零信任—超越物聯(lián)網(wǎng)傳輸層安全
為什么人們使用PGP(Pretty Good Privacy)加密系統(tǒng)來發(fā)送加密電子郵件和加密敏感文件,或者使用WhatsApp或Signal等安全消息應(yīng)用?
畢竟,傳輸層安全性(TLS,Transport Layer Security)提供了從客戶端到郵件、企業(yè)應(yīng)用或任何其他服務(wù)器的安全、經(jīng)過身份驗(yàn)證的連接。此外,許多人在連接到互聯(lián)網(wǎng)時(shí),通常使用基于互聯(lián)網(wǎng)協(xié)議安全(IPsec)的虛擬專用網(wǎng)絡(luò)(VPN)。在這兩種情況下,連接都是經(jīng)過身份驗(yàn)證的客戶端與服務(wù)器之間的連接,而不一定是真正的端點(diǎn)之間的連接。這在邊緣設(shè)備和終止TLS或VPN服務(wù)器之間的連接中提供完整性和可選的保密性。這難道還不夠好嗎?
答案是,確實(shí)還不足夠好。
正如世界各地許多人權(quán)維護(hù)者和任何關(guān)心其通信的真實(shí)性、完整性和保密性的個(gè)人所了解到的那樣。在當(dāng)今數(shù)字化的商業(yè)世界中,數(shù)據(jù)是一種具有巨大價(jià)值和重要性的商品——對(duì)于政府、軍隊(duì)、公用事業(yè)、金融機(jī)構(gòu)、企業(yè)、每一個(gè)消費(fèi)者,以及越來越多的網(wǎng)絡(luò)犯罪分子。
那么,為什么TLS(該協(xié)議于1999年首次推出,作為安全套接字層(SSL)v3的升級(jí)版)不再足以提供必要的持久數(shù)據(jù)安全保護(hù)呢?
答案是,當(dāng)電子郵件到達(dá)電子郵件服務(wù)器后,或者從帶有VPN客戶端的設(shè)備傳輸?shù)南⒔?jīng)過VPN服務(wù)器后,其就不再受到TLS或VPN的保護(hù)。它們僅保護(hù)數(shù)據(jù)流所經(jīng)過的“管道”,而不保護(hù)數(shù)據(jù)的真實(shí)性、完整性和保密性。例如,如果電子郵件或消息數(shù)據(jù)最終出現(xiàn)在配置錯(cuò)誤的云數(shù)據(jù)存儲(chǔ)庫中,或者存在尚未修補(bǔ)的已知漏洞,那么就很容易受到潛在攻擊者的攻擊。
物聯(lián)網(wǎng)應(yīng)用中的網(wǎng)絡(luò)安全漏洞
VPN的發(fā)明是為了將企業(yè)聚集在一起,并允許遠(yuǎn)程用戶安全地登錄到企業(yè)網(wǎng)絡(luò)。然而,VPN和TLS技術(shù)用于保護(hù)網(wǎng)絡(luò)層,這并不真正適用于電子商務(wù)等領(lǐng)域。事實(shí)證明它們已經(jīng)非常成熟,可以很好地滿足電子商務(wù)的需求,Amazon使用案例和其他互聯(lián)網(wǎng)應(yīng)用已被廣泛應(yīng)用于物聯(lián)網(wǎng)應(yīng)用。這就提出了一個(gè)問題,考慮到基于網(wǎng)絡(luò)的安全性固有的局限性,TLS和VPN真的能為物聯(lián)網(wǎng)提供足夠好的安全性嗎?
