低端产品将是脆弱的

　　到2020年，如果500亿或者更多设备与80亿人共享同一个因特网，数据安全最薄弱的环节将会出在某种程度上由人类掌控的机器上吗？换一种说法，M2M网络上的一个不那么智慧的客户端将会成为未来恶意网络活动攻击的目标吗？在巴塞罗那举行的移动世界大会（MWC）上，国际行动安全公司（AdaptiveMobile）的安全顾问大胆地提出了这个问题，这些问题是值得关注的，并正在世界范围内引起共鸣、引发讨论，包括旧金山的信息安全国际论坛。

　　另一方面，在某种重要程度上，这些问题正在被解决吗？或者仅仅是被关注？今天下午，来自巴塞罗那读写网（ReadWriteWeb）的报道中，国际行动安全公司的CathalMcDaid在为移动世界大会准备的一份新的报告中谈到了这些问题中的某些部分。这份报告题为"M2M：未来的威胁？”，它对一个由相对简单、单纯的通信设备组成的全新的宇宙，是否会通过设计引发一个不稳定的因特网提出了质疑。

　　McDaid告诉读写网说：“我们对移动网络安全性的设定实际上是为人类设计的，比如，如果我发给你一条垃圾信息，你可能会向运营商或者相关机构举报我们。但是，如果你是一个有形的移动设备，我发一条垃圾信息给你，你根本不可能会去举报它或采取类似的举动，相反，你只会继续程序。如果我发给你一千条或者上万条信息，你将会有拒绝服务的可能性。所以，当涉及安全性时，我们试图推进的是有计划地设置，并且要考虑到人与机器之间的互动沟通。”

　　McDaid相信，通过M2M的介入，恶意攻击的性质将不再被复杂化或简单化，而是会完全不同。McDaid说，那是因为它们是低功率设备，M2M网络上的自动客户端将不被允许运行安全软件。

　　低端产品将是脆弱的

　　国际行动安全公司的报告在这一点上进行了深入分析：“最新的智慧型手机和平板设备都具有复杂、高端的运行系统，足以保护设备并抵御最先进的移动通信安全威胁。不幸的是，并不是所有通过M2M技术构建的物联网的终端设备都同样强大。许多M2M设备没有优良的驱动系统和任何处理能力，通常只能完全投入在预先设定的功能中运行，这意味着它们无法被置入安全软件。”

　　McDaid列举了一些数据，表明二十分之一的网络信息都是由机器发送给机器的。他说，包括通信规则在内的解决方案，都是不成熟的，而不是像短消息业务（SMS）一样简单。据McDaid估计，在未来20年内，当消费者为他们的移动设备建立新的、更完备的通信规则时，M2M交流可能不需要为可预见的未来升级格式。因此，在这个时间跨度内，将必须支持以往的规则，基于此来追寻机器间的通信安全。

　　正如他的报告内容，McDaid说：“那些规则基本上是为人类设计的，智力的升级是不适用的。但是，如果M2M确实如McDaid预计的那般会带来一个全新的时代的话，相关的技术发展难道不应该帮助其提高可行性和可靠性吗？McDaid的答案是"应该，同时也不应该”。

　　“是的，我们了解所有的新技术，也知道这些通信介质是如何工作的。但是，另一方面，以前我们的安全模式已经包含了人类……如果某人的移动设备被病毒侵害，一个可能的结果就是账单上的数据流量暴涨。但这不会发生在M2M领域，在这一领域，设备可以简单的保持运行。所以在那种情况下，你将可能被其他人关注，这一点是无法保障的。”

　　第2页：M2M通道未必要通过重新设计开通

　　M2M通道未必要通过重新设计开通

　　AlexBrisbourne是KORE无线集团的首席运营官，也是全球公认的M2M网络架构和管理的专家，我们今天通过他讨论了McDaid的结论。KORE集团从2003年就开始提供M2M连接系统。通过阅读国际行动安全公司今天的报告，Brisbourne把M2M网络工作阐释为对现存人类网络工作的一个安全考验。这是一个有趣的观点，但却是完全非正统的。

　　Brisbourne告诉读写网说："事实上，当你创造越多进入因特网的"门道"时，机器设备将显著地增加到这些"访问门道"来，就像智慧型手机供应的增加一样，会使访问控制面临的挑战变得更加尖锐。但是，这两点有一个显著的区别：智慧型手机典型地为因特网创造了开放的访问机制。每个手机都有单独的地址，就像个人电脑一样。大多数智慧型手机都正在使用未经正规中心测试的浏览器技术，但是实际上通过智慧型手机浏览器发起的病毒管理、恶意软件和安全攻击正在快速增加。部分原因是因为智慧型手机的无比开放性。"

　　Brisbourne继续说，通过对比，一个真正的M2M环境即将到来。它并非像一些公司所建议的那样，是网络向充斥着各种没有灵魂的设备的日常生活的一个延伸。

　　Brisbourne强调说："边缘设备一般都使用专门的网络通道（顾客接入点等），这些通道给数据安排唯一的、特定的网络资源（服务，主机），这些资源面临着错综复杂的（但是绝对可实现的）走出这些领域的挑战。此外，根据应用程序的不同，数据流通常受到来自SSL通讯加密协定的支持。在诸如能源公用事业或付款处理之类的高敏感性市场，需要在"终端入口"之外扩大和加深特定的安全覆盖网络，例如支付领域的PCI标准和致力于制定公用事业领域的安全标准的美国国家标准与技术研究院（NIST）。这些都注重考察端对端以及两个端点之间的补偿标准。这无疑会继续增长。"

　　换种说法，不能仅仅因为一个M2M交易的终端不包括诺顿杀毒软件就说它不安全。在M2M平台中存在建筑差异，这个差异超出了人类通过因特网交流的等级。

　　CathalMcDaid相信，这些差异并没有被广泛地认知，这就是为什么建立一种能保护两种交流的新的方法是极其必要的。"不需要废弃人与人之间业已建立的沟通方式，只需要构建一种在面临M2M时更为智慧的类似P2P的方式即可。"他说，这种更为智慧的额外层次应该以在某种程度上的是权威仲裁者的形式出现，用来判定某个组织是否有权与某个设备进行交流。在这一点上，McDaid和Brisbourne达成了少许一致，尤其在设定一个系统应承担权威通道的数量以及时间的必要性方面相互认可。

　　“你想要完全否定现在的通道（诺克斯堡）还是只想阻止它直到时机合适，然后不再采取任何相关行动（扩大禁止范围）？”Brisbourne问道，“形势和市场都瞬息万变，所有的一切都必须先确定下来。作为一个扩大化的企业数据管理结构的一部分，M2M在这种思想水准上毫无防备。”