林敏 张晓东

（中国联合网络通信有限公司广东省分公司，广东广州 510627）

0.引言

当前国内物联网通过将手机信息中的传感器、执行器等多种位于手机终端的虚拟物体或者物联网终端设备，直接相互接入互联网中而逐渐发展形成了“万物互联”的安全技术网络，极大地拓宽了当前国内互联网的安全技术应用边界。但国内物联网安全市场发展规模庞大，终端的虚拟物体安全技术性能良莠不一，包含很多新的安全相关技术应用问题，比如对合法身份的验证。一旦遇到黑客绕过身份认证或者仿冒身份认证，轻松进入组织或企业内网进行横向破坏，必将会引起严重的后果。而过往的做法是把身份标识或电子证书存放于物联网设备主控MCU侧。基于合规要求，随着现在通信模组性能越来越高，考虑到普适性和推广性以及安全问题，把身份标识或电子证书的存放和数据加解密操作从物联网设备主控MCU侧解耦出来显得更合理。我国现代移动物联网安全技术是在把握现代移动互联网网络信息安全技术重大发展趋势基础上，逐步推进延伸和不断改进扩展的一种现代化网络安全管理技术。由于现代网络安全可以覆盖到任何一种个人、机构和系统的广大应用范围，安全性已经发展成为任何一个现代化物联网系统重要组成的一部分以及健康发展的关键。所以便于推广的可信身份认证技术问题不仅是当前国内物联网安全技术快速发展中极为关键的一部分，也已经逐渐成为国内外广大学术界、产业界共同努力研究的一个技术重点。本文针对基于通信模组实现物联网可信身份认证提出了相关的解决策略。

1.通信模组的物联网背景

无线通信模块也称无线通信模组，简单来说就是芯片软件的组合。它是物联网中的通信基础，可以作为不同物联网终端设备接入物联网的入口，为终端设备提供网络信息传输能力。

物理信息网络中的边界曾经也被认为网络是可信物理信息网络和不可信物理信息网络之间的有效相互不可分割。这些企业系统防火墙通常都会作为部署于可信信息网络的一个物理世界边缘，基于一种新的静态网络管理策略并且被用来有效地限制网络上的网络流量。那些位于企业系统防火墙内部的网络连接用户，通常也都会被这些企业系统授予较高的网络可靠和信任安全防护等级并且被用来有效禁止他们访问其他企业的敏感资源和网络数据资源，因为他们被这些企业系统默认地确认为网络是可信的。

然而随着5G网络的普及、移动云计算、移动人工互联、物联网、人工智能等新一代技术的快速发展，为我国信息化技术行业的快速发展转型提供了更加广阔的发展空间，国内外不安全因素相互传导、演变的趋势更加明显，严重威胁国家安全以及企事业单位信息网络安全。传统的边界防护模式已经到了能力天花板，仅靠简单的产品堆叠已经无法防御以创新驱动的攻击模式。传统的边界防护模式对逐渐兴起的服务云化、办公移动化等场景的防护力不从心。攻击者以创新方式为驱动，成功绕过或规避业界的最佳安全实践和业界流行的安全控制，而企业传统的防护者更多采用成熟的安全技术来防止攻击者进入，结果防护者总是落在攻击者后面。采取的措施和手段更倾向于事后发现和弥补。

2.通信模组概念

通信模组全称是“无线蜂窝通信模组”，是在电路板上集成存储器、基带芯片，并提供标准的接口模块，使各种终端设备能借助该无线模块实现网络通信。因此，通信模组是实现数据传输的工具，是物联网终端设备的核心组件之一。通信模组位于物联网的网络层，同时与感知层交互，模组的下游是物联网终端设备，准确来说通信模组是跟设备主控MCU进行通讯的。一般来说，模组作为核心组件，为SIM卡与物联网设备之间提供传输通讯功能。通信模组与设备主控MCU的通讯流程如下[1]：

