امنیت و حفاظت در اینترنت اشیاء
چالشها و دغدغه های موجود در لایه های مختلف IoT
مقدمه و پیش زمینه
اینترنت اشیاء (IOT) دستگاههای مختلفی را که به طور روزانه از آنها استفاده میکنیم و میتوانند از طریق اینترنت با یکدیگر در ارتباط باشند، را فعال میکند. بنابراین اطمینان حاصل میشود که دستگاهها هوشمند هستند و اطلاعات را به یک سیستم متمرکز ارسال میکنند ، که این سیستم با توجه به وظایف خود به نظارت میپردازد و اقدامات ضروری را انجام میدهد. IOT میتواند در حوزههای مختلف مورد استفاده قرار گیرد: از جمله بهداشت و درمان، حمل و نقل، سرگرمی، شبکههای قدرت و ساختمانهای هوشمند. انتظار میرود که IOT به عنوان یک سازمان دهنده برای نوآوریهای تکنولوژیکی آینده مورد استفاده قرار گیرد و همچنین انتظار میرود که کاربرد آن در طول سالهای آینده افزایش یابد.
با اتصال تعداد بسیار زیادی از دستگاهها بهاینترنت و دادههای کلان مربوط به آن، نگرانیهایی در مورد امنیت ایجاد میشود. منظورما از امنیت میزان پایداری، یا محافظت از زیرساختها و کاربردهای IoT میباشد. بسیاری از این دستگاهها اهداف آسانی برای نفوذ میباشند،زیرا به منابع خارجی بسیار کمی وابستگی دارند و معمولا از آنها محافظت نمیشود.هنگامی که لایه شبکه در معرض خطر قرار گیرد، برای یک هکر کنترل و استفاده مخرب ازیک دستگاه و همچنین حمله به سایر دستگاههای نزدیک از طریق گره اصلی که در معرضخطر قرار گرفته است، بسیار آسان خواهد بود. مخصوصا، حمله به دستگاههایی که حضورآنلاین دارند، آسان میباشد. این دستگاهها که به هیچ شکلی در برابر ویروسها یانرمافزارهای مخرب محافظت نمیشوند، به احتمال زیاد به عنوان ربات برای ارسال کدهایمخرب در جهت آلوده کردن سایر دستگاهها مورد استفاده قرار میگیرند. شرکت بینالمللیداده پیشبینی میکند که در سال ۲۰۲۰ بیش از ۲۰۰ میلیون دستگاه به اینترنت متصلخواهند بود، در این صورت برای هکرها فرصت بزرگی به منظور استفاده از این دستگاههابه نفع خود از طریق حملات ” رد سرویس “، ایمیلهای مخرب و سایر ویروسهایا تروجانهای موثر به وجود خواهد آمد. اخیرا، یک مطالعهHP نشان داده است که ۷۰ درصد دستگاههای اینترنت اشیاءدر برابر حملات آسیبپذیر میباشند.
با توجه به مطالعه اخیر که توسط HP صورتگرفته است، حدود ۹۰ درصد دستگاههای مورد بررسی حداقل بخشی از اطلاعات شخصی را ازطریق خود محصول، ابر یا نرمافزار تلفن همراه آن جمعآوری میکنند. این اطلاعات شخصی ممکن است به آسانی به دلیل یک حمله سایبری یادسترسی غیر مجاز در معرض خطر قرار گیرند. این امر موجب کاهش محرمانگی، یکپارچگی و امنیتدادهها میشود، در نتیجه کاربران تمایلی به استفاده از این تکنولوژی نخواهند داشت.بنابراین، یکی از نگرانیهای مهم در استفاده و پیادهسازی این تکنولوژی جدید امنیتو حریم خصوصی میباشد. امنیت باید با جلوگیری از شناسایی و دسترسی غیر مجاز برایکاربران تضمین شود. منظور ما از حریم خصوصی این است که دادههای کاربر تحت کنترلخود او باشند نه هیچ کس دیگر. مسئله دیگری که به واسطه وابستگی بسیار زیاد به دادههاو دستگاههای مبتنی بر IoT ایجاد میشود، قابلیت اطمیناناست. منظور ما از قابلیت اطمینان این است که این دستگاهها باید به طور موثر کارکنند و همان طور که در نظر گرفته شده است، هرگز با مشکل مواجه نشوند. علاوه بر IoT، دادههای منتقل شده بین دستگاهها و اینترنت باید قابل اطمینانباشند، زیرا ارائه دادههای غیر قابل اعتماد نگرانی مهمی است که ممکن است منجر به بازخوردهایغیر ضروری یا اشتباه شود.
