基于物联网层次架构的安全接入与安全管理平台

罗　振　光纤通信技术和网络国家重点实验室工程师桑梓勤　光纤通信技术和网络国家重点实验室教授级高级工程师

基于物联网层次架构的安全接入与安全管理平台

罗振光纤通信技术和网络国家重点实验室工程师
桑梓勤光纤通信技术和网络国家重点实验室教授级高级工程师

提出了一种基于物联网3层架构的安全技术体系。在物联网的层次架构中，“物联网安全接入平台”在网络传输层实现网络的安全接入，“物联网安全管理平台”在业务应用层实现信息的安全管理。通过这两个平台所提供的统一和集中的网络与信息安全技术支撑，以确保信息孤岛模式下的各种物联网系统都能具备必要的网络和信息安全保障。

物联网；网络与信息安全；电信网；互联网；物联网业务应用

1　引言

物联网是指通过部署具有一定感知、计算、执行和通信等能力的各种设备，获得物理世界的信息，通过网络实现信息的传输、协同和处理，从而实现人与物通信、物与物通信的互联的网络。

物联网是一种自动化、智能化的信息通信技术应用，从现场的传感器，经过通信网络，到后台的监控软件，形成了独立、完整的系统应用。物联网主要针对于垂直行业，通过物体的自动联网和自动处理来实现数据采集、网络传输和控制管理。由于服务对象、实施场景和实现方式的不同，物联网存在着多种多样的应用模式，因此也将面临复杂的网络与信息安全问题。

2　背景

2.1物联网运营主体分散

物联网以其“物”所归属的对象为主体，来进行规划、设计、部署以及最终的运营。受到各种不同的客户需求和业务场景的影响，运营主体所选择实施的物联网系统，完全取决于运营主体的行业与区域特性，这样也就导致了各种物联网系统的运营主体各自为政，相对分散，难以形成整合与统一的运营体系。

2.2物联网技术体系杂乱

由于运营主体的多样性，不同行业和区域中对于物联网的理解和积累各有不同，随之产生了不同的技术路线和解决方案，从而导致了物联网技术体系同样具有多样性。而在各种运营主体各自所形成的不同产业链中，各种物联网技术体系种类繁多，自成一体，难以形成集成与交互的技术体系。

2.3物联网的网络与信息安全缺失

由于运营主体的分散，以及技术体系的杂乱，物联网的网络与信息安全，往往局限于各个物联网应用系统内部来独自解决。但是，受限于行业和区域的信息化和智能化水平的差异，不同运营主体对于网络与信息安全的认识理解、管控能力和开支投入也存在较大差异，在不同物联网应用系统的安全性最终表现上，也存在明显的参差不齐现象。

例如，信息化、智能化较高的交通运输物流领域，对于M 2M和RFID等高度发达和成熟的物联网技术需求非常迫切，而这些技术对其节点、终端和应用的安全程度也是比较高的，因而使得交通运输物流相关应用的安全性得到了较好的保障。但是，对于某些基于ISM频段实施的无线传感器网络应用，其无线信道基本上属于区域性开放，网络与信息安全没有成熟通用技术可以参照，如果在信道加密和节点认证等环节没有足够的技术难度，包括节点、信道和应用在内的整个无线传感器网络应用系统，其安全性是无法得到可靠保障的。

3　安全特点分析

相对于传统的电信网、互联网，物联网的网络与信息安全，与传统的网络与信息安全存在以下区别：

（1）电信网、互联网已有的一些成熟的网络与信息安全技术和方案，不能完全适用于物联网的用户需求和业务场景。

（2）物联网系统中的终端节点所具有的小颗粒业务特点，与电信网、互联网中的终端大颗粒业务存在明显区别。

（3）物联网系统中的终端节点，完全是自动化、智能化的非人为操控，与电信网、互联网中完全是人为操控终端截然不同。

物联网系统的实质，并非具体的产品或技术，而是集成融合了多种信息通信技术的复合型业务应用。物联网对于信息数据的开放与共享，业务应用的集成与协同，管理控制的自动与智能，都存在较高程度的需求，而物联网在运营主体上的分散性和技术体系上的多样性，则进一步加剧了这些需求的实现难度，同时也加剧了网络和信息安全的复杂性。

