Iran Internet Of Things Research Center

مرکز تحقیقات فناوری اینترنت اشیاء

اطلاعات بیشتر

 

 

چرا سازندگان دستگاه ها نمیتوانند پلتفرم IoT را ایمن کنند ؟ 5 دلیل 


اگر سیستم های امنیتی یادگیری ماشین و پلتفرم های امنیتی گوگل ، سیسکو و آکامای که از پلتفرم های موبایل و وب محافظت میکنند ، مشخصه هایی برای آینده باشند ، سازندگان دستگاه های IoT تنها قسمتی از یک اکوسیستم امنیتی بزرگتر خواهند بود . این بدان خاطر است که آنها داده ای برای تمرین مدل های یادگیری ماشین های هوش مصنوعی ندارند .

1.توسعه دهندگان محصولات ، امنیت IoT را دست کم گرفته اند

توسعه دهندگان محصولاتی که با ساخت پلتفرم های جدید به رقابت بر سر بازار میپردازند ، قابلیت های امنیتی و حریم شخصی ای را که باید در محصولاتشان گنجاده شود را دست کم میگیرند . در برخی موارد ،  این عمل عمدی است ، اما در بسیار موارد سهوی است ، چرا که پیشبینی ضعف ها ، تا وقتی که محصول با مقیاس بزرگ در بازار عرضه نشده ، سخت است . دستگاه های موبایل و ویندوز ها هم چنین شرایطی را تجربه کرده اند . آنها امروزه مستحکم شده اند اما در مراحل ابتدایی ، اهداف ساده ای برای مجرمان سایبری بودند .

2.دفاع از نقاط پایانی و فضای(فضای پیرامون : perimeter) IoT با شکست مواجه خواهد شد

هیچ فضایی در IoT برای دفاع وجود ندارد و دفاع از فضا در تمام پلتفرم های دیگر شکست خورده است . با یک نگاه به بزرگترین رخنه ها ، درمی یابید که بیشتر کمپانی ها با تکیه بر دفاع از فضا های پیرامونی ، طعمه ی مجرمین سایبری شده اند . با اینکه نرخ تکرارش کم است ، اما ضعف های نقطه پایانی  رایانه های شخصی و موبایل های بالغ ، هنوز هم کشف و مورد بررسی قرار میگیرند . انتظار بهتری از دستگاه های IoT نمیتوان داشت .

3.سارقان بانک آنجایی میروند که پول باشد ؛ مجرمین سایبری آنجایی میروند که ضعف باشد

اینترنت اشیا ، در روز های آغازین خود ضعف هایی از خود نشان داده که مجرمین سایبری را جذب امنیت ضعیفش میکند . مجرمین سایبری ممکن است به آن دستگاه ها جذب شوند چرا که آنها هدف های آسانتری نسبت به پلتفرم های ویندوز یا موبایل هستند .

4.امنیت و حریم شخصی برای دستگاه های مبتنی بر IoT با میکروپردازنده هایی که حافظه های کوچک دارند ، هنوز در حال تولید است .

توسعه دهندگانی که روی دستگاه های IoT ای کار میکنند که شامل پردازنده های بزرگتری( 32 بیتی )هستند و روی لینوکس اجرا میشوند ، امکان اضافه کردن امنیت با تکیه بر 25 سال سابقه ی توسعه لینوکس دارند . تضمینی بر استفاده ی توسعه دهندگان محصولات از امنیت غنی لینوکس وجود ندارد . اما ساخت دستگاه های IoT با هزینه کم و کارامد از نظر نیرو ، با استفاده از میکروکنترل کننده ها وحافظه های کوچک ، مشکل امنیتی جدیدی است که نمیتوان در آنها با نگاه بر پلتفرم های امنیتی گذشته ، به جواب رسید . بسیاری از دستگاه های IoT قبل از این که پلتفرم IoT ایمن شود ، به بازار خواهند آمد و اینگونه میلیارد ها دستگاه در معرض خطر خواهند بود .

میتوانید در مقایسه ی پیکر بندی یک میکروکنترل کننده تغذیه شده با باتری معمولی ، با امنیت لایه ی انتقال وب (TLS) که ترافیک مرورگر را رمز نگاری میکند ، مشاهده کنید که چرا محافظت های امنیتی ساخته شده برای پلتفرم های بالغ و جامعی همچون موبایل و ویندوز ، مناسب نخواهند بود .