現(xiàn)有的TLS協(xié)議存在固有的弱點(diǎn),存在一些明顯的缺陷和漏洞。有些來自環(huán)境,例如,TLS具有巨大的攻擊面,并且由于其在電子商務(wù)中的廣泛使用,因此尋求對(duì)其進(jìn)行破壞有相當(dāng)大的金錢動(dòng)機(jī)。網(wǎng)絡(luò)安全威脅不斷發(fā)展和出現(xiàn),這就是SSL成為TLS的原因,而TLS現(xiàn)在正在進(jìn)行第三次修訂。這是一場(chǎng)持續(xù)不斷的貓捉老鼠的游戲。因此,TLS規(guī)范受到了傳統(tǒng)組件和與舊的、不太安全的協(xié)議協(xié)商的要求的阻礙。有許多不同的解釋,但沒有一種能夠充分解決物聯(lián)網(wǎng)的基本要求,這些要求是:應(yīng)用的明確識(shí)別和驗(yàn)證,例如傳感器讀取命令并向執(zhí)行器發(fā)送命令。每個(gè)都有不同的威脅模型和攻擊面,因此需要明確地處理,無論是在同一臺(tái)機(jī)器中還是在分布式機(jī)器中。持續(xù)保護(hù)數(shù)據(jù),不僅是傳輸中的數(shù)據(jù),還包括靜態(tài)數(shù)據(jù),以便穿越許多不同的網(wǎng)絡(luò)環(huán)境、網(wǎng)關(guān)、集線器和服務(wù)器。MITM攻擊在物聯(lián)網(wǎng)中普遍存在,因此一致的保護(hù)是必須的。明確證明機(jī)器向機(jī)器發(fā)送消息的可信度,以防止零點(diǎn)擊惡意軟件,例如Pegasus(在智能手機(jī)中)和Mozi僵尸網(wǎng)絡(luò)(在M2M通信中)。
同樣,當(dāng)TLS在物聯(lián)網(wǎng)中時(shí),管道從端點(diǎn)到云提供商的負(fù)載均衡器,保護(hù)就此結(jié)束?;蛘?,更糟糕的是,只提供從Zigbee或高級(jí)計(jì)量基礎(chǔ)設(shè)施(AMI)智能電表端點(diǎn)到網(wǎng)關(guān)的保護(hù)。在某些情況下,TLS已被拼湊到傳統(tǒng)的監(jiān)控和數(shù)據(jù)采集(SCADA)協(xié)議中,如ModBus,并且其并不能完全適用于這種情況。
所有這些環(huán)境有什么共同之處?它們都經(jīng)常且容易被黑客攻擊,容易受到僵尸網(wǎng)絡(luò)掠奪性蠕蟲和中間人(MITM)攻擊。
盡管其局限性現(xiàn)在經(jīng)常暴露出來,但在過去的二十多年里,TLS一直是數(shù)據(jù)安全的歷史默認(rèn)選擇,這是有原因的。與IPSec協(xié)議相比,其從根本上更安全、更快、更簡單,因此更不容易受到攻擊,并且在動(dòng)態(tài)網(wǎng)絡(luò)條件下更靈活。
新范式、新要求
當(dāng)將TLS與物聯(lián)網(wǎng)的安全需求進(jìn)行比較時(shí),很明顯TLS是一個(gè)整體安全模型。其可以通過智能手機(jī)和計(jì)算機(jī)等高性能端點(diǎn)在網(wǎng)絡(luò)上有效運(yùn)行。然而,其無法滿足物聯(lián)網(wǎng)所需的精確度。此外,需要新的插件來增強(qiáng)其功能。
我們生活在一個(gè)幾乎所有東西都是數(shù)字化連接的時(shí)代,嵌入式物聯(lián)網(wǎng)設(shè)備擴(kuò)展到無數(shù)應(yīng)用領(lǐng)域,包括自動(dòng)駕駛汽車、智能電表、智能家居、能源管理等等。TLS對(duì)于任務(wù)關(guān)鍵型物聯(lián)網(wǎng)應(yīng)用來說是不夠的。數(shù)據(jù)真實(shí)性和完整性是可信數(shù)據(jù)的基石,必須從頭到尾得到保證。要做到這一點(diǎn),數(shù)據(jù)必須在傳輸過程中受到保護(hù)(與TLS一樣),而且在數(shù)據(jù)穿越各種負(fù)載均衡器、網(wǎng)關(guān)和集線器時(shí),也必須在靜態(tài)時(shí)受到保護(hù)。最終,為了確保系統(tǒng)安全,數(shù)據(jù)只能在受保護(hù)的環(huán)境中處理。有了這個(gè)基石,我們可以更進(jìn)一步,實(shí)現(xiàn)建立在這個(gè)真實(shí)性和完整性基礎(chǔ)上的授權(quán)框架。
