我们希望这个问题消失。最伟大的高科技人才一直在努力识别网络安全威胁，在它们造成破坏之前发现它们，并以各种可能的方式挫败它们。所有这些努力最终不应该意味着设备安全将不再是一个问题吗?
不幸的是，答案是否定的。原因有很多。也有高科技的头脑致力于破坏东西，绕过防御，造成严重破坏，并识别安全漏洞，可能是出于同样的原因人们爬山:说他们做了。
所以这个问题一直存在。这让我们的社会付出了数十亿美元的代价。这是每个人的问题。但是，到底是谁负责建立防御和阻止网络犯罪的工作呢?在这篇文章中，我们将讨论网络安全方面的角色和责任。
物联网设备安全:谁的工作?
如果这是大学考试的考题，你会有一组选择题答案，比如:
一个。最初构建设备的设备制造商。
B。系统集成商，将设备构建成最终用户产品的系统集成商。
C。将设备分销给消费者的增值经销商。
D。在终端用户环境中安装或设置设备或第三方产品的客户。
E。以上所有。
答案可能会让一些人感到惊讶，但这是当然的。”E。以上所有。”从制造到集成和使用产品的链条上的每个人都在确保设备正确设置，以防止不当访问、设备黑客和恶意软件攻击。
许多人相信设备制造商可以完全实现安全，或者安装一个以安全为重点的软件程序来检测和阻止黑客攻击是可能的。但事实上，真正的设备安全是技术、流程和最佳实践的结合。
为什么设备安全需要多管齐下
设备安全需要从制造到最终使用的整个链条上的多种技术和实践，有几个关键原因:
- 每个企业有不同的安全需求。处理交易的零售和金融机构需要高度的安全性来保护客户数据。处理敏感个人信息的医疗保健组织也需要非常高的安全性。另一方面，在许多用例中，不需要极端的安全性，采取额外的措施也没有意义，因为这会给消费者带来额外的成本。
- 威胁变了。今天使用的技术和实践可能不足以阻止明天的攻击者。查看我们之前的帖子，从KRACK漏洞中学到的教训，以获取更多见解。
- 消费者不愿意为企业所需的内置安全性的数量和类型付费。
从制造角度看设备安全
如果您是系统集成商或增值经销商，那么让我们讨论一下设备制造商应该在产品中设计的关键安全措施，以便链上的其他人可以实现适当的安全。例如，如果您正在寻求将一个或多个供应商的嵌入式模块和射频产品整合到您的产品设计中，则务必检查在制造阶段所采取的安全措施。
在这些情况下，设备必须启用安全功能。设备制造商的责任是构建安全特性，然后由集成商或最终用户实现。作为最佳实践，制造商应该包括一组全面的控制，可以在需要时启用。这些控制本质上是管理产品并确保其以安全方式运行的法律。在本文中，我们将这组控件称为“制造商安全框架”。
为了演示，让我们看一些具体的例子。
例1:在设备中实现的安全特性
在本例中，我们将讨论一个称为“安全引导”的特性。安全引导的目的是确保没有未经授权的代码在设备上运行。例如，在Digi，我们为此目的在我们的制造商安全框架内定义了许多控制。
我们分配给安全引导的控件包括以下内容:
- 当设备启动时，所有加载的代码对象都被加密验证为来自设备制造商。
- 当软件更新时，所有更新都经过加密验证，确认其来自设备制造商。
虽然我们需要安全引导控件，但开发人员有许多技术选项如何实现它。例如，在采购制造商的CPU时，我们的开发人员必须首先评估该组件的功能，以确定如何实现控件。在安全引导的情况下，如果CPU提供了高保证引导(HAB)特性，Digi开发人员可以在正在开发的产品上实现HAB，以满足安全引导控制需求。
这个安全框架确保在产品开发过程中内置了一系列关键的安全控制，但仍然为开发人员提供了一些方法上的选择。当所有的安全控制到位并且开发完成后，必须测试和验证这些控制中的每一个。
例2:终端用户实现的安全特性
安全代码特性的另一个例子是能够对在设备上运行的最终用户代码进行代码验证。随着边缘计算的未来趋势，在边缘设备上支持这一点的代码验证和基础设施变得至关重要。验证可编写脚本的最终用户对象不是发生在制造商级别，而是发生在最终用户级别。制造商需要支持这些功能来实现这一点。最终用户必须在部署时在他们的设备和代码上启用这些功能。
重要的是要注意它是验证用于确保安全操作的控件。这不仅发生在制造层面，还发生在产品实施的所有阶段。有关终端用户为设备安全实现的一组框架控件，请参阅Internet安全中心(CIS)网站www.cisecurity.org．
Digi的制造商安全控制框架，称为数码网络TrustFence®,包括:
- 安全启动
- 身份验证和安全连接
- 加密存储
- 安全更新
- 证书和策略管理
- 受保护的硬件接口
- 设备标识
- 持续监测和支持
Digi TrustFence®解决方案不是单一的安全功能，例如可以被黑客攻击的软件程序。这是一种多管齐下的方法，旨在确保设备免受常见攻击，并确保设备集成商和最终用户拥有在部署中建立安全配置所需的能力和功能。
Digi TrustFence®的目的是从制造的角度开始安全的物联网故事。如果你是一个集成商，或应用程序开发人员，有类似的安全框架，如OWASP top 10 (www.owasp.org)用于物联网设备的安全控制。这些框架提供了可以在从制造商到最终用户的多个阶段实现的控件。
为了继续本文的内容，您自己的组织必须评估您为安全框架所准备的内容。您的组织是否有一组已发布的最佳实践?您的供应商是否为客户提供了安全框架?您是否完全实现了所有可用的控制以避免任何单点故障?
联系我们开始讨论Digi先进的软件和解决方案可以支持您的卡塔尔世界杯8强即时走地网络安全目标。
注:本博客文章首次发布于2017年12月，并于2021年12月更新。