پروتکلهای امن برای IoT
ساخت اشیاء هوشمند سازگار و به هم پیوسته مستلزم بهرهگیری از پروتکلهایارتباطی استاندارد میباشد. سازمانهای بینالمللی مانند نیروی مهندسی اینترنت (IETF) و اتحادیه IPSO استفادهاز پروتکل اینترنت (IP) را به عنوان استانداردی برای ارتباطاشیاء هوشمند ترویج میدهند. از آنجایی که انتظار میرود میلیاردها شئ متصل باشندو آدرسهای IPv4 تقریبا کاهش یافتهاند ، IPv6 به عنوان راهحل ممکن برای ارتباط شیء هوشمند شناسایی شده است. پروتکلهاییکه اشیاء هوشمند پیادهسازی میکنند، در جهت تطابق میزبانهای اینترنتی کلاسیک بهمنظور امکان پذیر ساختن ایجاد اینترنت گسترده، یا به عبارتی ادغام اینترنت با IoT عمل میکنند. از آنجایی که معماری پروتکل اشیای هوشمند باید بامعماری IP استاندارد مطابقت داشته باشد ( به دلیل یکپارچگی)، در حال حاضربسیاری از مکانیسمهای امنیتی تعریف شده و به کار رفته برای اینترنت میتوانندمجددا در حالتهای مختلف IoT مورد استفاده قرار گیرند.
در لایه شبکه، یک گره IoT میتواندامنیت تبادل دادهها را به روشی استاندارد و با استفاده از امنیت پروتکل اینترنت (IPsec) تامین کند. IPSec که درابتدا برای IPv6 توسعه داده شد، حتی در IPv4 به طور گسترده مورد استفاده قرار گرفت.
لایههای کلیدی IoT
همان طور که در شکل ۱ نشان داده شده است، در ادامه لایههای کلیدی با هدفایجاد IoT ارائه شدهاند:
- لایه برنامه: این لایه از برنامهها و سرویسهای مختلفی که IoT ارائه میدهد، تشکیل شده است.برنامهها و کاربردها شامل شهرهای هوشمند، خانههای هوشمند ، حمل و نقل ، امکاناتو مراقبتهای بهداشتی میشوند.
- لایه دریافت: این لایه از انواع مختلف تکنولوژیهای حسی از جمله حسگرهایدما، حسگرهای ارتعاش، حسگرهای فشار و حسگرهای RFID تشکیل شده است که به دستگاهاجازه میدهند سایر اشیاء را حس کند.
- لایه شبکه: این لایه از نرمافزار ارتباطات شبکه و همچنین اجزای فیزیکیمانند توپولوژی، سرورها، گرههای شبکه و اجزای شبکه که امکان ارتباط شبکه را فراهممیآورند، تشکیل شده است. هدف اصلی آن انتقال دادهها میان دستگاهها و از دستگاههابه گیرندهها میباشد.
- لایه فیزیکی: لایه فیزیکی شامل سختافزار پایه مانند اجزای فیزیکی، لوازمهوشمند و تجهیزات برقی که به عنوان پایه و اساس شبکهبندی اشیاء هوشمند عمل میکنند،تشکیل شده است.
مسائل امنیتی در لایههای IoT
با کاربرد بسیار زیاد اینترنت اشیاء، روز به روز دستگاههای بیشتری به اینترنتمتصل میشوند. هر روز، این اشیاء هوشمند به هدفی برای خطرات امنیت اطلاعات تبدیلمیشوند؛ IoT بسیار بیشتر از اینترنت مستعدتوزیع این خطرات میباشد. چهار لایه موجود در IoT که پیش از این مورد بحث و بررسی قرار گرفتند، در IoT مهمترین نقش را ایفا میکنند و برای دستیابی بهIoT قابل اطمینان و امن، باید اطمینان حاصل شود که این چهار لایهاساسی امن هستند. حملات زیادی ممکن است به دستگاهها صورت گیرد و اجزای اساسیموجود در این لایهها با این حملات مقابله خواهند کرد. نظارت بر این دستگاهها نیزباید به گونهای صورت گیرد که هیچ دادهای از بین نرود و یا تغییر نکند.