我們現(xiàn)在還處于一個(gè)新時(shí)代,關(guān)鍵基礎(chǔ)設(shè)施攻擊的規(guī)模和貪婪程度可能會(huì)損害企業(yè)的聲譽(yù),并導(dǎo)致?lián)p失數(shù)億美元的集體訴訟。
關(guān)鍵基礎(chǔ)設(shè)施的一個(gè)最新例子是2021年5月的Colonial Pipeline網(wǎng)絡(luò)攻擊,黑客通過竊取一個(gè)密碼中斷了美國東南部的燃料供應(yīng),導(dǎo)致Colonial Pipeline支付了近500萬美元才能重新獲得訪問權(quán)限。另一個(gè)例子是據(jù)報(bào)道對(duì)美國幾個(gè)關(guān)鍵基礎(chǔ)設(shè)施組織進(jìn)行間諜活動(dòng),包括交通樞紐和電信,其細(xì)節(jié)于今年5月公布。
這就是維護(hù)關(guān)鍵基礎(chǔ)設(shè)施的重要性,拜登-哈里斯政府于2023年3月宣布了一項(xiàng)國家網(wǎng)絡(luò)安全戰(zhàn)略,指出“我們面臨著復(fù)雜的威脅環(huán)境,國家和非國家行為者正在制定和執(zhí)行新的活動(dòng)來威脅我們的利益”。與此同時(shí),下一代技術(shù)正在加速成熟,為創(chuàng)新創(chuàng)造新途徑,同時(shí)增加數(shù)字相互依賴性。這一戰(zhàn)略為解決這些威脅和確保我們數(shù)字化未來的承諾指明了一條道路。其實(shí)施將保護(hù)我們?cè)谥亟ɑA(chǔ)設(shè)施、發(fā)展清潔能源行業(yè)以及重新支持技術(shù)和制造基地方面的投資?!边@是在2022年9月宣布的歐盟《網(wǎng)絡(luò)彈性法案》的支持下做出的。
在這個(gè)新環(huán)境中,我們有新的威脅模型、新的攻擊面,這需要新的方法。正如企業(yè)網(wǎng)絡(luò)需要VPN,電子商務(wù)需要TLS一樣,現(xiàn)在的重點(diǎn)是確保管道、物聯(lián)網(wǎng)網(wǎng)絡(luò)中的實(shí)際連接以及數(shù)據(jù)在傳輸過程中的任何地方的安全技術(shù)。
零信任和高級(jí)數(shù)據(jù)保護(hù)協(xié)議
零信任是一種安全框架,要求所有連接,無論是企業(yè)內(nèi)部還是外部,在獲得數(shù)據(jù)和應(yīng)用訪問權(quán)限之前都經(jīng)過身份驗(yàn)證、授權(quán)和持續(xù)驗(yàn)證。其假設(shè)不存在“傳統(tǒng)”網(wǎng)絡(luò)邊緣,并且網(wǎng)絡(luò)可以位于任何地方——本地、云端、遠(yuǎn)程位置。每個(gè)連接和端點(diǎn)都被視為威脅,因此為零信任,并確保默認(rèn)情況下無法訪問數(shù)據(jù)和資源。
考慮到零信任,不斷涌現(xiàn)的技術(shù)提供了滿足零信任網(wǎng)絡(luò)架構(gòu)需求的數(shù)據(jù)保護(hù)協(xié)議。這些新的應(yīng)用層協(xié)議是對(duì)VPN的重大改進(jìn),VPN僅為數(shù)據(jù)所經(jīng)過的網(wǎng)絡(luò)鏈路提供加密隧道。一旦離開VPN連接,數(shù)據(jù)就不再受到保護(hù),并受到新環(huán)境中實(shí)施的任何安全功能的支配?,F(xiàn)在,無論數(shù)據(jù)位于何種網(wǎng)絡(luò)或設(shè)備,都可以得到一致的保護(hù)?,F(xiàn)在可以持久地端到端地、靜態(tài)地保護(hù)數(shù)據(jù),而不是僅僅保護(hù)管道。