دستگاه IoT :

16 کیلوبایت رم

128 کیلوبایت فلش

WAN کم نیرو با بسته های لایه ی فیزیکی محدود شده تا حدود 100 بایت در اندازه

برنامه هایی که ارتباطات را برای افزایش عمر باتری به حداقل رسانده اند

TLS :

TLS برای شبکه های WAN اینترنت با پهنای باند بزرگ طراحی شده است

گواهی های TLS بیشتر از 1 کیلوبایت هستند و برای برقرار سازی یک لینک رمزنگاری شده به دو سفره دایره وار احتیاج دارند

 TLS نیازمند حداقل 4 کیلوبایت حافظه ، سوای کتابخانه هایش ، با بیش از 100 الگوریتم است.

استاندارد های حفاظتی IoT ، توسط سازمان مهندسی اینترنت در حال توسعه هستند . قسمتی از امنیت انتقال برای میکروکنترل کننده های کم حافظه ی دستگاه های IoT ، با پروتکل برنامه ی محدود شده (CoAP) ، یک پروتکل شبه HTTP سبک وزن و ارائه ی باینری اشیا ، استاندارد شده است .

به علاوه ، ثبت کننده ی اشیای CBOR و رمزنگاری برای ایمنی سازی اشیای CBOR  (COSE) ، و ایمنی اشیا برای CoAP (OSCoAP) که برای ایمن سازی پیام های CoAP طراحی شده است ، در حال توسعه هستند و هنوز به نسخه ی پایانی نرسیده اند . در حالی که استاندارد هایی پیشنهاد میشوند ، مورد بحث قرار گرفته و به تصویب میرسند ، سازندگان دستکاه های IoT در حال توزیع دستگاه های آسیب پذیر با بهترین قابلیت های موجود های امنیتی موجود یا با قابلیت هایی که میتوانند ارائه دهند هستند .

5.اینترنت اشیا دیتای مورد نیاز برای تمرین مدل های یادگیری ماشین در جهت دفاع از پلتفرم IoT را ندارد

دقت بالای پردازش زبان طبیعی ، ترجمه ی زبان و طبقه بندی تصویر ، حاکی از پتانسیل استفاده از یادگیری ماشین در امنیت اینترنت اشیا است . آکامای ، سیسکو و گوگل ، برای رویارویی با شکاف های امنیتی پیرامونی و نقطه پایانی پلتفرم های وب و موبایل بالغ شده ، با استفاده از یادگیری ماشین ، راهکار های امنیتی پسا پلتفرمی ساخته اند .

یادگیری ماشین ، به داده های بسیاری برای آموزش مدل ها نیاز دارد . گوگل یک سوم از اینترنت را برای آموزش مدل های ترجمه ی زبان خود استفاده کرده است . آکامای همیشه یک ششم ترافیک اینترنت را در شبکه های خود نگه داری میکند و از آن برای ساخت پلتفرم مدافع سایت کونا ، برای محافظت از مصرف کنندگانش در مقابل حملات برنامه وب و ممانعت از سرویس توزیع شده (DdoS) استفاده میکند . اما موجودیت قابل اطمینانی همچون گوگل یا اکامای که به مجموعه ی گسترده ای از داده های IoT دسترسی داشته باشند تا مدل های امنیتی یادگیری ماشین را در راستای حفاظت از پلتفرم IoT آموزش دهند ، وجود ندارد  .

 

مدل های امنیتی یادگیری ماشین پسا پلتفرمی گوگل ، سیسکو و آکامای

آکامای در پشت پرده از امنیت یادگیری ماشین برای بهبود محصولات و دفاع در مقابل حمله های برنامه ی وب و DdoS استفاده کرده است . دقت مدل یادگیری ماشین میتواند به 90 درصد برسد .اگرچه ، طبقه بندی درخواست های وب به دوستانه و مختصمانه میتواند سخت باشد . وب سایت مصرف کننده ممکن است موردی در گوشه با دقت کمتر باشد که از شبکه ی با تجربه ی دقت بالای آکامای منحرف شده است . مدافع سایت کونا اینگونه مواردی را که دستبه بندیشان سخت است را گزارش میکند تا مصرف کنندگان بتوانند داده های لازم برای آموزش دوباره ی مدل های ساخت یافته در مجموعه های عظیم داده ای را با مقدار اندکی دیتا به دست آورده و دقت در دسته بندی درخواست های وب به دوستانه و مختصمانه را افزایش دهند .

