李 俊 柴海新

(国民认证科技(北京)有限公司 北京 100085)

(lijun@gmrz-bj.com)

1 问题与挑战

随着万物互联的物联网时代到来，大量物联网设备开始逐渐进入人们的日常工作和生活中，在带给人们便利的生产和生活体验的同时，也带来了严重的安全隐患.针对物联网的设备类型多样化、窄带宽、低时延、异构环境以及海量隐私信息等特点，传统身份认证方式已经不能满足需求.例如，账号口令是一种最常见的传统身份认证方式，由于物联网服务的多样化使得用户需要记忆的账号和口令的数量也大大增加，为了便于记忆和输入，使用弱口令的现象普遍发生.国际组织OWASP于2018年发布了IoT Top 10[1]，提出了在创建、配置和管理物联网系统时应避免的十大风险，其中，弱口令、易猜测以及硬编码的口令被列为首位.同时，传统身份认证体系还存在“孤岛”问题.物联网各种服务采用独立的认证方式用于各类认证场景(例如人脸识别、指纹识别、动态口令等)，不同认证方式的系统各自为政，类似于一个个“孤岛”，无法互操作，导致认证体系变得更为复杂、难以管理并且部署成本高.此外，集中式管理用户凭证也存在安全风险.用户凭证(口令、生物特征模板等)集中存储在服务端，一旦服务端遭受攻击，所有用户凭证都存在泄露的风险，容易形成大规模的攻击威胁，而且也容易形成功能和性能瓶颈.还有一个问题特别需要注意，用户的隐私信息也存在被滥用的风险.用户的个人敏感信……