今天的設(shè)計(jì)人員比以往任何時(shí)候都更多地轉(zhuǎn)向無(wú)線技術(shù)，以使設(shè)備能夠相互通信。特別是在電池供電的情況下，這意味著我們不再需要在網(wǎng)絡(luò)節(jié)點(diǎn)之間串線，從而使部署更加容易且成本更低。

但是，很大程度上由于歷史原因，我們有幸擁有三個(gè)獨(dú)立的短距離無(wú)線標(biāo)準(zhǔn)，每個(gè)標(biāo)準(zhǔn)都有自己的領(lǐng)域。Wi-Fi 熟悉計(jì)算機(jī)連接和家庭接入點(diǎn)；藍(lán)牙將配件連接到您的手機(jī)或計(jì)算機(jī)，IEEE 802.15.4 將家庭和其他設(shè)備連接到一個(gè)強(qiáng)大的網(wǎng)狀網(wǎng)絡(luò)。

這些標(biāo)準(zhǔn)不可互操作。但是，隨著藍(lán)牙和 802.15.4 為基于 IP 的流量騰出空間，這種情況正在發(fā)生變化。好處是在其他孤立的域之間進(jìn)行更大的相互通信——尤其是對(duì)于物聯(lián)網(wǎng)。不太明顯的是缺點(diǎn)：專(zhuān)注于 IP 的黑客現(xiàn)在可以進(jìn)入更大的競(jìng)爭(zhēng)環(huán)境。這給這些標(biāo)準(zhǔn)中的每一個(gè)都帶來(lái)了更大的安全負(fù)擔(dān)。這意味著每個(gè)協(xié)議中的其他層都需要加強(qiáng)其安全性，以確保如果有人通過(guò) IP 突破，則有大量其他防御措施來(lái)打擊入侵者。

三個(gè)堆棧來(lái)統(tǒng)治他們

在這三種協(xié)議中，Wi-Fi是IP的天然載體。它依賴于物理層和鏈路層的 802.11，然后實(shí)施典型的基于 IP 的堆棧，使用 TCP 或 UDP 作為傳輸和熟悉的應(yīng)用程序，如 HTTP、FTP、電子郵件，以及不斷發(fā)展的物聯(lián)網(wǎng)家庭標(biāo)準(zhǔn)，如 Apple 的 HomeKit 或 OIC Iotivity。

UDP（用戶數(shù)據(jù)報(bào)協(xié)議）是一種替代 TCP，主要用于在 Internet 上的應(yīng)用程序之間建立低延遲和容錯(cuò)連接。UDP 和 TCP 都運(yùn)行在 Internet 協(xié)議 (IP) 之上。

相比之下，藍(lán)牙有一個(gè)端到端的完整堆棧，從物理層一直到頂部的應(yīng)用程序。較新的低功耗藍(lán)牙協(xié)議或藍(lán)牙 SMART 最初針對(duì)流數(shù)據(jù)進(jìn)行了優(yōu)化，更適合物聯(lián)網(wǎng)通信，但無(wú)法處理 IP 流量。任何基于 IP 的內(nèi)容都必須在網(wǎng)關(guān)中進(jìn)行轉(zhuǎn)換，然后才能發(fā)送到基于藍(lán)牙的設(shè)備。

ZigBee 有一個(gè)基于 802.15.4 MAC/PHY 層的獨(dú)特堆棧。除此之外，它不同于 Wi-Fi 和藍(lán)牙，一直到定義應(yīng)用程序級(jí)互操作的 ZigBee 集群庫(kù)。這意味著這些協(xié)議在任何層都沒(méi)有任何共同點(diǎn)。

圖 1：Wi-Fi、ZigBee 和藍(lán)牙低功耗協(xié)議棧在任何級(jí)別均不共享任何共同元素，從而阻礙了互操作性。

無(wú)處不在地利用 IP

然而，這種情況正在發(fā)生變化，因?yàn)?ZigBee 和藍(lán)牙都采取了措施來(lái)適應(yīng)基于 IP 的流量。雖然這不會(huì)改變每個(gè)標(biāo)準(zhǔn)現(xiàn)在看到的原始本機(jī)協(xié)議流量，但它可以讓額外的流量更容易地從一個(gè)到另一個(gè)。

在 802.15.4/ZigBee 世界中，一種新的網(wǎng)絡(luò)子層協(xié)議 6LoWPAN（IPv6 over Low-power Wireless Personal Area Networks）使 IP 流量適應(yīng)底層 802.15.4 層。它負(fù)責(zé) IP 報(bào)頭壓縮、分段和重組以適應(yīng) 802.15.4 數(shù)據(jù)包。

Thread 協(xié)議是 IPv6 在 802.15.4 無(wú)線電上的一種實(shí)現(xiàn)；將 UDP 分層作為 6LoWPAN 上的傳輸層。Thread 和 ZigBee 最近宣布合作，這將使應(yīng)用程序級(jí)別的 ZigBee 集群庫(kù)能夠在 Thread 上運(yùn)行作為替代方案。

最后，藍(lán)牙 4.2 添加了一個(gè)利用 6LoWPAN 的 IP 支持配置文件 (IPSP)。這實(shí)現(xiàn)了通信，并為 IPSP 之上的基于 IP 的堆棧鋪平了道路，其方式與 ZigBee 相同。雖然 6LoWPAN 最初被設(shè)想為在 802.15.4 上實(shí)現(xiàn) IPv6 的一種方式，但它已進(jìn)一步適應(yīng)在藍(lán)牙中執(zhí)行相同的角色。

