物联网安全白皮书 （2018年） 中国信息通信研究院 中国移动信息安全管理与运行中心 2018年9月 版权声明 本白皮书版权属于中国信息通信研究院（工业和信息化部电信研究院），并受法律保护。转载、摘编或利用其它方式使用本白皮书文字或者观点的，应注明“来源：中国信息通信研究院（工业和信息化部电信研究院）”。违反上述声明者，本院将追究其相关法律责任。 前 言 自2005年国际电信联盟（ITU）正式提出“物联网”这一概念以来，物联网在全球范围内迅速获得认可，并成为信息产业革命第三次浪潮和第四次工业革命的核心支撑。物联网技术的发展创新，深刻改变着传统产业形态和社会生活方式，催生了大量新产品、新服务、新模式，引发了产业、经济和社会发展新浪潮。 与此同时，数以亿计的设备接入物联网，物联网产业规模不断壮大，针对用户隐私、基础网络环境的安全攻击不断增多，网络安全问题已成为限制物联网服务广泛部署的障碍之一。 为促进物联网及其生态系统的健康发展，控制物联网面临的安全风险，我院与中国移动通信集团有限公司信息安全管理与运行中心牵头，联合中移物联网有限公司联合、360企业安全集团、北京神州绿盟科技有限公司共同研究编制物联网安全白皮书（2018）。 本白皮书从物联网安全发展态势出发，从物联网服务端系统、终端系统以及通信网络三个方面，分析物联网面临的安全风险，构建物联网安全防护策略框架，并提出物联网安全技术未来发展方向及建议。 目 录 一、物联网安全发展态势 ................................... 1 （一）全球物联网市场规模快速增长，安全支出持续增加 .... 1 （二）物联网系统直接暴露于互联网，容易遭到网络攻击 .... 3 （三）物联网安全风险威胁用户隐私保护，冲击关键信息基础设施安全 ................................................ 6 二、物联网安全风险分析 ................................... 7 （一）物联网应用系统模型 .............................. 7 （二）物联网服务端安全风险 ............................ 9 （三）物联网终端安全风险 ............................. 11 （四）物联网通信网络安全风险 ......................... 14 （五）各典型应用场景风险分析 ......................... 15 三、物联网安全防护策略 .................................. 18 （一）物联网安全防护策略框架 ......................... 18 （二）物联网服务端安全防护策略 ....................... 19 （三）物联网终端安全防护策略 ......................... 21 （四）物联网通信网络安全防护策略 ..................... 22 四、物联网安全未来发展展望 .............................. 24 （一）推动物联网安全技术标准落地及合规性检测 ......... 24 （二）以攻促防推进物联网安全技术发展 ................. 25 （三）构建物联网全生命周期立体防御体系 ............... 25 （四）联合行业力量打造物联网安全生态 ................. 26 （五）探索新技术在物联网安全领域的应用 ............... 26 物联网安全白皮书（2018） 中国信息通信研究院 1 一、物联网安全发展态势 （一）全球物联网市场规模快速增长，安全支出持续增加 一方面，全球联网设备数量高速增长，“万物互联”成为全球网络未来发展的重要方向。据GSMA预测，2025年全球物联网设备（包括蜂窝及非蜂窝）联网数量将达到252亿如图1.1，远高于2017年的63亿；同时，物联网市场规模将达到目前的四倍。此外，工业物联网设备联网数量在2016年至2025年间，将从24亿增加到138亿，增幅达五倍左右1，工业互联网设备联网数量也将在2023年超过消费物联网设备联网数量如图1.2。 图1.1 全球物联网设备联网数量 1 IoT: the next wave of connectivity and services（https://www.gsmaintelligence.com/research/2018/04/iot-the-next-wave-of-connectivity-and-services/665/） 中国信息通信研究院 物联网安全白皮书（2018） 2 图1.2 全球消费物联网设备及工业物联网设备联网数量 LoRa、NB-IoT和5G等通信技术的发展让万物互联成为现实。尤其面向低耗流物联网终端的NB-IoT，作为万物互联网络的一个重要分支，适合广泛部署在智慧城市、智慧交通、智能生产和智能家居等众多领域。 另一方面，物联网安全事件频发，全球物联网安全支出将不断增加。当前，基于物联网（IoT）的攻击已经成为现实。据Gartner调查，近20％的企业或相关机构在过去三年内遭受了至少一次基于物联网的攻击。为了防范安全威胁，Gartner预测2018年全球物联网安全支出将达到15亿美元，比2017年增长28％，预计到2021年物联网安全支出将达到31亿美元2如表1.1。 