الف) مسائل امنیتی در لایه برنامه
به دلیل وجود مسائل امنیتی در لایه کاربرد، کاربردهای مختلف ممکن است متوقفشوند و به آسانی در معرض خطر قرار گیرند. در نتیجه، برنامهها در انجام خدماتی کهبرای آن برنامهریزی شدهاند یا حتی خدمات تصدیق شده به شیوهای نادرست، با مشکلمواجه میشوند. در این لایه خدمات مخرب ممکن است باعث ایجاد باگ درکد برنامه نرمافزارشوند که این به نوبه خود منجر به عملکرد نادرست برنامه میشود. این نگرانی بسیارخطرناک است و بر اساس تعداد دستگاههای طبقهبندی شده به عنوان نهادهای سطحبرنامه قرار دارد. تهدیدهای رایج در سطح برنامهعبارت اند از:
- حملات مخرب کد : مثالی از این نوع حمله میتواند ویروس مخربی باشد که دردستگاههای نهفته در یک سیستم عامل خاص گسترش مییابد، مانند لینوکس. این ویروس ممکناست قادر به حمله به مجموعهای از دستگاههای کوچک و اینترنتی فعال باشد، مانندروترهای خانگی و دوربینهای امنیتی. این ویروس از آسیبپذیری شناخته شده نرمافزاربرای گسترش استفاده میکند. این حملات که ممکن است بر روی Wi-Fi ماشین صورت گیرند، کنترل فرمانماشین را در دست گیرند و در نهایت منجر به تصادف و آسیب دیدن راننده و ماشین شوند.
- دستکاری برنامههای مبتنی بر گره: هکرها از آسیبپذیریهای برنامه در گرههایدستگاه بهره میبرند و روتکیتهای مخرب نصب میکنند. طراحی امنیت دستگاهها بایددر مقابل هر نوع دخالت و دستکاری مقاوم باشد یا حداقل دستکاری مشهود باشد. حفاظتاز بخشهای خاص یک دستگاه ممکن است کافی نباشد. برخی از تهدیدها ممکن است محیطمحلی را دستکاری کنند و منجر به عملکرد نادرست دستگاه و بنابراین گرم شدن یا سردشدن بیش از اندازه محیط شوند. یک حسگر دما که دستکاری شده است، فقط مقدار ثابتی ازدما را نشان میدهد، در حالی که دوربین دستکاری شده در یک خانه هوشمند تصاویرمنسوخ را دوباره نشان میدهد.
- عدم توانایی در دریافت هشدارهای امنیتی: در برخی از حوزهها مانندراکتورهای هستهای ، در صورتی که باگ نرمافزار در گرهای که دائما در حال حرکتاست با هشدارهای نرمافزاری به روز رسانی نشود، ممکن است منجر به عواقب فاجعه بارشود.
- هک کردن کنتور / شبکه هوشمند: در این حالت، یک کنتور هوشمند که مسئول ارسالدادههای کاربرد به اپراتور برای صدور صورت حساب میباشد، باید امن باشد. اگر کسیبه ارسال دادهها دسترسی پیدا کند، بر اساس مصرف برق میتواند بداند که چه زمانییک منزل خالی است، و از این روش برای سرقت و یا حتی اهداف بدتر استفاده کند. حملهبه شبکههای هوشمند بسیار فاجعهبار تر است و میلیاردها دلار هزینه به اقتصاد واردمیکند.
ب) مسائل امنیتی درلایه دریافت
تهدیدات امنیتی درلایه دریافت در سطح امنیتی میباشند. از آنجایی که گرهها از حسگرها (سنسور) تشکیلشدهاند، اهداف اصلی هکرها میباشند که میخواهند از آنها برای جابهجایی نرمافزاردستگاه با نرمافزار دستگاه خود استفاده کنند. در لایه دریافت، بیشتر تهدیدها ازجانب اشخاص خارجی و عمدتا با توجه به حسگرها و سایر تجهیزات جمعآوری دادهها میباشند. هدیدهای رایج در لایه دریافت عبارتاند از:
- استراق سمع: از آنجایی که نوع ارتباط میان این دستگاهها بیسیم و از طریقاینترنت میباشد، اگر از آنها محافظت نشود، نسبت به حملات استراق سمع آسیبپذیرخواهند بود. در این حمله، حسگرهای موجود در خانه هوشمند که در معرض خطر قرار میگیرند،میتوانند برای کاربران هشدار (notification) ارسال کنند و از کاربران اطلاعات خصوصی دریافت کنند.
- حملات اسنیفینگ (استراق سمع اطلاعات مبادله شده در شبکه): هکرها میتوانندحسگرهای یا دستگاههای مخرب را نزدیک به حسگرهای نرمال دستگاههای IoT قرار دهند و به اطلاعات دستگاهدست پیدا کنند. فراوانی دستگاههای IoT محیط هوشمند به این معنی است که انسانها میتوانند از طریق محیطفیزیکی و بدون رضایت خود آنها تا حد زیادی شناسایی و ردیابی شوند و مشخصات آنهانشان داده شود. به عنوان مثال با افزایش روابط انسان با انسان و انسان با دستگاهدر شبکههای فیزیکی مشترک، سرویسهای مشترک و فضاهای اجتماعی، دریافت میزان کمتریاز اثرات فیزیکی این روابط و میزان بیشتری از حساسیت و دقت امکان پذیر خواهد بود.