2.1 获取设备基本信息

通讯模块上电后，将向MCU查询设备信息。（1）通讯模块 >>> MCU；（2）MCU回复： MCU >>> 通讯模块。

2.2 通讯模组向MCU发送业务指令

业务指令一般为控制指令，如开关设备、设置模式、设置温度、请求状态等。（1）通讯模组 >>> MCU；（2）MCU回复：MCU >>> 通讯模组。

2.3 MCU向通讯模组发送业务指令

应用场景一般为故障上报、开关状态/模式等通过其他方式如红外遥控、产品集成的功能按键改变之后，主动上报给通讯模组。（1）MCU >>> 通讯模组；（2）通讯模组回复：通讯模组 >>> MCU。

相对通信芯片，模组需要根据电子元器件工业标准针对芯片和各种软硬件进行重新设计与集成。同时具有可定制化的特点，可以根据客户需求和业务需要满足不同客户和应用场景。随着5G网络的普及，通信模组厂家跟进5G物联网的布局，发布了5G通信模组，可支持NSA和SA网络架构，支持5G NR Sub6、FDD-LTE、TDD-LTE、WCDM多种制式的远距离通讯模式。可支持3GPP Release15，比如存放身份标识，数据加解密。基于以上因素，通信芯片厂商无法更细分化的去满足不通客户的需求，所以通信模组的提供定制化封装服务就有用武之地。

3.可信身份概念

网络可信身份认证技术是信息安全的核心手段，主要功能是验证网络业务系统中的合法用户身份和真实用户身份。类似于现实生活中不管是介绍信还是身份证，熟人推荐等都是一种对于身份合法真实的确认。在互联网中不能缺少合法身份认证系统一旦缺失，社会秩序就会被打破。随着可信身份重要性的不断提升，其已成为互联网的重要组成部分。鉴于互联网虚拟社区中，海量的身份信息数据，通过清洗分析，会产生巨大的商业价值。在利益的驱动下，黑、灰色产业链早已虎视眈眈，黑客的入侵盗取，包括一些企业的内部人员非法操作，以及业务应用不注重用户隐私和体验的设计，都会导致海量用户信息外泄。从产业规模来看，2019年底我国网络电子认证市场达到295.8亿元规模，但是相应的黑、灰色产业链规模却已超千亿元。这时构建出一套可信身份体系，作为各种业务场景下的网络安全互补手段，显然已成为我国网络空间安全发展的一个重要基础。电子认证服务作为可信身份的实践之一，其包括电子签名者身份的真实性认证、电子签名过程的安全性认证和电子数据完整性认证3个部分。其产品涉及的主要技术为PKI（公钥基础设施），属于国家商用密码领域中的一种。

4.零信任技术的概念

为什么要引进零信任技术？网络空间从传统的网络边界发展到了无界化、移动化、动态化、实时性以及信息多样性等给我国网络安全发展带来了新的技术挑战，工信部也在国内首次提出确定零条件信任技术为安全创新的关键技术。零条件信任技术是一种安全创新理念，强调“永不信任，始终验证”。所有人/物/端/网/信息/供应链均需认证授权（动态安全策略），是可信身份实现的有效方式。管控信息风险，如零售业信任管理模式旨在强化各类数字信息资产的风险发现，要求对相关企业的任何产品应用与提供服务等各类数字信息资产都必须进行信息识别并及时给予真实身份。其核心价值体现如下：

（1）降低网络成本：零信任将安全保护网络资源的主要目标完全聚焦转移到系统负载与网络数据，通过网络策略与安全控制层来排除不需要直接访问保护资源的网络用户、设备与网络应用，使得网络恶意攻击行为减少并受到成本限制，缩小被动的攻击面，大大降低了网络安全事件的发生数量。

