云计算中的物联网关键技术.ppt

云计算为用户使用网络提供来无限多都可能。,物联网发展趋势,物理世界感知是物联网建设的基础。,大量独立建设的单一物联网应用是物联网建设的起点与基本元素。,众多单一物联网应用的深度互联和跨域协作是物联网建设的目标。,云计算发展趋势,现阶段,价值初步体现,典型应用,5-10,年后,价值体现,行业云应用,局部自动互联,愿景,广泛互联,跨域合作,泛在共享,物联网与云计算关系,物联网与云计算的结合应用势在必行。,物联网的大规模发展离不开云计算平台的支撑，而云计算平台的完善与大规模的应用需要物联网的发展为其提供最大的用户。,基于云计算的物联网安全研究将为物联网与云计算的发展提供最可靠的保障，也是物联网与云计算蓬勃发展的必要条件。,目录,物,联网与云计算,01,基于云计算的物联网环境,02,基于云计算的物联网安全,03,目前我们的研究工作,04,云基础设施,云计算平台的体系架构,云平台,云应用,云基础设施通过物理资源虚拟化技术，使得平台上运行的不同行业应用以及同一行业应用的不同客户间的资源（存储、,CPU,等）实现共享。,云平台是物联网运营平台的核心，实现了网络节点的配置和控制、信息的采集和计算功能，对海量数据的分析处理，以满足大数据量且实时性要求非常高的数据处理要求。,云应用作为物联网运营平台的一部分，实现行业应用的业务流程，在技术上通过应用虚拟化技术，实现多租户，让一个物联网行业应用的多个不同租户共享存储、计算能力等资源。,物联网与云计算结合方式（,1,）,单中心，多终端,这种方式的云中心大部分由私有云构成，可提供统一的界面，具备海量存储能力与分级管理功能。,VAE,基于,NGIN,平台,IMS,Mobile Network,网关,管,端,物联网,互联网,通信网,政府,交通,金融,政府,企业,大企业云,中小企业云,城市数据中心云,eCity,IDC,传感器及传感网络,物联网与云计算结合方式（,2,）,多中心，大量终端,这种方式的云中心由共有云和私有云构成，并且二者可以实现互联。,物联网与云计算结合方式（,3,）,信息应用分层处理，海量终端,这种方式的云中心同样由共有云和私有云构成，它的特点是用户的范围广、信息及数据种类多、安全性能高。,基于云计算的物联网可信环境（,1,）,云计算技术的重要特点,结合了分布式处理、并行处理和网格计算的优势。,云计算技术将存储在分布式计算机产品中的大量数据和处理器资源整合在一起协同工作，使相关的计算分布在大量的分布式计算机上。,超强的计算能力。,通过一定的协调调度策略，云计算模式可以通过数万乃至百万的普通计算机之间的联合来提供超强的、可以与超级计算机相抗衡的计算能力,。,基于云计算的物联网可信环境（,2,）,TRE,（可信环境）需要保证：,一个可信执行环境,一个具备隐私保护的存储环境,能够抵御外界攻击,至少支持一种认证算法,云计算技术关键特点,结合了分布式处理、并行处理和网格计算的优势。,超强计算能力。,运用云计算技术特点搭建物联网可信环境是我们的研究工作之一。,目录,物,联网与云计算,01,基于云计算的物联网环境,02,基于云计算的物联网安全,03,目前我们的研究工作,04,基于云计算的物联网安全需求（,1,）,3G,互联网将形成巨大的信息安全防护需求。,云计算将带来巨额信息化安全投资。,三网融合建设将催化信息化安全需求。,物联网的信息安全投入将给国内信息安全解决服务厂商带来巨大商机。,基于云计算的物联网安全需求（,2,）,感知层,网络层,应用层,物联网面临的信息安全挑战,拥塞攻击、碰撞攻击、物理破坏,耗尽攻击、丢弃和贪婪破坏、非公平竞争,汇聚节点攻击,方向误导攻击,黑洞攻击,洪泛攻击,失步攻击,智能变为低能,自动变为失控,非法人为干预（内部攻击）,设备（特别是移动设备）的丢失,隐私数据的窃取,基于云计算的数据安全研究,数据安全存储,数据安全传输,数据安全研究,同态加密,密钥集中管理,云计算服务端环境可信,在线备份系统,数据在线备份服务系统（,1,）,数据在线备份服务系统面临三大要求,既要,兼容,不同感知层应用的异构数据平台，又要满足云计算存储设备的,高扩展性,和海量数据存储的组织形式。