4　层次架构中的安全平台

4.1物联网层次架构中的安全体系

如图1所示，“感知末梢层—网络传输层—业务应用层”构成了物联网的3层架构。

图1　层次架构的安全体系

其中，感知末梢层存在两种接入方式，其一就是具备公网通信能力的“物联网终端”，从终端可以直接经过承载网连接到物联网业务应用管理平台。比较典型的实例就是M 2M/MTC终端，其网络与信息安全的功能，基本上归属于M 2M终端/平台/应用的承载网络来实现。确切地说，就是由各种制式的移动通信网络来实现“物联网终端”的网络与信息安全功能。因其运营主体为少数几家电信运营商，而各大移动通信网络制式的技术体系非常成熟且高度标准化，在网络与信息安全的问题上没有明显的空白研究空间，所以在此不做赘述。

感知末梢层中，在“物联网终端”之外，还有另外一种“物联网端节点”的模式。同处于感知末梢层中的“物联网子节点”和“物联网父节点”共同构成了“物联网端节点”，子节点和父节点既可以直接简单连接，也可以通过复杂的“感知末梢网络”进行连接。由于“感知末梢网络”有多种传感器网络技术可以采用，因而“物联网端节点”的具体实现也存在技术多样性，非常符合“运营主体分散”和“技术体系杂乱”的情况，且其标准化程度明显欠成熟，网络和信息安全隐患极大，所以存在较大的空白研究空间。

在感知末梢层中，“物联网端节点”最大的特点就是：多源异构性，“物联网端节点”往往功能简单、接口带宽较小、电源容量偏低，从基础配置上就明显限制了其网络和信息安全的功能实现，而感知末梢网络也存在多种传感器网络技术可以选择。无论是节点和网络的软硬件配置，还是采用技术的多样性，对于整个感知末梢层，都不存在普适的标准，也无法实现统一的标准，所以在感知末梢层中，难以提供统一的网络和信息安全保障。因此，对于物联网的网络与信息安全，只能从相对容易的网络传输层和业务应用层来着手。

4.2物联网安全接入平台

物联网的网络安全，主要体现在“物联网端节点”通过“物联网网关”接入到“物联网安全接入平台”，并实现相应的网络安全功能，以支撑后续的信息安全功能。

如图2所示，网络传输层中的“物联网网关”由“物联网—电信网网桥”和“物联网根节点”组成。“物联网网关”通过“物联网根节点”与感知末梢层中的“物联网父节点”相连，并通过“物联网—电信网网桥”连接到“物联网安全接入平台”，实现物联网的网络安全功能。在某些电路配置相对精简的情况下，“物联网网关”将不再区分网桥和根节点，直接以单一设备的形式出现，而在某些电路配置极为精简的情况下，“物联网网关”也会与“物联网父节点”合并，以单一节点的形式存在。

图2　安全接入平台

“物联网安全接入平台”，主要包括以下功能模块：

●接入汇聚：实现不同“物联网端节点”的网络接入和线路汇聚，以便进行后续的网络安全监控与管理。

●交换路由：类似于传统意义上的交换机和路由器，在接入平台进行统一的交换路由处理，以便与电信网和互联网的网络信息流量进行分流。

●节点验证：对“物联网端节点”进行节点验证，以确保节点的真实性、合法性和后续处理的有效性。

●网关验证：对“物联网网关”进行网关验证，以确保网关的真实性、合法性和后续处理的有效性。

●网络监控：基于前面的几个功能模块，对接入网络数据包进行按需定制的监控，确保在上述功能模块的作用下，网络使用过程中各环节的可记录、可追溯。

●管理接口：将“物联网安全接入平台”汇总的网络安全数据提供给在业务应用层中的上级平台——物联网安全管理平台，以支撑实现物联网业务应用层面的信息安全。

4.3物联网安全管理平台

物联网的信息安全，主要体现在“物联网安全管理平台”获取来自于“物联网安全接入平台”的网络安全数据，实现相应的信息安全功能，同时对“物联网业务应用管理平台”提供网络和信息安全的技术支撑。

传统模式下的物联网业务应用，即便是存在一定程度网络和信息安全功能，往往也都是基于运营主体自成一体、各行其道。这种信息孤岛的情况，一方面存在重复投入、效率低下的问题；另一方面，也不利于在不同物联网系统之间的信息数据开放与共享、业务应用的集成与协同。而“物联网安全管理平台”，可以为各种物联网业务应用提供一种公共、开放、普适的信息安全支撑，从信息安全的角度促进信息孤岛的相互融合。