2 Gartner Says Worldwide IoT Security Spending Will Reach $1.5 Billion in 2018（https://www.gartner.com/en/newsroom/press-releases/2018-03-21-gartner-says-worldwide-iot-security-spending-will-reach-1-point-5-billion-in-2018） 030006000900012000150002016201720182019202020212022202320242025百万（美元）全球消费物联网设备及工业物联网设备联网数量（2016-2025）消费物联网工业物联网 物联网安全白皮书（2018） 中国信息通信研究院 3 表1.1 全球物联网安全支出预测（单位：百万美元）（来源：Gartner） 2016 2017 2018 2019 2020 2021 终端安全 240 302 373 459 541 631 网关安全 102 138 186 251 327 415 专业服务 570 734 946 1221 1589 2071 总计 912 1174 1506 1931 2457 3118 （二）物联网系统直接暴露于互联网，容易遭到网络攻击 当前，大量物联网设备及云服务端直接暴露于互联网，这些设备和云服务端存在的漏洞（如：心脏滴血、破壳等漏洞）一旦被利用，可导致设备被控、用户隐私泄露、云服务端数据被窃取等安全风险，甚至会对基础通信网络造成严重影响。 从全球分布来看，路由器、视频监控设备暴露数量占比较高。路由器暴露数量超过3000万台，视频监控设备暴露数量超过1700万台如图1.3。 图1.3 全球和国内物联网相关设备暴露情况 5876456333467735634954698079761437637243740135499625968296168496967348981731755557270345230537001772186433859116010000000200000003000000040000000网桥VoIPVPN打印机交换机调制解调器防火墙视频监控设备路由器暴露数量（台）设备类型全球中国 中国信息通信研究院 物联网安全白皮书（2018） 4 其中，我国国产设备的暴露占比突出。在路由器方面，华为暴露设备数量最多，逾900万台，AVM、Technicolor、MikroTik、华硕、TP-Link等11家厂商的全球暴露数量超过了百万规模如图1.4。在视频监控设备方面，海康威视和浙江大华的视频监控设备暴露严重，其中，海康威视暴露设备总量超过了580万台，浙江大华、D-Link等厂商的视频监控设备暴露数量也都达到了百万量级如图1.5。 图1.4 暴露的路由器设备厂商分布（全球） 174919184643248337272854440076495995682851684810109401011203131482575176595219193852032403236043125959362645734302504993528550200000040000006000000800000010000000磊科LinksysTP-LINKActiontecD-LinkAlcatelBroadcom迅捷思科中兴水星WestellNetgearTP-Link华硕MikroTikTechnicolorAVM华为暴露数量（台）厂商名称 物联网安全白皮书（2018） 中国信息通信研究院 5 图1.5 暴露的视频监控设备厂商分布（全球） 同时，我国暴露于互联网的路由器及视频监控设备数量排名全球前列，路由器数量超过350万台，仅次于美国如图1.6。视频监控设备数量超过240万台，位居第一；其次分别为越南、美国、巴西、印度等如图1.7。 图1.6 暴露的路由器国家分布 32041639517341217342071745947051302552064252959459876190222798283810412441327653135685715004222317144282876733372903549962359798401000000200000030000004000000西班牙阿根廷哈萨克斯坦印度加拿大意大利多米尼加泰国埃及澳大利亚新西兰英国土耳其沙特阿拉伯俄罗斯巴西德国墨西哥中国美国暴露数量（台）国家名称 中国信息通信研究院 物联网安全白皮书（2018） 6 图1.7 暴露的视频监控设备国家分布 此外，全球范围内采用CoAP、XMPP协议的云服务端暴露数量较高。暴露数量最多的CoAP服务数量接近45万个如图1.8。 图1.8 全球和国内物联网服务暴露情况 （三）物联网安全风险威胁用户隐私保护，冲击关键信息基础设施安全 一方面，智能家居设备部署在私密的家庭环境中，如果设备存在的漏洞被远程控制，将导致用户隐私完全暴露在攻击者面前。例如，智能家居设备中摄像头的不当配置(缺省密码)与设备固件层面1928161972821998582338832619222654303228433664143701944303744378784597346552596844087002668553281193535170847619947842437401050000010000001500000200000025000003000000波兰哥伦比亚乌拉圭希腊加拿大西班牙法国德国阿根廷韩国南朝鲜马来西亚泰国墨西哥意大利英国印度巴西美国越南中国暴露数量（台）国家名称6923158711833544069323310489741816194455950100000200000300000400000500000AMQPMQTTXMPPCoAP暴露数量（个）服务名称全球国内 物联网安全白皮书（2018） 中国信息通信研究院 7 的安全漏洞可能导致摄像头被入侵，进而引发摄像头采集的视频隐私遭到泄露。2017年8月，浙江某地警方破获一个在网上制作和传播家庭摄像头破解入侵软件的犯罪团伙。查获被破解入侵家庭摄像头IP近万个，获取大