1、【Word版本下載可任意編輯】 將物聯網設備連接到云端的安全解決方案 盡管人們越來越意識到需要安全性，但開發人員經常發現自己在安全性方面采取了快捷方式，將物聯網設備連接到云端。在許多情況下，合適的安全機制的復雜性，微型電池供電的物聯網設備中可用的有限內存和處理資源以及運輸產品的需求之間的沖突似乎是不可克服的。 解決這些問題和為簡化物聯網設備中安全功能的實施，MicrochipTechnology和Google合作創立了一種方法，將Microchip的安全硬件功能與稱為JSON Web令牌（JWT）的簡單數據構造相結合。結果是確保物聯網設備與Google CloudIoT服務之間相互身份驗證的簡

2、便方法。 本文將介紹物聯網設備安全威脅，并介紹當前用于應對該威脅的設備。它將確定安全漏洞以及開發人員和嵌入式系統設計人員如何使用JWT關閉它們。 物聯網設備的安全漏洞 對物聯網設備的攻擊可以采取多種形式，絕不僅限于大規模的物聯網部署。對于希望利用用于分布式拒絕服務（DDoS）攻擊的僵尸網絡中的許多單個設備的資源的黑客來說，即使是的物聯網也是一個很有吸引力的目標。因此，每一類物聯網設備的設計者都不可防止地需要通過基于硬件的強*全機制來保護他們的系統，從而阻止攻擊。 例如，使用系統內存或閃存存儲用于加密和身份驗證的私鑰會使IoT設備容易受到攻擊。更糟糕的是，黑客可以竊取這些密鑰并使用它們來訪問物聯

3、網網絡和附加的公司資源。 安全IC Microchip Technology的CryptoMemory和CryptoAuthentication IC等專用安全設備具有硬件功能基于保護私鑰和其他秘密數據的機制。 EEPROM陣列集成在這些器件中，提供安全存儲，只能通過器件的SPI或I 2 C串行接口訪問的加密安全機制（圖1）。因此，這些設備提供了一種向任何物聯網設備設計添加安全存儲和其他安全功能的簡單方法。 圖1：Microchip Technology硬件安全設備（如AT88SC0204C CryptoMemory IC）提供安全存儲，使用集成加密機制保護對片上EEPROM的訪問。 （圖片：

4、Microchip Technology） Microchip CryptoAuthentication系列的成員（如ATECC608A）增強了安全存儲根底，并支持安全設計中常用的加密算法。在其硬件功能中，該器件具有多種算法的硬件加速功能，包括： 非對稱加密算法： FIPS186-3橢圓曲線數字簽名算法（ECDSA） FIPS SP800-56A橢圓曲線Diffie-Hellman（ECDH） NIST標準P256橢圓曲線加密（ECC） 對稱加密算法： SHA-256哈希密碼術 基于哈希的消息身份驗證代碼（HMAC）密碼術 AES-128密碼術 AES-GCM（ Galois字段乘法）密碼學

5、密鑰派生函數（KDF）： 偽隨機函數（PRF）KDF 基于HMAC的提取 - 并且擴展KDF（HKDF） 對于加密來說，這組加密功能代表了支持更別安全協議所需的全面機制列表。身份驗證和安全數據交換。例如，KDF功能提供了傳輸層安全性（TLS）協議所需的基本機制，用于在交換甚至開始之前驗證數據交換會話中的參與者。 在此協議中，TLS會話以客戶端向服務器發送啟動安全會話的請求。服務器使用其數字證書開展響應，客戶端使用該證書來確認服務器的身份。在客戶端以這種方式驗證服務器之后，會話設置繼續通過使用服務器的公鑰來生成會話密鑰，以加密使用PRF KDF或更強大的HDKF創立的一些隨機值。 TLS身份驗證

6、協議是Internet安全的根底。稱為證書頒發機構（CA）的整個證書提供商行業已經發展為支持安全通信的這一關鍵組件。公司從CA獲得可信證書，以便在自己的服務器上安裝，以支持上述標準TLS服務器身份驗證協議。 對于物聯網應用，網絡與公司廣泛而深入地連接，這種單向缺陷以確保保護。例如，具有欺詐性證書的黑客可以將自己表示為物聯網設備的合法服務器，作為更廣泛攻擊的一部分。 盡管存在風險，但物聯網開發人員經常難以實施TLS相互身份驗證協議，因為證書，密鑰，使用TLS實現客戶端身份驗證所需的軟件可能會超出許多物聯網設備的功能。通過合作，Microchip Technology和Google創立了一種替代方

7、法，將ATECC608A功能與稱為JSON Web令牌（JWT）的簡單數據構造相結合。結果是確保物聯網設備與Google Cloud IoT服務之間相互身份驗證的簡便方法。 基于JWT的身份驗證 在RFC 7519中指定，JWT是行業標準容器關于準備和傳輸JWT的實體的信息，稱為索賠。 JWT構造本身包含三個部分： 標題，包括JSON名稱：密碼算法的名稱（“alg”）的值對（例如，ECDSA的“EC256”使用NIST P-256曲線）用于簽署令牌和令牌的類型（“typ”）（這些令牌的“JWT”） Payload，包括JSON名稱：每個索賠的值對 簽名，它使用標頭中指定的算法來編碼密鑰以及標頭

8、和聲明集，每個單獨轉換為加密前的base64 URL編碼表示 RFC 7519為在有效負載或其他部分中指定聲明提供了極大的靈活性。該標準甚至允許在沒有簽名或加密的情況下創立的不安全JWT，在這種情況下，標頭將包括算法的名稱：值對alg“：”none“。對于與Google Cloud IoT服務一起使用的JWT，Google需要簽名部分以及包含三個強制聲明的有效負載，包括： “iat” - 以ISO 8601 UTC時間戳格式創立令牌時的“頒發時間”，自1970-01-01T00：00：00Z以來的秒數（例如，20*年6月30日的1561896000 12 ：格林威治標準時間00:00 PM）

9、“exp” - 指定令牌到期時間的UTC時間戳，24小時超過“iat”值加上10分鐘寬限期，以解決不同之間的系統時鐘偏差客戶端和服務器（例如，20*年7月1日1561982400，格林威治標準時間00:00 00:00） “aud” - 包含開發人員Google Cloud項目ID的字符串 為了探索密鑰生成和其他ATECC608A安全功能，開發人員可以快速建立一個圍繞Microchip SAM D21 Xplained Pro評估套件構建的綜合開發環境。基于Microchip ATSAMD21J18A 32位Arm Cortex -M0 + MCU，SAM D21 Xplained Pro套件

10、提供了Microchip軟件框架（ASF）支持的完整硬件平臺驅動程序和代碼模塊。 為了評估包括ATECC608A在內的CryptoAuthentication設備，開發人員可以簡單地將CryptoAuth XPRO-B附加板插入Xplained Pro板的兩個擴展頭之一。 Microchip提供了用于評估CryptoAuthLib與ATECC608A的安全功能的例如軟件。更進一步，開發人員可以將Microchip ATWINC1500-XPROWi-Fi附加板插入另一個標頭，以運行Microchip例如軟件，該軟件演示了本文中描述的相互流程，包括TLS服務器和JWT設備。 結論 雖然物聯網應用安全帶來了多項要求，但關鍵挑戰通常在于為物聯網設備和云資源實施相互身份驗證。在資源有限的物聯