當(dāng)今物聯(lián)網(wǎng)環(huán)境中的一個(gè)持續(xù)挑戰(zhàn)是網(wǎng)絡(luò)管理員識(shí)別連接的設(shè)備及其全部功能所需的網(wǎng)絡(luò)訪問的能力。雖然知識(shí)淵博的管理員可以為每個(gè)物聯(lián)網(wǎng)設(shè)備（或設(shè)備類別）創(chuàng)建特定的訪問規(guī)則，但對(duì)于普通家庭或小型企業(yè)用戶來說，這幾乎是不可能的。物聯(lián)網(wǎng)設(shè)備可以為其所有者提供重要的好處和功能，但對(duì)于普通家庭用戶來說，這往往是以危險(xiǎn)的不安全網(wǎng)絡(luò)為代價(jià)的。

有一個(gè)名為制造商使用描述規(guī)范（MUD）的IETF草案文檔旨在解決此問題。從文件草案的摘要中可以看出：

“MUD的目標(biāo)是為終端設(shè)備提供一種手段，向網(wǎng)絡(luò)發(fā)出信號(hào)，說明它們需要什么樣的訪問和網(wǎng)絡(luò)功能才能正常運(yùn)行。

讓我們回顧一下在家庭網(wǎng)絡(luò)中可能看到的基本 MUD 工作流程：

物聯(lián)網(wǎng)設(shè)備加入網(wǎng)絡(luò)并發(fā)出 MUD URL。

充當(dāng) MUD 管理器的家庭路由器轉(zhuǎn)到指示的 URL 并獲取 MUD 文件。

MUD 管理器處理 MUD 文件，并可以根據(jù)制造商在 MUD 文件中建議的訪問來創(chuàng)建訪問規(guī)則。

這太棒了！設(shè)備現(xiàn)在可以告訴家用路由器它是什么，以及在哪里可以找到有關(guān)它需要的網(wǎng)絡(luò)訪問的信息。這允許普通消費(fèi)者使用物聯(lián)網(wǎng)設(shè)備，同時(shí)保持更安全的網(wǎng)絡(luò)。即使這些物聯(lián)網(wǎng)設(shè)備以某種方式被不良行為者破壞，制造商維護(hù)的簽名MUD文件也不會(huì)改變。這可以防止被利用的設(shè)備在Internet上建立任何實(shí)際上不必要的連接，因?yàn)樵L問規(guī)則將保持不變。雖然這并不能取代制造商在發(fā)現(xiàn)漏洞時(shí)更新固件的需要，但它應(yīng)該有助于大大減輕任何影響，因?yàn)槁酚善鲗⒆柚乖糓UD文件中不允許的任何通信。

如果設(shè)備“撒謊”會(huì)發(fā)生什么？請(qǐng)記住，整個(gè)過程從設(shè)備發(fā)出準(zhǔn)確的 MUD URL 開始。草稿文檔提供了三種發(fā)出 MUD URL 的方法，而不將潛在的 MUD 實(shí)現(xiàn)限制為僅這些方法：

DHCP 選項(xiàng)

X.509 擴(kuò)展

有限責(zé)任公司擴(kuò)展

在草稿中指定的用于發(fā)出 MUD URL 的三個(gè)選項(xiàng)中，X.509 擴(kuò)展是最安全的。如果設(shè)備遭到入侵，則發(fā)出的 MUD URL 可能會(huì)針對(duì) DHCP 選項(xiàng)或 LLDP 擴(kuò)展進(jìn)行更改。當(dāng) MUD URL 指向惡意 MUD 文件時(shí)，訪問規(guī)則可能會(huì)被更改以允許惡意流量。如果設(shè)備使用的是 X.509 擴(kuò)展名，則制造商在創(chuàng)建 IDevID 時(shí)將 MUD URL 添加到證書中，或者在創(chuàng)建 LDevID 時(shí)由供應(yīng)鏈中的另一方添加到證書中。這意味著設(shè)備發(fā)出的 MUD URL 不應(yīng)是可更改的，即使該設(shè)備被利用也是如此。IDID 或 LDEVID 的生成意味著物聯(lián)網(wǎng)設(shè)備正在使用 IEEE 802.1AR 標(biāo)準(zhǔn)。

802.1AR 標(biāo)準(zhǔn)指定了一個(gè)以加密方式綁定到單個(gè)設(shè)備的唯一標(biāo)識(shí)符，以及用于驗(yàn)證設(shè)備標(biāo)識(shí)的機(jī)制。為了利用 802.1AR 標(biāo)準(zhǔn)，大多數(shù)設(shè)備使用受信任的平臺(tái)模塊 （TPM） 來存儲(chǔ)加密密鑰。對(duì)于 MUD URL，X.509 擴(kuò)展將添加到 IDEVID 或 LDevID 的證書中，該證書由設(shè)備制造商存儲(chǔ)在 TPM 上。這可確保在添加到網(wǎng)絡(luò)后受到威脅的任何設(shè)備都不能更改 MUD URL（因?yàn)闊o法更改 IDevID）。這給許多物聯(lián)網(wǎng)設(shè)備帶來了一個(gè)問題，因?yàn)榇嬖诠β?，空間或成本限制，使得添加TPM變得不可行。

以下是可信計(jì)算組中的設(shè)備標(biāo)識(shí)符組合引擎 （DICE） 體系結(jié)構(gòu)發(fā)揮作用的地方。DICE架構(gòu)旨在增強(qiáng)具有資源限制的設(shè)備的安全性;沒有 TPM 的 IoT 設(shè)備可以安全地存儲(chǔ)使用 IEEE 802.1AR 標(biāo)準(zhǔn)所需的加密密鑰。這將允許這些設(shè)備隨后使用 MUD 標(biāo)準(zhǔn)中的 X.509 擴(kuò)展來發(fā)出 MUD URL。

MUD標(biāo)準(zhǔn)可以幫助解決物聯(lián)網(wǎng)生態(tài)系統(tǒng)的許多安全問題，但它需要最終確定文件草案。然后，物聯(lián)網(wǎng)設(shè)備和路由器制造商都需要在其設(shè)備上添加對(duì)該標(biāo)準(zhǔn)的支持。盡管它不能解決物聯(lián)網(wǎng)生態(tài)系統(tǒng)中的所有安全問題，但MUD可以通過幫助在家用路由器上創(chuàng)建易于使用和鎖定的訪問列表來幫助提高普通家庭的安全性。

審核編輯：郭婷