設(shè)計物聯(lián)網(wǎng) (IoT) 時，網(wǎng)絡(luò)安全始終是個重要的考慮因素，因為任何連接的設(shè)備，無論大小，都是通向更廣闊網(wǎng)絡(luò)的潛在入口。但隨著互聯(lián)網(wǎng)協(xié)議 (IP) 攝像頭的出現(xiàn)，網(wǎng)絡(luò)安全需要成為焦點。

聯(lián)網(wǎng)攝像頭很容易成為攻擊目標。攝像頭通常配備各種功能，且經(jīng)常安裝在無人監(jiān)管的位置，通常與云端始終保持連接。這是黑客無法抵御的組合，也是眾多最嚴重的DDoS攻擊 (包括2016年的Mirai僵尸網(wǎng)絡(luò)) 均涉及IP攝像頭的原因。

安全風險無處不在

IP攝像頭整個生命周期的幾乎每個時間點都有可能被操縱或被竊取。在安裝過程中，當IP攝像頭經(jīng)過遠程驗證并已發(fā)送用于網(wǎng)絡(luò)訪問的憑證時，黑客可以竊取用于合法訪問的私有信息。攝像頭安裝后，與云端的每個會話都涉及一次身份驗證過程，該過程中可能被仿冒，并且任何視頻傳輸都可能被竊取或操縱，成為深度偽造攻擊的一部分。

此外，制造商往往將IP攝像頭的連接用于自己的目的，從后期配置到現(xiàn)場更新和定期維護，這些會話也可能被劫持或濫用。

鑒于存在如此多的風險，最好將IP攝像頭的網(wǎng)絡(luò)安全視為設(shè)計的起點，將網(wǎng)絡(luò)安全視為與功能的每個方面相關(guān)的設(shè)計元素。

行之有效的保護

當然，有許多經(jīng)業(yè)界驗證的方法可以保護IP攝像頭，還有安全認證可以確保使用業(yè)界公認的保護。例如，如果攝像頭連接到Wi-Fi網(wǎng)絡(luò)，它可以使用加密系統(tǒng)——如WPA-PSK (PBKDF2) 或WPA-EAP-TLS——來保護傳輸。在北美市場，獲得FIPS 140-2認證的設(shè)備可以使用經(jīng)過驗證的加密算法。

但是，無論設(shè)計使用哪種協(xié)議組合，最好在芯片中存儲和保護敏感信息(如憑證和安全密鑰)。

創(chuàng)建信任根

基于芯片的安全性是硬件 (而不是軟件) 中的信任根，因此極難篡改或利用。

以安全元件的形式添加基于芯片的信任根，可以保護各種易受攻擊的交易，包括物聯(lián)網(wǎng)中設(shè)備之間和設(shè)備與云的交互。

在IP攝像頭中，安全元件是用于進行多種類型保護的平臺，因此網(wǎng)絡(luò)保持安全，以防止未經(jīng)授權(quán)的訪問，并且攝像頭圖像可被信任為真實的和未經(jīng)修改的。

IP攝像頭需要安全的硬件。了解我們的EdgeLock安全芯片和安全驗證IC如何幫助保護您的應(yīng)用，請點擊這里>>

量身定制的保護

恩智浦EdgeLock SE050安全元芯片是一個防篡改的平臺，專為多個IoT安全使用場景設(shè)計，可實現(xiàn)對安全密鑰和證書的強大保護。它支持最新的TLS和WPA-EAP-TLS安全協(xié)議，以及加密功能 (如HKDF、PBKDF2和主機MCU/MPU或云使用的安全SCP通道保護)。

EdgeLock SE050附帶預(yù)安裝的安全代碼，并且預(yù)配置了憑證——在生產(chǎn)期間或在從代理商發(fā)貨之前添加，因此可節(jié)省開發(fā)時間。預(yù)配置的憑證為IoT設(shè)備 (如IP攝像頭) 提供了唯一標識，從而簡化了網(wǎng)絡(luò)入網(wǎng)過程，并使入網(wǎng)過程更加安全。

當設(shè)備連接到Wi-Fi路由器時，身份驗證過程會使用這些憑證，從而幫助保護網(wǎng)絡(luò)免受未經(jīng)授權(quán)的訪問。而且，由于憑證永遠不會離開IC，因此信任鏈在整個產(chǎn)品生命周期中得以保留。結(jié)果是，真正的端到端安全建立在基于芯片的信任根之上。