,既要考虑网络,传输效率,，又要保证数据的,安全性,。,既要满足系统在大量物联网应用实体,并发访问,时的服务能力，又要进行,服务质量,的主动控制。,数据在线备份服务系统（,2,）,需求解决方案,按照云计算的思想，系统的拓扑结构包括三个层次的备份云,:,广域,(,公共,),云,区域云及本地,(,私有,),云。按照就近服务原则，完成新注册用户的调度分配。,从软件架构的角度，都包括备份客户端、调度服务器和存储服务器三个子系统。,三个子系统除了执行双向安全认证，由调度服务器完成作业调度，建立备份客户端与存储服务器之间的联系。,系统必须设置多台介质服务器，以满足系统扩展性方面的要求。,数据同态加密研究,同态加密的思想起源于私密同态,(privacy homomorphism),，它允许在不知道解密函数的前提下对加密数据进行计算Sander,和,Tschudin,定义了整数环上的加法、乘法同态加密机制,加法、乘法同态确保两个变量加密后的计算结果与加密前的计算结果相同。,IBM,研究人员,Craig Gentry,已研究出一种,完全同态加密,方案，该方案将能够加强云计算的商业模式,(,当供应商负责托管客户重要数据时,),，这样就可以让客户在自己的客户端请求来对数据执行计算而不会暴露原始数据。,基于云计算平台的物联网数据同态加密研究,同态加密应用于物联网的优势,物联网感知数据的大小一般都限定在一定的数量级范围内，数据类型也大部分限定在整数环中，而基础的整数环智能光的加法和乘法同态、混合乘法同态加密已十分成熟，因此大部分的物联网应用可以使用以上三种同态算法完成，不需要依赖于完全同态算法。,使用同态加密的技术难点,提出一种适用于云计算平台的同态加密机制。,研究物联网传感器感应数据的格式，并设计统一数据接口，将感应数据归一化到整数域内。,对同态加密数据常用处理（如平均值、级差、方差、标准差及数据挖掘等）建立标准库。,设计基于云计算平台的同态加密授权策略。,目录,物,联网与云计算,01,基于云计算的物联网环境,02,基于云计算的物联网安全,03,目前我们的研究工作,04,目前我们的研究工作,基于云计算的数据挖掘算法研究与实现,构建云计算平台,数据挖掘算法的并行算法研究与实现,用户聚类和用户个性化推荐的分布式应用的构建和实现,基于云计算的物联网关键技术研究,相关国际组织的工作和进展,构建基于物联网的可信环境,研究基于等级划分的物联网网关接入安全策略,终端编码与寻址研究,物联网接入网关轻量级关键技术研究,轻量级物联网安全技术,轻量级,IPV6,编码寻址技术,基于云计算的数据挖掘算法研究与实现,Linux,环境下的云计算平台,Hadoop,平台,分布式文件系统,HDFS,并行算法,MapReduce,访问模式,并行计算思想,Master/slave,架构,层次式文件系统技术,Mapper,类和接口,Reduce,类和接口,简单高效的数据加载（导入）工具,数据挖掘算法的并行算法研究与实现,关联规则,分类与预测爬虫,协同过滤,基本算法,网页解析,聚类,对每一类数据挖掘算法进行,MapReduce,改造。,对该算法的每个,MapReduce,过程，定义具体的实现。,在,Hadoop,平台下进行编码。,对实现的数据挖掘并行算法进行测试。,用户聚类和用户个性化推荐的分布式应用构建,应用业务理解，对应用业务问题的界定，以及内外部资源的评估和组织；,针对具体应用，进行数据理解，完成应用需要的数据的确定并综合采用爬虫、网页解析、分词等技术获取所需要的数据；,对获取的数据进行处理，如数据整合、数据重构、数据格式化、数据的量化处理等；,选择合适的独立性变量，建立分类模型，并应用不同的分类数据挖掘算法对用户进行分群根据聚类的结果，进行合理的业务解释，在对模型进行评估后，针对具体的用户群，制定合适的个性化推荐方案并实现个性化方案的用户推荐。