這種新的應(yīng)用層協(xié)議適用于零信任網(wǎng)絡(luò)架構(gòu),既可通過不安全協(xié)議產(chǎn)品協(xié)議和網(wǎng)絡(luò)堆棧實(shí)現(xiàn)安全隧道,如帶有Modbus或Zigbee的SCADA,也可橋接OT和IT環(huán)境。數(shù)據(jù)始終在防篡改、安全的執(zhí)行環(huán)境中受到保護(hù)和處理,確保關(guān)鍵任務(wù)應(yīng)用的數(shù)據(jù)真實(shí)性和完整性。
這些新協(xié)議還使網(wǎng)絡(luò)堆棧能夠升級(jí)為純粹的應(yīng)用驅(qū)動(dòng)的安全模型。對(duì)于初學(xué)者而言,身份驗(yàn)證和授權(quán)的準(zhǔn)確性都是基于密鑰的。此外,不再對(duì)所有應(yīng)用進(jìn)行相同的處理,因?yàn)閭鞲衅鲾?shù)據(jù)操作的影響小于執(zhí)行器操作,并且也需要相互隔離。此外,應(yīng)用根據(jù)其目的進(jìn)行了明確的身份驗(yàn)證,且不能再進(jìn)行通用的身份驗(yàn)證,并且其操作是明確定義的,而不是相反,這使得其很難被招募到DDoS僵尸網(wǎng)絡(luò)中
總之,我們現(xiàn)在正處于一個(gè)網(wǎng)絡(luò)戰(zhàn)爭的新時(shí)代,隨著關(guān)鍵基礎(chǔ)設(shè)施開始成為經(jīng)濟(jì)恐怖主義的焦點(diǎn),不良行為者和風(fēng)險(xiǎn)不斷上升。雖然傳統(tǒng)的安全方法仍然能達(dá)到其目的,但現(xiàn)在必須擁有基于零信任的高級(jí)數(shù)據(jù)保護(hù)應(yīng)用層,以保護(hù)數(shù)據(jù)在其傳輸過程中。時(shí)間就是生命。
- 蜜度索驥:以跨模態(tài)檢索技術(shù)助力“企宣”向上生長
- 生成式人工智能:2025年值得預(yù)測(cè)的主要趨勢(shì)
- LED改造照明的優(yōu)勢(shì):家居和商業(yè)
- 2025年網(wǎng)絡(luò)安全主要趨勢(shì)
- 2025年智能辦公趨勢(shì)
- 程建軍任中國移動(dòng)副總經(jīng)理、黨組成員
- 盤點(diǎn)光模塊行業(yè)2024:AI需求熱度不減,技術(shù)演進(jìn)明顯加速
- LightCounting:CPO發(fā)展現(xiàn)復(fù)蘇勢(shì)頭,部署或?qū)⒑芸扉_始
- 中國移動(dòng)小型化天線產(chǎn)品集采:規(guī)模為4.59萬面
- 價(jià)值1.59億元 訊飛中標(biāo)山東肥城人工智能行業(yè)大模型項(xiàng)目
- 房地產(chǎn)可再生能源儲(chǔ)存新技術(shù)
免責(zé)聲明:本網(wǎng)站內(nèi)容主要來自原創(chuàng)、合作伙伴供稿和第三方自媒體作者投稿,凡在本網(wǎng)站出現(xiàn)的信息,均僅供參考。本網(wǎng)站將盡力確保所提供信息的準(zhǔn)確性及可靠性,但不保證有關(guān)資料的準(zhǔn)確性及可靠性,讀者在使用前請(qǐng)進(jìn)一步核實(shí),并對(duì)任何自主決定的行為負(fù)責(zé)。本網(wǎng)站對(duì)有關(guān)資料所引致的錯(cuò)誤、不確或遺漏,概不負(fù)任何法律責(zé)任。任何單位或個(gè)人認(rèn)為本網(wǎng)站中的網(wǎng)頁或鏈接內(nèi)容可能涉嫌侵犯其知識(shí)產(chǎn)權(quán)或存在不實(shí)內(nèi)容時(shí),應(yīng)及時(shí)向本網(wǎng)站提出書面權(quán)利通知或不實(shí)情況說明,并提供身份證明、權(quán)屬證明及詳細(xì)侵權(quán)或不實(shí)情況證明。本網(wǎng)站在收到上述法律文件后,將會(huì)依法盡快聯(lián)系相關(guān)文章源頭核實(shí),溝通刪除相關(guān)內(nèi)容或斷開相關(guān)鏈接。