- اختلال در دادهها: از آنجایی که ارسال دادهها در شبکههای بیسیم فواصلزیادی را پوشش میدهد، به احتمال زیاد ممکن است که دادهها شامل نویز، ماننداطلاعات ناقص و یا حتی اطلاعات غلط باشند. ارائه نادرست اطلاعات ممکن است در اینحالتها، زمانی که ارسال قابل اعتماد دادهها حائز اهمیت است، خطرناک باشد.
ج) مسائل امنیتی در لایه شبکه
لایه شبکه نسبت به حملات بسیار حساس است، زیرابه دلیل انتقال حجم زیاد دادهها باعث ایجاد تراکم شبکه میشود. در این لایه،مسائل مهم امنیتی به تمامیت و تصدیق دادههایی که در شبکه منتقل میشوند، بستگیدارند. حمله از جانب هکرها و گرههای مخرب که دستگاههای موجود در شبکه را در معرضخطر قرار میدهد یک مشکل جدی است. تهدیدهای رایج در لایه شبکه عبارتاند از:
- حمله DoS:دستگاهها یا سرور بمباران میشوند، به گونهای که قادر به ارائه سرویس به کاربرانیکه به آن سرویس نیاز دارند، نیستند. حملات DoS انتقال دادهها میان دستگاهها و منبع خود را متوقف میکنند. جریانگستردهای از اطلاعات به دستگاه ارسال میشود و موجب متوقف شدن فرآیندهای آن میشود.به عنوان مثال، حمله به سیستمهای اطلاعات سلامت و سرویسها که در شبکههای IoT با پهنای باند کمتر پیادهسازیشدهاند، به معنی خطر از تهدید کننده زندگی و از دست رفتن کسب و کار میباشد.
- حملات دروازه (Gateway):این حملات ارتباط میان حسگرها و زیرساختهای اینترنت را قطع میکنند. حمله دروازهشامل حملات DoS یاحملات مسیریابی میشود که در دروازه اجرا میشوند و منجر به عدم انتقال اطلاعات یاانتقال اطلاعات غلط از اینترنت به حسگرها / گرهها / فعال کنندهها میشوند، درنتیجه عملکرد زیردامنهها مانند شبکههای نقلیه یا شهرهای هوشمند به خطر میافتد.
- دسترسی غیر مجاز: دستگاهها ممکن است به این علت که صاحبان آنها انتظاردارند که تحت کنترل فیزیکی خود باقی بمانند، در شرایط ناامن باشند. با این حال، درصورتی که تحت کنترل فیزیکی نباشند، به آسانی توسط هر کسی مورد استفاده قرار میگیرند.دستگاههای نهفته کوچک و بزرگ ممکن است نیاز داشته باشند که در محیطهای نسبتا غیرقابل دسترس به مدت طولانی بدون حفاظت باقی بمانند، به عنوان مثال در پیسمیکر (ضربان ساز) که در بدن انسان قرار داده می شود و حسگرهای راه دور که در محیطهایفیزیکی غیر مسکونی قرار داده میشوند. این دستگاههای نهفته و بدون حفاظت که برایکنترل مورد استفاده قرار میگیرند ( مانند ضربان سازها) به تنظیم زمان ثابت برایارائه سیگنالهای کنترل در زمانهای تعیین شده نیاز دارند و به مرور زمان برایکاربران مخاطره انگیز میباشند. از آنجایی که این دستگاهها برای ارتباط با سایردستگاهها و به منظور ارسال و دریافت داده طراحی میشوند ، برخی از گرههای مخربممکن است برای نشان دادن خود به صورت گرههای تصدیق شده تلاش کنند و بدون اختیار واجازه به این دستگاهها دسترسی پیدا کنند و آن را در معرض خطر قرار دهند.
- حملات ذخیره سازی: انبوه دادههایی که شاملاطلاعات حیاتی کاربر میباشند باید در دستگاههای ذخیرهسازی یا ابر ذخیره شوند،که ممکن است هر دوی آنها مورد حمله قرار گیرند و دادهها به مخاطره بیفتند یا بهجزئیات نادرست تغییر یابند. تکرار دادهها و همچنین دسترسی به دادهها برای انواعمختلف افراد منجر به افزایش سطح حملات میشود.