سیسکو می تواند از خود در مقابل بدافزار ها در ترافیک رمز نگاری شده ، بدون قربانی کردن حریم شخصی کارمندانش ، محافظ کند . گوگل و موزیلا ، توسعه دهندگان وب را ترغیب کردند تا از TLS برای محافظت از داده هاشان حین انتقال میان سرور و مشتری استفاده کنند . مهاجمان ، با  جعل ، سرقت و یا حتی پیوستن قانونی به گواهی های SSL ، برای رمزنگاری و استتار حمله هایشان ، از سیستم اعتماد اینترنت سو استفاده میکنند . راهکار آشکار ، قرار دادن یک سرور پراکسی میان سرور و مشتری ، برای رمزگشایی بسته ها و بازرسی آنهاست ، مثل شخصی که میان حمله قرار میگرد و هزینه اش تجاوز به حریم شخصی کاربران است .

سیسکو از روش دیگری استفاده کرد که از حریم شخصی کاربران هم محافظت کند . با تحلیل میلیون ها جریان نمونه ی TLS ، نمونه های بد افزاری و ضبط بسته ها ، یافت که متا دیتای رمزنگاری نشده در یک جریان TLS حاوی اثر انگشت هاییست که مهاجمین قادر به مخفی سازی آنها ، حتی با استفاده از رمزنگاری هم نیستند . پس از تکمیل تحلیلات و درک مدل یادگیری ماشینی که آنها به ساخت و آموزشش نیاز داشتند ، تیم توسعه جریان های داده ای TLS بسیار بیشتری را نسبت به داده های نمونه ، برای آموزش مدل ، به استفاده گرفتند .

امنیت اندروید: گوگل از مدل یادگیری ماشین آموزش دیده برای شناسایی بدافزار هایی که روی تلفن های اندرویدی اجرا میشوند استفاده میکند . مدل آموزش دیده که محافظت اجرا نام دارد ، مرتبا با بردار های داده ای که از یک مدل یادگیری ماشین مرکزی میایند ، به روزرسانی میشود . این مدل مرکزی شامل نمونه های بدافزاری و متادیتا است که میتوان از آن برای آموزش دوباره و طبقه بندی برنامه های بدافزاری جدید استفاده کرد . مدل های مشابه ، برنامه های بارگزاری شده در پلی استور را به عنوان دوستانه و مختصمانه ، شناسایی میکنند .

استاندارد های امنیتی IoT تنها بخشی از یک اکوسیستم خواهند بود که برای محافظت از دستگاه های IoT رشد میکند . یک لایه ی یادگیری ماشین IoT در بالای امنیت پیرامونی و نقطه-پایانی ، احتمالا به محض اینکه به مقدار کافی داده به عنوان لایه سوم دفاعی به وجود آمد ، تشکیل خواهد شد .

 

پلتفرم اینترنت اشیا

بیشتر بشناسیم

آخرین خبرها

«
»

فروشگاه کتاب فارسی اینترنت اشیاء

ما را دنبال کنید

  تلگرام مرکز تحقیقات اینترنت اشیاء ایران اینستاگرام مرکز تحقیقات اینترنت اشیاء ایران لینکداین مرکز تحقیقات اینترنت اشیاء ایران آپارات مرکز تحقیقات اینترنت اشیاء ایران   گوگل پلاس مرکز تحقیقات اینترنت اشیاء ایران فیس بوک مرکز تحقیقات اینترنت اشیاء ایران   

ارتباط با ما

جهت کسب اطلاعات بیشتر می­توانید از طریق
راه­ های ارتباطی زیر تماس حاصل فرمایید :
ایمیل دبیرخانه: این آدرس ایمیل توسط spambots حفاظت می شود. برای دیدن شما نیاز به جاوا اسکریپت دارید
ایمیل دبیر مرکز: این آدرس ایمیل توسط spambots حفاظت می شود. برای دیدن شما نیاز به جاوا اسکریپت دارید
شماره ارتباط تلگرامی: 09398511137

گواهینامه ها

logo-samandehi