,应用构建路线,数据挖掘的意义,通过公有云或私有云的方式由不同渠道汇集信息数据,捕获,处理,建模,估算,汇总,云中心,物联网产业涉及行业众多，数据量巨大，高效的数据挖掘能够为物联网应用企业提供智能化的信息策略。通过云中心对海量信息库的智能数据挖掘，进行企业运营状况，客户价值和物流等信息分析为企业规避商业风险，提供新的利益增长点。,相关国际组织的工作和进展,物联网相关的主要国际标准组织,ETSI,3GPP,IETF,主要标准物联网全套业务解决方案和嵌入式,SIM,卡,主要标准包括,ETSI M2M TC,ETSI ETC,等,主要标准化物联网与电信网的联系,主要标准包括,3GPP TS 22.368;3GPP TR 23.888,等,CCSA,主要标准化网络层与传输层,主要标准包括,6LowPAN,ROLL,CoAP,等,主要标准化业务平台，业务应用以及感知层延伸,主要标准包括,M2M,总体解决方案，智能家居，绿色街区等,与安全和寻址相关的物联网标准工作,ETSI,ETSI,较为全面和详细的分析了网关认证授权、数据机密性与完整性、终端设备完整性等安全需求。,ETSI,标准中,对终端的寻址功能提出了灵活寻址的需求，基于网关可达和终端可达两个方向将可达性、寻址与存储作为一个整体功能进行描述。,3GPP,3GPP,标准组织主要致力于建立安全架构方面，其提出的,TRE,环境架构可做为,ETSI,具体安全技术实施的,“,容器,”,。,3GPP,定义了编码寻址技术，分析评估指出使用,IP,进行寻址相对于使用,IMSI,和,MSISDN,编码寻址而言，有明显的优势,。,基于可信环境的物联网网关安全（,1,）,四步构建基于物联网的可信环境,调研现有物联网的基础通信手段，归纳其目前存在或将来可能产生的攻击手段或安全问题。,针对基于云计算的物联网应用，对于伪造攻击或,Dos,入侵等行为，构建特征行为库。,研究基于云计算技术的物联网中，行为识别库的合理存储以及在云计算平台下相应的行为匹配算法。,针对物联网的具体应用，在云计算网络下设计相应的日志管理、行为追踪、行为审查、恶意行为告警、恶意行为阻挡等相关方案。,基于可信环境的物联网网关安全（,2,）,GRAR:,网关可达寻址存储模块,GGC:,网关通用通信模块,GSEC:,网关安全功能模块,GREM:,网关远程实体管理功能模块,物联网网关安全接入研究涉及网络实体的认证，授权和状态更新三个过程。研究,目的在于保证物联网网关的完整可靠接入，从而保证物联网的可靠性，可管理性，构建一个可信任的安全执行环境和信任平台（,TrE,），并达到电信级的安全性、稳定性。,网关安全模块结构图,物联网终端编码与寻址（,1,）,3GPP TR 23.888,针对,IP,寻址编码机制,要求,可扩展的,最小化用户的配置量,最小化消息通信量,最小化无线传输,最小化用户层面的延迟,最小化其安全威胁,物联网终端编码与寻址（,2,）,基于,MSISDN(CC+NDC+SN,，,CC=Country Code,，,NDC=National Destination Code,，,SN=Subscriber Number),的寻址方式，目前一些已有应用已经使用了一部分,MSISDN,编码，所以供物联网使用的实际编码数量受限，无法满足大规模应用。,基于,IMSI(International Mobile Subscriber Identity),的寻址方式，由于其连通性有限，目前还无法满足实际寻址需求,基于,IPv4,或,IPv6,的寻址方式，这种方式几乎能提供取之不尽的寻址空间，,可实施性最高,。,三种寻址方式比较,物联网终端编码与寻址（,3,）,IPV4,？,IPV6?,IPV6,是未来物联网发展的必然，但目前使用,IPV4,更为实际,IPV4,地址受限，私有,IP,无法被正确路由,IP,地址过长，不容易记忆,利用,NATTTT,完成物联网私有,IP,地址至公有,IP,网络的映射,通过域名对海量物联网终端设备进行标识,物联网接入网关轻量级关键技术研究,轻量级物联网安全技术,结合,IEEE802.15.4,6LowPAN,和Zigbee,标准中的安全机制研究，提出一种适用于物联网的轻量级安全方案。