（2）业务敏捷：即使公司员工与其他企业及其合作伙伴之间随时可以在手机移动端和互联网上随时随地、无缝直连各种大型公司企业内部应用，不必再担心需要通过整个公司企业应用管理网络关卡（如VPN）的方式进行各种静态数据实时检测，提升了公司企业合作用户实时处理各种大型业务的实时工作处理速度与敏捷性。

5.无证书认证的设计思路

CLA（Certificateless Authentication）作为无证书的可信身份认证实现方式之一，是一种融合自证公钥定位密码管理体制和无加密证书公钥定位密码管理体制的密钥密码生成和密钥密码使用管理机制，借鉴PKI/CA认证系统的密钥管理体系基础架构，构建的一种新型公钥密码基础配套设施。系统采用我国现有的SM2椭圆直角曲线公钥密码管理算法，不使用数字证书，不使用双线性对运算，兼具PKI/CA、IBC的优点。

生成短电子文件格式的数字签名管理应用验证数据中心验证工具包，适合于各种数字签名应用验证包的应用，而且在进行验签时不必再担心需要直接使用用户密钥验证即可。即使有管理数字验证数据中心的密钥验证支持，验签者仍然同样可以直接对数字签名验证应用数据进行用户密钥数据验证，极大地方便了数字签名者和接收者对数字签名的应用进行密钥验证。

建设工程成本低、计算运行效率高、占用网络资源少。可广泛用于对全国海量网络用户的身份密钥采集管理，满足大量小规模、大深度范围的基于云计算、物联网和以及移动智能互联网等大环境下的用户身份密码认证、数据安全防软件篡改、防软件抵赖等安全基础应用技术需求。为实现物联网场景下海量设备的可信身份认证提供坚实的基础。

6.零信任技术体系下基于通信模组实现物联网可信身份

通过上面介绍的通信模组和可信身份技术的现状与特点，结合物联网场景下数量巨大的物联网设备都需要身份标识和可信认证，为了减少网络带宽流量以及减少物联网终端设备存储空间的占用，传统的PKI体系身份认证技术采用公钥证书的方式，用证书机构（Certificate Authority，简称CA）的私钥对用户公钥证书进行签名，保证用户公钥的真实性。实际上是用证书机构为用户公钥真实性作为背书。而证书机构自己的公钥真实性，要么具有公信力，要么则由更上一层的机构乃至国家机构来担保，这会形成多层级CA结构。为了验证用户公钥的真实性至少需要2次验证签名甚至更多（比如多层级CA）。证书状态会动态改变。因此，CA需要在线维护证书的状态。另外，在线服务是PKI技术的特点和要求，同时也意味着，它不仅成本高，而且不适用于无法保证在线服务的场景。所以进化成基于身份标识的无证书身份认证显得极其重要。而零信任架构的网络安全接入技术正是集成了身份认证模块。结合通信模组可定制的特点，考虑到产品推广和普适性，在零信任架构产品中，基于高端通信模组自带开源Linux操作系统，具有性能高体积小等特点，支持卫星定位；处理器频率高达1.5G；内置16G DDR内存以及4G高速闪存；支持USB3.1超高速（SS）接口；数据传输率最大可达10Gbps。可根据业务需求提供USB或PCI-E接口。同时支持USIM和ESIM接口。把身份认证和数据加解密操作从物联网设备MCU侧前移到通信模组侧，从产业链中解耦出来，有利于后期业务的推广[2]。

7.结语

本文首先阐述了5G物联网现状，介绍了通信模组的发展情况、零信任架构技术以及现实情况对电子身份认证的基于身份标识的无证书认证提出了更高要求。将电子证书或身份标识以及算法存放到通信模组这样的独立芯片中，这种硬件物理安全控制特征设计可以有效保护密钥以及算法的安全，符合密码安全规范。结合新一代安全接入技术“零信任架构的网络安全接入管理技术”、新一代5G通信模组以及无证书身份认证技术设计出一套基于软硬件组合，上下游产业链组合的可信网络安全接入解决方案。