所有者控制的PKI：确保物联网未来的下一步

物联网中的pki

PKI的多功能性通过身份身份验证，数据加密以及数据和系统完整性来使物联网信任。这使设备用户可以信任他们如何接收信息以及该信息的来源。那么，问题是控制之一。谁在控制这种身份验证，加密和完整性背后的PKI基础架构？

FDA在发布其“医疗设备网络安全的后市场管理”八月（该文件是专门为医疗设备制造商和所有者编写的，但该指南可以应用于物联网的其余部分）。FDA解决了采用积极主动的方法来进行市场上的网络安全的想法，并将制造商包括在内，作为他们投放市场的连接设备的扩展安全计划的一部分，说：他们对医疗设备的市场后管理的一部分。”这意味着在设计和开发过程中设备安全实现的开始。这也意味着制造商需要提供部署后更新设备的方法，包括安全更新和补丁管理。

制造商在从设计中配备物联网设备安全方面以及在整个设备寿命中维护安全协议中发挥着至关重要的作用。去年10月，当约翰逊和约翰逊在行动中看到了这个角色警告患者网络人感染其中一种胰岛素泵。据路透社报道，专家“认为这是制造商第一次向患者发出有关网络剥落性的警告。”但是，尽管警告可能表明从物联网设备中的过去安全故障取得进展，例如漏洞在连接的心脏设备中暴露从2016年早些时候从圣裘德医疗公司（St. Jude Medical）出发，如果连接的设备要以牺牲制造商的PKI安全为代价而成为受害者，则设备所有者至少需要对其PKI基础设施进行一些控制以抵御黑客。就约翰逊和约翰逊而言，如果一名黑客选择篡改其胰岛素水平，则违反一种胰岛素泵可能会对糖尿病患者造成身体伤害。

2015年，SEC提出了“钥匙之家”报告这说明了320万个与互联网连接的设备，设备制造商仅使用580个独特的私钥来确保其流量。有很多原因可以解释此问题的原因，但最终风险使设备用户处于潜在中间攻击，被动解密攻击或模仿，并直接归因于用于创建这些设备的设计和制造商过程。随着时间的流逝，这个问题只会变得更糟随着连接到网络的物联网设备的数量持续增长，使制造商很难跟上。

基于制造商的PKI基础设施在违规时通常缺乏对凭证质量和补救过程的控制。因此，组织需要通过采用所有者控制的安全姿势来推进其PKI安全部署，而不是根据其物联网设备制造商。

所有者控制的PKI安全性

物联网需要由所有者控制的PKI安全姿势来提供对连接设备的独立安全控制。独立的安全控制允许建立在更好的身份身份验证，数据加密以及数据和系统完整性的基础上的更强大的信任框架。所有者控制的PKI安全围绕五个原则：

1. 安全设备注册
2. 通过政策驱动的授权减少常见或宏观级别的威胁表面
3. 将设备身份验证与政策驱动的授权相结合，以控制设备何时何地在线以及指导该过程的规则
4. 消除静态凭证以将IoT设备转变为黑客的移动目标
5. 通过自动化来解决物联网规模

这五个原则为连接的设备建立了信任锚，并为物联网促进了更强大的PKI基础架构。

但是，这不会使设备制造商退出安全方程。

FDA的后市场指南详细介绍了设备制造商和设备所有者之间连接的设备更好安全性的共同责任。因此，尽管组织应强制执行由所有者控制的安全姿势，但设备制造商仍负责在物联网设备的设计和开发过程中实施安全性，并且还必须监视，识别和解决网络安全漏洞，并将其作为其后市场后管理计划的一部分。

此外，公司可以通过主张由所有者控制的PKI来参与这一共同的责任，使他们控制其安全姿势并释放对设备制造商实践的依赖。

与PKI的专家交谈正确

不能总是依靠制造商将PKI在物联网设备上实施，或者正确地进行。PKI做错了甚至比根本没有任何PKI更糟，并给业主带来了错误的安全感。为了确保与PKI充分保护连接的设备，公司可以转向第三方专家，例如可信赖的TLS/SSL证书解决方案提供商，有在连接设备上实施PKI的经验，甚至可以为基于云的PKI托管。

IOT的纯粹规模 - 由IDC预计到2020年将达到2000亿个物体 - 要求PKI基础架构的可伸缩性满足连接设备的需求。但是，随着市场上这些设备的数量不断增长，违反风险也会增加。组织可以寻求专家寻求帮助，以将其PKI基础架构从制造商的PKI发展到由所有者控制的PKI，同时与设备制造商保持共同的责任，以更好地控制其物联网设备的安全性控制和维护。

所有的物联网议程网络贡献者都负责其帖子的内容和准确性。意见是作家的，不一定会传达物联网议程的思想。