,轻量级,IPV6,编码寻址技术,结合,IETF 6LoWPAN,、,IPSO,的研究成果对物联网终端编码和寻址技术进行研究，提出一套基于轻量级,IPV6,的编码寻址技术，实现接入网关中轻量级,IPV6,与,IPV6,协议之间的协议转换。,主要研究内容,考虑到物联网应用对安全的敏感度具备多样性，从等级划分这个特点出发，研究不同安全等级的判定与配置,以互联网网络安全攻击为基础构建物联网攻击模型,以物联网实际应用为前提构建物联网拓扑模型，,在以上,2,个模型的基础上构建基于等级划分的物联网安全模型。,基于等级划分的物联网网关接入安全,物联网快速发展的同时，安全问题成为制约物联网应用发展的瓶颈。,不同物联网应用的安全敏感度不同，为其,“,量身定制,”,安全策略能有效减少配置的冗余与多余能量的消耗。,物联网发展刚刚起步，对物联网标准的制定还处于探索阶段。,研究思路,研究需求,研究需求,研究思路,物联网安全相关研究,针对概念,针对协议,针对终端,概括性分析物联网各逻辑层可能面临的安全问题以及能够采取的对应安全措施，不涉及物联网安全的核心技术。,这类研究大多基于已有的传输协议进行开发，无法避免协议本身的缺点，同时也未能涉及到不同安全敏感度应用的安全判定与配置。,此类研究大多针对射频标签和阅读器间的安全策略，相对物联网整体来说，这部分研究只涉及到物联网前端的无线传感网安全部分。,我们的工作,提出一个基于等级划分的物联网安全模型。,提出了物联网拓扑子模型和物联网攻击子模型架构。,利用模糊评价模型和简易的三估计法判定物联网应用安全等级。,在研究国内外物联网安全技术发展的基础上：,模型相关定义,定义,1,应用系统管理员,指维护应用系统安全、为应用系统用户分配资源的主体。其自身的专业水平决定了其本身的安全等级。本文中其安全等级由高到低依次为：,4,，,3,，,2,，,1,。,定义,2,维护数据单元,指,ASA,在对应于系统的日常维护工作中涉及到的数据对象，包括安全检测时隔、故障维护延迟和数据备份间隔等。,定义,3,应用系统硬件设备,指该物联网应用的构建与实施过程中所需要的硬件设备，此对象包括硬件设备数量、硬件安全等级等。,定义,4,应用涉及范围,指该应用所涉及覆盖的物理和逻辑范围，包括网络覆盖范围、所涉及的人群类别。,定义,5,应用类型,指具体此物联网应用所属行业。,定义,6,敏感数据单元,指该物联网应用中可能涉及的敏感数据，包括数据量比率、数据影响度。,基于等级划分的物联网安全模型,物联网拓扑子模型,物联网攻击子模型,五大判定元素,等级判定机制,物联网拓扑子模型,TSM-IOT I,：广域或局域网,基站,分网,汇聚节点,感知节点；,TSM-IOT II,：远程客户端,(,移动通信网,),互联网,基 站,汇聚节点,(,簇首,),感知节点；,TSM-IOT III,：远程客户端,(,移动通信网,),互联网,物联网网关,物联网终端,(,标签,),。,物联网攻击子模型,逻辑层,攻击类型,物理层,拥塞攻击、物理破坏、节点复制攻击,数据链路层,碰撞攻击、非公平竞争、耗尽攻击,攻击种类,描述,IP,碎片攻击,修改或重构报文中的分片或重组，从而引起意外重组、重组溢出、重组乱序等问题,选择性传递攻击,恶意节点随机选择或者选择性丢弃含有重要信息的数据包，从而破坏路由协议,Sybil,攻击,恶意节点伪造身份或俘获合法节点从而获取数据,污水池攻击,提供虚假高质量路由信息从而破坏路由负载均衡,虫洞攻击,利用虫洞产生污水池，再进行选择性转发或者改变数据包的内容,虚假路由信息,攻击者通过提供虚假的路由信息，造成资源浪费、改变路由路径或者造成回路,跨异构网络的网络攻击,攻击异构网络的信息交换过程,表,2,网络层攻击类型,表,1,感知层攻击类型,判定元素及判定原则,判定元素,判定原则,元素,1(ASA),：应用系统管理人员水平。