基于物联网设备指纹的情境认证方法

杜俊雄 陈伟 李雪妍

摘 要：针对物联网设备中因非法设备接入带来的远程控制安全问题，提出一种基于设备指纹的情境认证方法。首先，通过提出的对交互流量中单个字节的分析技术，提取物联网设备指纹;其次，提出认证的流程框架，根据设备指纹在内的六种情境因素进行身份认证，设备认证通过才可允许访问;最后，对物联网设备进行实验，提取相关设备指纹特征，结合决策树分类算法，从而验证情境认证方法的可行性。实验中所提方法的分类准确率达90%，另外10%误判率为特殊情况但也符合认证要求。实验结果表明基于物联网设备指纹的情境认证方法可以确保只有可信的物联网终端设备接入网络。

关键词：物联网;网络安全;设备指纹;情境认证;远程控制

中图分类号： TP399

文献标志码：A

Abstract： Aiming at the security problem of remote control brought by illegal device access in Internet of Things （IoT）， a contextual authentication method based on device fingerprint was proposed. Firstly， the fingerprint of IoT device was extracted by a proposed single byte analysis method in the interaction traffic. Secondly， the process framework of the authentication was proposed， and the identity authentication was performed according to six contextual factors including device fingerprint. Finally， in the experiments on IoT devices， relevant device fingerprint features were extracted and decision tree classification algorithms were combined to verify the feasibility of contextual authentication method. Experimental results show that the classification accuracy of the proposed method is 90%， and the 10% false negative situations are special cases but also meet the certification requirements. The results show that the contextual authentication method based on the fingerprint of IoT devices can ensure that only trusted IoT terminal equipment access the network.

Key words： Internet of Things （IoT）; network security; device fingerprint; contextual authentication; remote control

0 引言

物联网（Internet of Things， IoT）是建立在互联网基础上的泛在网络发展的一个新阶段，它可以通过各种有线和无线网络与互联网融合，综合应用海量的传感器、智能处理终端、全球定位系统等，实现物与物、物与人的随时随地连接，实现智能管理和控制。IoT引领了信息产业革命的第三次浪潮，将成为未来社会经济发展、社会进步和科技创新的最重要的基础设施，也关系到国家在未来对一些物理设施的安全利用和管控。根据Gartner公司的报告[1]，2016年有64亿个IoT设备上线，其中很大一部分是智能家居系统，如智能恒温器、健身追踪器、冰箱等，预计数量到2020年将达到200亿以上。虽然IoT发展日趋迅猛，但IoT的安全问题却日趋突出。

首先，虽然IoT设备计算和存储能力较弱，但由于IoT设备众多，且具有一定的网络能力，依然可以发起多种攻击。已有实验验证了IoT设备的网络发包能力，2016年Mirai僵尸网络的爆发也证明IoT设备可以产生严重威胁[2]。

其次，IoT设备涉及用户隐私，关联用户敏感设备，如可以控制摄像头或家用电器[3]。作为IoT应用的代表——智能攝像头，在给人们日常生活带来便利的同时，由此产生的隐私泄露等安全风险也如影相随。360攻防实验室称近八e成智能摄像头产品存在用户信息泄露、数据传输未加密等问题，黑客可以远程获取用户实时监控画面[4]。

如果能改进IoT设备的认证问题，就可以有效解决以上两点问题。目前，在IoT中，IoT终端设备一般处于无人值守的环境中，其设备容易受到攻击、破坏，从而带来利益的争端问题;同时，窃取用户身份的非法设备接入网络后也可能会对网络实施进一步的破坏。因此，网络侧有必要验证接入网络的设备合法性。基于设备指纹的身份认证机制可以确保只有合法的用户才能远程管理IoT设备，从而避免因非法设备接入带来的利益争端问题及网络安全问题，有效推动IoT应用的开展。

本文的主要工作包括：

1）提出一种设备指纹的提取方法，通过分析交互流量提取设备独有的指纹特征，可以作为情境认证的重要因素，能有效地对设备身份信息进行判断。