圖 2：現(xiàn)在，三種無(wú)線協(xié)議中的每一種都具有接受基于 IP 的數(shù)據(jù)包的方法，這意味著所有三種無(wú)線協(xié)議都可以在 IP 層之上實(shí)現(xiàn)相同的堆棧。

最重要的保護(hù)之一是身份驗(yàn)證。雖然身份驗(yàn)證的使用很常見(jiàn)，但通常只在一個(gè)方向上完成；節(jié)點(diǎn)將在網(wǎng)絡(luò)上進(jìn)行身份驗(yàn)證，但網(wǎng)絡(luò)不會(huì)在節(jié)點(diǎn)上進(jìn)行身份驗(yàn)證。為了確保對(duì)節(jié)點(diǎn)和網(wǎng)絡(luò)的全面保護(hù)，物聯(lián)網(wǎng)節(jié)點(diǎn)必須在應(yīng)用程序級(jí)別對(duì)新連接和消息進(jìn)行身份驗(yàn)證，以便任何安全漏洞的范圍都有限。

更大的目標(biāo)

在這些發(fā)展之前，基于 IP 的流量?jī)H限于基于 IP 的網(wǎng)絡(luò)，這意味著源自 ZigBee 網(wǎng)絡(luò)的 Wi-Fi 流量保留在 ZigBee 上，而藍(lán)牙流量則保留在藍(lán)牙內(nèi)。通過(guò)向基于 IP 的流量開(kāi)放所有三個(gè)標(biāo)準(zhǔn)，信息可以更廣泛地流動(dòng)；消除了網(wǎng)絡(luò)之間基于協(xié)議的障礙，提高了互操作性。但這些好處是有代價(jià)的。6LoWPAN、ZigBee 和藍(lán)牙提供的擴(kuò)展范圍也擴(kuò)大了攻擊者的范圍，使他們有可能獲得對(duì)以前難以滲透的網(wǎng)絡(luò)的新訪問(wèn)權(quán)限。

這是多層安全變得特別重要的地方。不同的層具有必須實(shí)施的安全規(guī)定，以確保這些新可訪問(wèn)的節(jié)點(diǎn)不會(huì)成為準(zhǔn)備好的目標(biāo)。要保護(hù)的最重要的層是數(shù)據(jù)鏈路層、傳輸層和應(yīng)用層。第 2 層，即數(shù)據(jù)鏈路層，位于 IP 或任何 IP 適配之下，因此每個(gè)無(wú)線協(xié)議都不同。

通過(guò) WPS 等協(xié)議的 Wi-Fi 安全性可確保網(wǎng)絡(luò)內(nèi)的數(shù)據(jù)加密。802.15.4 無(wú)線電協(xié)議使用 AES-128 在數(shù)據(jù)鏈路級(jí)別提供幀加密。Thread 充分利用了這一點(diǎn)。藍(lán)牙的數(shù)據(jù)鏈路層安全提供加密和身份驗(yàn)證。

802.15.4 安全功能通常在硬件中實(shí)現(xiàn)，盡管它們對(duì)于 ZigBee 不是強(qiáng)制性的。然而，對(duì)于 Wi-Fi 和藍(lán)牙，安全功能不是必需的，為了簡(jiǎn)化操作和最小化成本，可能很容易將它們排除在外。網(wǎng)絡(luò)互操作性造成的漏洞增加意味著數(shù)據(jù)鏈路安全不應(yīng)再被視為可選項(xiàng)。

在 IP 之上，通常有兩個(gè)選項(xiàng)：UDP 和 TCP。這些傳輸協(xié)議中的每一個(gè)都有一個(gè)相關(guān)的安全協(xié)議。對(duì)于 UDP，它是 DTLS；對(duì)于 TCP，它是 TLS。TCP 和 UDP 本身不提供安全性。TLS（有時(shí)稱為 SSL，傳輸安全的早期版本）提供連接身份驗(yàn)證和會(huì)話密鑰交換以及數(shù)據(jù)加密。DTLS 適用于 UDP 的數(shù)據(jù)報(bào)性質(zhì)，而不是 TCP 的分段性質(zhì)。

但源自 IP 的流量現(xiàn)在可以流向網(wǎng)絡(luò)中的任何地方，包括不接受 IP 的節(jié)點(diǎn)。因此，還必須實(shí)現(xiàn)原生 ZigBee 和藍(lán)牙傳輸層安全功能。ZigBee PRO 要求在網(wǎng)絡(luò)和應(yīng)用程序級(jí)別進(jìn)行加密。傳輸級(jí)加密應(yīng)該被認(rèn)為是強(qiáng)制性的。相比之下，原生藍(lán)牙實(shí)現(xiàn)僅在數(shù)據(jù)鏈路層中具有安全性，在傳輸層中沒(méi)有。

應(yīng)用層

最后是應(yīng)用程序?qū)樱捎趹?yīng)用程序的多樣性，因此沒(méi)有真正的標(biāo)準(zhǔn)。這些可以是 HTTP、電子郵件或任何使用 MQTT 或 CoAP 等消息傳遞協(xié)議在節(jié)點(diǎn)之間進(jìn)行通信的各種 IoT 應(yīng)用程序。根據(jù)其復(fù)雜程度，此類(lèi)協(xié)議可能會(huì)或可能不會(huì)提供額外的內(nèi)置安全性，因此設(shè)計(jì)者或架構(gòu)師有責(zé)任構(gòu)建應(yīng)用程序級(jí)保護(hù)。而且，Apple 的 HomeKit、OIC Iotivity 和 Google Weave 等物聯(lián)網(wǎng)家庭標(biāo)準(zhǔn)也在這一層不斷發(fā)展。

審核編輯 黃昊宇