,元素,2(MDU),：应用系统安全维护。,元素,3(SH),：应用系统硬件水平。,元素,4(TI),：网络拓扑影响度。,元素,5(AI),：攻击强度预测。,管理人员专业水平越高，应用系统安全度越高。,应用系统维护情况越良好，该应用安全度越高。,应用系统硬件安全水平越高，该应用安全度越高。网络拓扑影响安全能力越低，该应用安全度越高。,攻击预测越详细，该应用安全度越高。,安全等级判定方法（,1,）,应用安全等级判定方法步骤如下：,安全等级判定方法（,2,）,模型的应用,根据以上模型，可以对某大学智慧校园应用的安全等级进行如下分析与判定：,对智慧校园的维护情况、系统管理员专业水平情况、网络覆盖范围、涉及的学生人数、教师人数、食堂、图书馆和校园商店的使用情况、涉及存储的数据单元以及硬件配置情况进行了解和核查。,根据搜集到的信息，分析学校智慧校园网络的拓扑模型。,根据应用环境，分析该系统和网络可能受到的攻击行为。,根据模糊评价模型判定此智慧校园应用的安全应用等级，为其配置合理的安全技术策略。,6LoWPAN,网络架构,协议转换,地址配置,管理域内节点,轻量级,IPv6,网络,IPv6,网络,6LoWPAN,网络协议栈,普通节点,路由节点,边界路由,6LoWPAN,节点单片仿真,使用,MSP430 x1611,芯片进行单片仿真,使用,gcc,编译,6LoWPAN,节点,包含了一个完整的,6LoWPAN,协议栈,6LoWPAN,网络自组织,邻居发现机制,是,IPv6,的一个关键特征，处理,IPv6,链路上节点自组织以及维护。,基本的,IPv6,邻居发现协议,RFC4816,并,不适用,于,6LoWPAN,。,6LoWPAN,工作组为低功耗无线网络和,6LoWPAN,特别制定了6LoWPAN,邻居发现协议（,6LoWPAN-ND,），定义了网络自动配置以及主机、路由和边界路由之间的交互机制，完成了,LoWPAN,域内各节点的注册与地址分配。,每个,LoWPAN,域的节点注册表由相应,边界路由,保存，简化了,IPv6,操作,也减少了组播信息流的数量。,6LoWPAN,网络路由,RPL,路由协议,距离向量路由,使用路径,度量,给每条链路都赋以开销值。当数据包从节点,A,发送至节点,B,时，选择最低开销的一条路径。每个路由器中的路由表保存了其所知道的所有目的节点的软状态路径入口及其相关路径开销,。,三种数据,通信模式,：,P2P,、,P2MP,、,MP2P,支持,动态变化,的网络拓扑,支持,三种级别,的安全协议,6LoWPAN,网络自组织及路由仿真,6LoWPANIPv6,首部压缩技术,一方面,802.15.4,物理层支持的最大帧长度是,127,字节,，而,IPv6,的报头就占据了,40,字节,，再加上,MAC,层报头，安全报头、传输层报头的长度，实际能够给应用层使用报文长度变得,非常小,。,另一方面，,IPv6,协议（,RFC2460,）中规定的,MTU,值最小是,1280,字节,，如果链路层支持的,MTU,小于此值，则链路层需要自己负责,分片和重组。,所以，,6LowPan,工作组为,IEEE 802.15.4,设计了一个,适配层,，把,IPv6,数据包适配到,IEEE 802.15.4,规定的物理层和链路层之上，支持报文分片和重组，同时,6LowPan,规定了,IPv6,报头的,无状态压缩方法,，减小,IPv6,协议带来的负荷。,IPv6,数据包压缩与解压,总结,千里之行，始于远方，亦始于足下。,千里之行,：物联网与云计算技术相结合的发展模式目前还是研究工作者的愿景。,始于远方,：目前对于物联网的建设者来说，发展行业应用的同时要避免,“,孤岛,”,的形成，难以建成未来互联互通的智能物联网络。,始于足下,：在具体研究过程中，同时避免过早建立庞大和理想化的架构体系，注重对信息基础设施的设计与优化，增强物联网基础的安全性与健壮性。,