- ارائه اطلاعات جعلی (ساختگی): حمله کنندگان میتوانند اطلاعات جعلی یاساختگی وارد کنند و باعث واکنش نامناسب یا خطرناک سیستم شوند. با این کار زمینه یکحمله فیزیکی ایجاد میشود و تهدیدات ممکن است نهفته باقی بمانند.
د) مسائل امنیتی در لایه فیزیکی
مسائل امنیتی زیادی در لایه فیزیکی یک سیستم IoT نیز وجود دارند. منابع قدرت ومکانیسم های امنیت فیزیکی نیاز شدیدی به حفاظت توسط تکنولوژی جدید دارند. دستگاههاباید در برابر حملات فیزیکی هم از نظر آب و هوا و هم از نظر افراد محافظت شوند. همچنیندستگاهها باید از نظر قدرت اثر بخشی لازم را داشته باشند و بتوانند در صورت قطعشبکه برق یا قطع برق، به قدرت باتری متکی باشند. باتریها باید به مدت مشخص شارژخود را نگه دارند و برای استفاده مداوم از دستگاه به سرعت شارژ شوند. مشکلات رایجدر لایه فیزیکی عبارتاند از:
- آسیب فیزیکی: مثالی از این نوع حمله، دستگاههای فیزیکی مانند حسگرها ، گرههاو فعال کنندهها میباشد که از نظر فیزیکی توسط واحدهای مخرب آسیب میبینند. اینامر موجب میشود که حسگر، گرهها و فعال کنندهها عملکرد و قابلیت مورد انتظار خودرا از دست دهند و در برابر خطرات دیگر آسیب پذیر شوند.
- حملات محیطی: مثالی از این نوع حمله حسگری است که در معرض خطرات شدید محیطیمانند باران غیر طبیعی / برف / باد قرار میگیرد. این امر باعث میشود که حسگرعملکرد و قابلیت مورد انتظار خود را از دست دهد و در برابر خطرات دیگر آسیب پذیرشود.
- از دست دادت قدرت: دستگاههایی که توان خود را از دست میدهند ، اساسا نمیتوانندبه طور طبیعی کار کنند و این منجر به عدم ارائه سرویس میشود. به عنوان مثال، یکاستراتژی رایج برای حفظ قدرت دستگاهها، ورود به حالتهای مختلف ذخیره توان ( انرژی) میباشد ، به عنوان مثال، حالتهای مختلف خواب. یک حمله جلوگیری از خواب، درخواستهایصحیحی را برای جلوگیری از ورود یک دستگاه به حالت ذخیره انرژی ایجاد میکند.
- خرابی سخت افزار: دستگاهها به عنوان راه نجات برای کاربران عمل میکنند وکاربر ممکن است تا حد زیادی به این دستگاهها وابسته باشد. بنابراین، عدم خرابیسختافزار که منجر به متوقف شدن عملکرد دستگاه یا ارسال اطلاعات غلط میشود، حائزاهمیت میباشد. حملات سایبری به شهرهای هوشمند منجر به تامین ناکافی آب و برق وهرج و مرج میشوند.
- دستکاری (دخالت) فیزیکی: در اتوماسیون کف کارخانه، کنترل کننده منطقی نهفتهو برنامه ریزی شده (PLCs)که سیستمهای رباتیک را اداره میکنند در زیرساخت IT شرکت ادغام شدهاند. حفاظت از PLC ها در برابر رابطهای انسانی ودر عین حال حفاظت از سرمایهگذاری در زیرساخت IT و نفوذ کنترلهای امنیتی موجودحائز اهمیت میباشد.
نتیجه گیری
در این مقاله، به بیان این موضوع پرداختیم که با اتصال دستگاههای مبتنی برIoT بصورتفزاینده به اینترنت، سطح حملات خارجی افزایش مییابد. این حملات بر اساس لایههایتشکیل دهنده IoTطبقهبندی شدند و چند حمله با مثالهای مرتبط مورد بحث و بررسی قرار گرفتند. دراین مقاله و به منظور پذیرش تکنولوژیها و برنامههای IoT توسط مشتریان،مسائل امنیتی و حریم خصوصی و همچنین محدودیتها باید مورد بررسی قرار گرفته وبلافاصله پیادهسازی شوند، به طوری که پتانسیل تکنولوژی IoT و کاربردهای آنمحقق شود.
منبع: مجله کنفرانس بینالمللی هاوایی علومسیستم از دانشگاه کارولینای ایالات متحده آمریکا