確保使用中的任何物聯網應用程序或設備的安全。

優先考慮物聯網安全的每一步

設備制造商通常沒有明確的安全標準，導致市場上存在很多歧義和不一致。這種模糊性可能會流向下游，導致身份驗證實踐、持續的安全更新以及連接設備之間的通信不一致。雖然正在發生變化，例如智能家居標準，但為物聯網設備建立最低安全標準的努力還不夠廣泛。

為了克服與物聯網設備相關的日益增長的風險，組織需要采取與軟件開發相同的方法——在開發過程的早期引入安全性，并在之后的每一步中優先考慮安全性。有了這種心態，團隊就可以創建可信的設備身份，確保數據機密性，并維護每個設備上運行的數據和固件的完整性。遵循以下最佳實踐將有助于加強物聯網設備的安全性。

• 為每個設備創建唯一的憑據。數字證書通過為每個設備創建高度安全、唯一的認證方法來驗證電子信息發送者的身份。為每個設備提供唯一的數字證書比僅僅使用默認密碼甚至使用共享密鑰進行對稱加密要有效得多。這是因為對稱加密不會在設備之間進行區分，因此無法與特定連接的設備共享信息，也無法知道特定設備的數據來自哪個設備。使用具有唯一數字證書的非對稱加密使制造商能夠與特定設備共享信息，并了解特定設備數據的來源，從而實現每個設備的高度安全身份驗證并確保數據的完整性。
• 對私鑰存儲采取額外的預防措施。為每個物聯網設備創建唯一的憑據需要使用非對稱加密，它會生成公鑰和私鑰對。雖然公鑰可以共享，但私鑰需要安全地存儲。最好的方法是使用基于硬件的安全性，例如可信移動平臺(TPM)或安全存儲。例如，TPM芯片通過硬件支持的安全加密處理器保護密鑰和數字證書，提供強大的保護，防止被破壞。
• 驗證固件和軟件更新。黑客在聯網設備上安裝惡意軟件的能力是一個重大威脅。使用公鑰/私鑰對并要求開發團隊簽署他們的代碼可以減少這種威脅。每個設備都需要一個與開發團隊的私鑰相匹配的公鑰，這將驗證更新確實來自團隊，并且在傳輸過程中沒有被修改。
• 提供持續的生命周期管理。任何靜態系統本質上都是不安全的，使用中的數字證書和密鑰對會隨著時間的推移而減弱。如果沒有適當的管理，證書很有可能過期，或者成為網絡犯罪分子的滲透工具，而團隊卻不知道。這是因為證書將繼續保持有效，即使證書在其398天的生命周期之前就已停止使用。隨著物聯網設備數量的增加，跟蹤整個現場的庫存并檢測設備變化是組織面臨的最重大的安全挑戰。為了實施適當的生命周期管理，團隊應該映射組織內所有設備的所有內容以及相關的數字密鑰和證書。這有助于建立正在使用的確切清單，并允許更容易地監視所有證書和密鑰，特別是當需要更新或團隊需要撤銷不再使用的設備的證書時。
• 隨著物聯網生態系統的發展和成熟，嚴重的安全問題出現了，可能會給設備制造商造成數百萬美元的損失，并造成無法量化的信任損失。在最壞的情況下，安全漏洞可能會危及生命。世界上物聯網設備的數量之多，以及它們現在在各種領域執行關鍵任務功能的事實，意味著現在是時候認真對待物聯網安全了。通過加密、唯一憑據和持續的生命周期管理來優先考慮物聯網安全，組織可以放心，他們向市場推出的創新設備以及用于自身運營的設備不會帶來任何破壞性風險。