图3中的“物联网安全管理平台”主要包括以下功能模块：

●接入接口：与“安全接入平台”之间的接口，获取其汇总的网络安全数据。

●密钥证书：为“物联网业务应用管理平台”提供统一的密钥与证书的生成、发放和管理。

●信息监控：对各种物联网业务应用所产生的信息流进行安全监控，集中管控非法的信息处理行为。

●流量统计：对各种物联网业务应用所产生的信息流进行流量统计，包括记录和备份。

●管理策略：针对不同物联网业务应用的不同安全需求，提供不同的安全管理级别和方式。

●能力开放：对于某些信息安全能力（如终端节点的定位轨迹加密、终端用户的个人信息加密、物联网业务应用中数据处理结果的加密等），可以为有需要的物联网业务应用针对性开放，以降低其信息安全的实现成本。

图3　安全管理平台

4.4技术特点

通过将网络安全放在物联网3层架构中的网络传输层集中解决，将信息安全放在物联网3层架构中的业务应用层集中解决，并不会改变或明显影响原有的物联网系统架构，还能从技术角度降低其实施成本，提高其运行效率，促进其安全保障，是一种简单、可行的技术方案。同时，集中的网络与信息安全处理，也有利于将分散的物联网系统，融合到统一的智慧城市中，以促进各个物联网系统发挥更大的作用。

5　结束语

针对物联网的“感知末梢层—网络传输层—业务应用层”3层架构，通过“物联网安全接入平台”实现网络安全，通过“物联网安全管理平台”实现信息安全，有利于促进信息孤岛模式下各种物联网业务应用更好地实现融合，同时也能集中、高效地促进物联网在网络与信息安全方面的技术和产业发展。

［1］杨庚，许建，陈伟，祁正华，王海勇.物联网安全特征与关键技术［J］，南京邮电大学学报（自然科学版）.2010（8）.

［2］林柏钢.物联网安全架构与服务计算安全［J］.保密科学技术，2011（10）.

［3］中国通信行业标准：物联网总体框架与技术要求.YD/T 2437-2012.

［4］中国通信标准化协会标准：物联网安全需求.YDB 101-2012.

爱立信在世界移动通信大会2016发布新品

爱立信日前推出多个针对网络覆盖、网络性能和管理的最新产品和解决方案，帮助运营商抓住5G渐近所带来的商业机遇。这些解决方案在2月22—25日西班牙巴塞罗那举行的2016年世界移动通信大会（MWC）上进行了展示。

在物联网、5G及云的推动下，运营商将看到数量众多、形式各异的网络用例，这些用例会催生新的价值链、金融模式和商业机会。要捕捉未来的机遇，运营商需要不断转变，并采用新的方式为消费者创造价值。除了这些方面的发展外，网络性能的重要性与日俱增，重要性伴随着更加艰巨的挑战。《爱立信移动市场报告》巴展版中一项最新研究表明，糟糕的视频流体验会产生“双重打击”效应，不仅有损服务提供商的品牌价值，还会反之帮助竞争品牌提升品牌价值。

爱立信为电视和媒体运营商推出功能强大的商业情报工具包

现今，大量涌现的视频正在与传统的电视争夺观众。观众的注意力被吸引到专业制作和用户自创的内容上，内容运营商、广播公司及电视服务运营商等媒体运营商需要能够提供准确的商业情报的分析解决方案。为了贴近用户，媒体运营商不仅要确保其交付渠道拥有最佳性能，还要了解用户希望获得哪些内容，用户最看重什么，以及用户不需要或不喜欢哪些内容。

为了提供这种商业情报，爱立信推出名为Integrated Video Insights的强大的数据分析工具包，帮助媒体运营商汇聚并分析从用户、视频平台和网络获取的大量数据。该工具包采用全面的端到端框架，能够满足媒体业在运营、商用部署和客户服务等各个方面的大数据处理需求。借助Integrated Video Insights，媒体运营商能够改善其内容商业化战略，确定每个用户利润率增长所需的投资，并确保自己的内容在最佳条件下交付给用户付费观看。

IoT Security Access and Management Platform Based on the IoT Level Framework

Luo Zhen，Sang Ziqin

This article presents a security technology system based on three levels framework of IoT.In the leveled framework of IoT，“IoT Security Access Platform”fulfill the security networks access in the layer of network transmission，“IoT Security Management Platform”fulfill the security information management in the layer of service application.Through the unified and intensive network and information security technology support provided by the two platforms，various IoTsystem sin the information isolated islands can get necessary security assurance of network and information.

IoT；security of Network and information；Telecom Network；Internet；services and applications of IoT

2015-12-10）