四個關(guān)鍵操作

用于設(shè)計IP攝像頭時，EdgeLock SE050可保護許多關(guān)鍵操作：安全云注冊、設(shè)備到設(shè)備的身份驗證和證明、后期參數(shù)配置和Wi-Fi憑證保護。此外，EdgeLock SE050有助于滿足政府特定的安全要求，例如加拿大和美國關(guān)鍵基礎(chǔ)設(shè)施的FIPS標準。我們來詳細了解一下這些功能的工作原理。

1

安全云注冊

IP攝像頭與公共/私有云、邊緣計算平臺或基礎(chǔ)設(shè)施的每次連接都應(yīng)該是安全的零接觸事件。EdgeLock SE050提供從芯片到邊緣到云的端到端安全性，并保護用于與云服務(wù)提供商建立安全TLS鏈接的憑證。

在設(shè)備的生命周期內(nèi)，密鑰不會暴露給任何一方。使用TLS驗證時，EdgeLock SE050支持TLS 1.3版和使用對稱密鑰或臨時密鑰的預(yù)共享密鑰密碼套件。

EdgeLock SE050支持與云、邊緣計算平臺和基礎(chǔ)設(shè)施的安全零接觸連接

2

設(shè)備到設(shè)備驗證和證明

安全操作是指使用相互驗證來防止電子偽造并驗證原產(chǎn)地。在本文中，“設(shè)備到設(shè)備身份驗證”這個術(shù)語有點用詞不當，因為IP攝像頭通常連接到網(wǎng)關(guān)、數(shù)據(jù)集中器、云和服務(wù)器，而不是其他IP攝像頭。無論采用哪種方式， EdgeLock SE050都支持相互驗證，并以安全且可擴展的硬件信任根為后盾，有助于確保只有授權(quán)的設(shè)備才能訪問網(wǎng)絡(luò)。

驗證攝像頭數(shù)據(jù)的可信度后，EdgeLock SE050支持數(shù)據(jù)驗證，并且還可以用于安全推導(dǎo)對要傳輸?shù)臄?shù)據(jù)進行加密的加密密鑰。

如果懷疑原產(chǎn)地或擔心供應(yīng)鏈中的篡改，EdgeLock SE050可用于提供設(shè)備原產(chǎn)地證明。驗證簽名隨機數(shù)來證明其可靠性，并使用證書將公鑰與其相應(yīng)的私鑰所有者綁定。EdgeLock SE050還提供物理保護，防止側(cè)信道攻擊和私鑰篡改。

EdgeLock SE050支持相互驗證，以防止偽造，并驗證原產(chǎn)地

3

后期參數(shù)配置

在IP攝像頭出廠之前，制造商可能希望設(shè)置配置參數(shù)，以定制攝像頭的操作，使其適合在指定區(qū)域或用例中使用，或適合特定客戶。理想情況下，使用NFC電話或免接觸式讀取器來修改設(shè)置，無需為攝像頭供電甚至無需將其從包裝中取出即可完成。

為了防止未經(jīng)授權(quán)修改參數(shù)，EdgeLock SE05x不同版本集成了ISO/IEC 14443接口，用于NFC。確保NFC安全連接后，智能手機或免接觸式讀取器可以安全地配置IP攝像頭、安裝特定的設(shè)置或加載數(shù)據(jù)。NFC讀取器將信息寫入EdgeLock SE05x的共享文件系統(tǒng)，主機讀取該信息并在共享文件系統(tǒng)寫入響應(yīng)。

EdgeLock SE050通過集成的ISO/IEC14443接口支持后期參數(shù)配置

4

Wi-Fi憑證保護

IP攝像頭需要安全地訪問網(wǎng)絡(luò)，而且在許多情況下，連接將通過WLAN或Wi-Fi路由器進行。EdgeLock SE050在允許使用WLAN或Wi-Fi連接之前，保護用于驗證設(shè)備的Wi-Fi憑證。EdgeLock SE05x不同版本支持WPA2-PSK (PBKDF2) 和WPA2-EAP-TLS安全協(xié)議，因此它們保護WPA2密碼或密鑰，并生成用于連接Wi-Fi路由器的Wi-Fi會話密鑰。

EdgeLock SE050支持與Wi-Fi路由器的安全連接

符合Matter標準的操作

對于在智能家居環(huán)境運行的IP攝像頭，新的Matter規(guī)范提供了許多好處，包括互操作性和易于安裝，以及高級保護和隱私保護。安全是Matter標準的核心。

恩智浦開發(fā)平臺搭載專用的EdgeLock安全芯片和安全身份驗證，提供完整的一站式Matter標準安全解決方案。這類即插即信任的安全組件可與任何使用標準I2C接口的處理器相連，負責向設(shè)備提供Matter認證密鑰和證書，同時執(zhí)行Matter驗證協(xié)議的硬件加速。這樣，OEM可以簡化和加速制造，并符合Matter安全規(guī)范。特別是在生成和配置認證調(diào)試證書，以及與Matter生態(tài)體系相關(guān)的安全物流等方面。

除此之外，OEM還可以進一步使用恩智浦的EdgeLock安全芯片和安全身份驗證 (均已通過Common Criteria認證)，保護用戶數(shù)據(jù)、用戶隱私和設(shè)備完整性，并確保多個云服務(wù)的安全連接 (包括軟件更新服務(wù)器)。

FIPS 140-2認證網(wǎng)絡(luò)安全

FIPS標準正式名稱為聯(lián)邦信息處理標準，由美國國家標準與技術(shù)研究院 (NIST) 制定和維護，并由美國政府實施以規(guī)范信息技術(shù)和計算機安全。FIPS合規(guī)性是美國和加拿大各政府部門和各機構(gòu)認證所使用產(chǎn)品的一項要求。此外，由于FIPS標準的先進性得到廣泛認可，所以私營部門把遵守FIPS標準作為采購指南。

堅持采用符合FIPS標準的解決方案，讓在物聯(lián)網(wǎng)中運營的用戶能夠確信他們的設(shè)置可互操作并且安全。因此，許多物聯(lián)網(wǎng)供應(yīng)商 (包括沒有與美國或加拿大政府直接合作的供應(yīng)商) 正在努力獲得FIPS合規(guī)。他們將認證整個物聯(lián)網(wǎng)設(shè)備組，或者在更多情況下，選擇符合認證的設(shè)計模塊。EdgeLock SE050加密模塊提供FIPS。該模塊是FIPS 140-2就緒型認證平臺，操作系統(tǒng)和應(yīng)用的安全級別為3，硬件的物理安全級別為4。

實際范例

恩智浦EdgeLock SE050F不同版本使用i-PRO (前身為Panasonic i-PRO Sensing Solutions) 的最新多傳感器攝像頭進行安全云注冊和認證，該產(chǎn)品是智能監(jiān)控、公共功能安全和工業(yè)/醫(yī)療成像領(lǐng)域先進傳感技術(shù)的全球領(lǐng)先產(chǎn)品。

EdgeLock SE050F提供經(jīng)認證的保護，增強的公共標準EAL 6+和FIPS 140-2級別3(硬件安全級別為4)認證，并提供針對最新攻擊情形的強大保護。

為實現(xiàn)安全的云注冊，EdgeLock SE050F將i-PRO攝像頭無縫連接到云，然后保護和加密數(shù)據(jù)，再通過云連接安全地傳輸數(shù)據(jù)。在認證上，EdgeLock SE050F驗證視頻流的完整性，確認i-PRO的圖像真實無篡改。

“EdgeLock SE050F為我們提供了一種簡單、方便的方法，為i-PRO的新S系列(標準型號)和X系列(超普通型號)關(guān)鍵攝像頭添加高級保護。這節(jié)省了我們在設(shè)計周期的時間和精力，但也幫助我們提供了高品質(zhì)，讓客戶信任我們的產(chǎn)品?！?/p>

——Norio Hitsuishi

i-PRO副總裁兼全球網(wǎng)絡(luò)安全產(chǎn)品主管

IP攝像頭可能是物聯(lián)網(wǎng)中最易受攻擊的設(shè)備之一，但如果在設(shè)計中添加EdgeLock SE050 ，可能會將存在嚴重安全風險的設(shè)備轉(zhuǎn)變?yōu)榭煽康囊曨l監(jiān)控資產(chǎn)。

本文作者

Antje Schuetz憑借在半導(dǎo)體市場超過20年的經(jīng)驗，利用對安全和大眾市場的了解，將恩智浦安全元件解決方案推向工業(yè)和智慧城市市場。

本文作者

Giuseppe Guagliardo是恩智浦半導(dǎo)體公司的產(chǎn)品經(jīng)理。作為物聯(lián)網(wǎng)安全團隊的一部分，他正推動恩智浦為IoT產(chǎn)品提供的安全芯片的發(fā)展，使安全性更易獲得。他與物聯(lián)網(wǎng)和工業(yè)客戶合作，支持他們了解安全威脅并實現(xiàn)安全的物聯(lián)網(wǎng)解決方案。Giuseppe在系統(tǒng)工程領(lǐng)域擁有豐富的經(jīng)驗，主要研究物聯(lián)網(wǎng)、邊緣和云架構(gòu)。