اعتبارسنجی برای اینترنت اشیاء (مقاله ترجمه شده)

چکیده

این مقاله یک چارچوبی ارائه میدهد که اجازه کنترل دسترسی fine grain و انعطاف پذیر به دستگاه های متصل بهم با قدرت پردازش و حافظه بسیار محدود میدهد.

مجموعه ای از نیازمندی های امنیتی و اجرایی برای این تنظیمات پیشنهاد شده و یک چارچوب اعتبارسنجی با توزیع هزینه های پردازشی بین دستگاه محدود و سرورهای less constrained  بک اند در حالی که تبادل پیام با دستگاه های محدود حداقل بماند، از آن استنتاج میشود.

برای اثبات این مفهوم ما نتایج پیاده سازی یک نمونه اولیه با اجرای بخشی از این چارچوب را ارائه میکنیم.

معرفی

اینترنت اشیاء (IoT) یک اصطلاح معمول مورد استفاده برای توصیف یک جامعه از شبکه هاست که در آن همه چیز در آن می توانند با اتصال به هم نفع ببرند. این به آن معنی است که برخلاف گذشته که در آن تلفن های همراه و کامپیوترها بطور سراسری از طریق اینترنت بهم پیوستند، امروزه انواع تجهیزات الکترونیکی به صورت آنلاین در آمده اند. انتظار می رود سرعت این روند در سالهای آینده با توجه به کاهش هزینه های سخت افزاری و شبکه و همچنین بلوغ تکنولوژی اینترنت شتاب پیدا کند.

در این مقاله ما به یکی از چالش های مهم امنیتی، اعتبارسنجی و کنترل دسترسی از نظر سیستمهای متصل متشکل از دستگاه های با منابع محدود می پردازیم که به طور مستقیم توسط انسان اداره نمی شوند. به طور خاص، روی مساله ای تمرکز میکنیم که در آن یک دستگاه محدود با چند دستگاه دیگر و یا با کامپیوترهای بک اند ارتباط دارد.

کارهای مرتبط

پروژه معماری اینترنت اشیاء اتحادیه اروپا در حال کار بر روی یک چارچوب کلی برای اینترنت اشیا از جمله امنیت آن است. به عنوان بخشی از پروژه، این کنسرسیوم مفهومی برای حفظ حریم خصوصی و امنیت برای خدمات اینترنت اشیا منتشر کرده است [1]. این مفهوم شامل استفاده از زبان نشانه گذاری کنترل دسترسی توسعه پذیر (XACML) [2] و زبان نشانه گذاری اعلان امنیت (SAML) [3] برای اینترنت اشیا است اما اقتباسات یا تغییرات این استانداردها را مورد بحث قرار نمیدهد که برای عملکرد موثر در محیط های محدود ضروری اند.

الزامات چارچوب اعتبارسنجی

همانطور که قبلا توضیح داده شد، ما یک محیط از دستگاه های محدود و نهادهای مختلف با دسترسی به این دستگاه ها را مورد هدف قرار داده ایم. برای این محیط مجموعه ای از نیازمندی های امنیتی و اجرایی یک چارچوب اعتبارسنجی عمومی را لیست میکنیم. Naedele [4] نیز موارد نیاز را بصورت مشابه لیست کرده است، بنابراین ما خودمان را محدود به شرایط اضافی حمایت از اعتبارسنجی ریز دانه و انعطاف پذیر نموده ایم:

• R1: این چارچوب باید از

الف: قوانین دسترسی متفاوت برای درخواستهای مختلف مشتریان،

ب : کنترل دسترسی در منابع RESTful گرانولی ،

ج: سیاستهای مبتنی بر شرایط محلی (به عنوان مثال، وضعیت ، زمان، موقعیت دستگاه) پشتیبانی کند.

چارچوب اعتبارسنجی

به منظور تحقق الزامات موردنیاز برای کنترل دسترسی ریز دانه ما از استاندارد کنترل دسترسی XACML [2] استفاده میکنیم، چراکه این استاندارد برتر در این حوزه است، و در صنعت تا حدی[1] استفاده می شود. با XACML می توانیم هر دو موارد نیاز R1.a و R1.bرا پوشش دهیم.

ارزیابی سیاست های XACML برای دستگاه های محدود بسیار سنگین است، بنابراین ما اکثر فرایندهای تصمیم گیری اعتبارسنجی را اجرا کرده (R2)، و بطور کلی دستگاه اعتبار سنجی را انجام میدهد (R5).

ایجاد کلید

نیازمندی R5 یک روش ایجاد کلید فرض میکند، که در آن کلید تامین شده و به نوبه خود توسط یک روش احراز هویت بوجود می آید. چارچوب اعتبارسنجی ما نه نیاز به یک پروتکل احراز هویت خاص دارد و نه روش توافقی کلید، اما با این حال باید چگونگی تشکیل کلیدها را درنظر بگیریم چرا که روی ظرفیت باقیمانده دستگاه برای کارهای اعتبارسنجی مربوط تاثیر میگذارد. ما خود را به دو کاندید اصلی در اینجا محدود کرده ایم.

روش اعتبارسنجی

به عنوان یک نتیجه از چارچوب مشخص شده در بخش 5، به مجموعه ای از روش ها و پروتکل ها در انجام وظایف زیر نیاز داریم:

A. ثبت دستگاه های جدید توسط صاحبان دستگاه و داده های امنیتی مربوط به آنها.

B. کاربرانی که به دنبال یک دستگاه بوده و درخواست یک اعلان اعتبارسنجی برای آن دارند.

C. کاربرانی که به یک دستگاه با استفاده از یک اعلان اعتبارسنجی قبلا به دست آمده دسترسی دارند.

به منظور تطابق با نیازمندی R2 ، پروتکل ها را به طوری طراحی کرده ایم که به تبادل پیام های اضافی نسبت به مبادلات COAP محافظت نشده نیازی نداشته باشند.

ثبت دستگاه های جدید

در این عملیات، فرض میکنیم یک دایرکتوری منابع مانند فهرست منابعIETF وجود دارد که از روش های آغاز ثبت توصیف منابع به دایرکتوری دستگاه پشتیبانی میکند. فرض می کنیم که اطلاعات مربوط به امنیت برای دستگاهی مانند کلیدی عمومی آن، AE که به آن اعتماد دارد، صاحب آن و تعهداتی که می تواند انجام دهد، ممکن است به عنوان متا داده دستگاه در دایرکتوری ثبت شده و می تواند توسط نهادهای مربوطه پرس وجو شود. انتشار این متا داده می تواند از همان روش انتشار منابع دستگاه پیروی کند.

موتور اعتبارسنجی

موتور اعتبارسنجی شامل دو جزء است: سیستم کنترل دسترسی و سیستم صدور اعلان.

سیستم کنترل دسترسی تصمیمات کنترل دسترسی مبتنی بر سیاست با استفاده از XACML تولید میکند. نحوه ایجاد سیاست و مدیریت آن خارج از حوزه این مقاله است.

زمانی که درخواست یک کاربر توسط سیستم کنترل دسترسی پذیرفته شود، سیستم صدور اعلان تصمیم اعتبارسنجی را به عنوان یک اعلان رمزگذاری میکند.

پیاده سازی

بخشی از دستگاه در چارچوب ما با استفاده از رویکرد مبتنی بر امنیت اشیا و کلیدهای متقارن (در بخش5) بر روی یک پلت فرم نمونه اجرا شد: 2560 Arduino Mega board3. این برد دارای یک پردازنده 16 مگاهرتز، 256 کیلوبایت حافظه فلش، 8 کیلو بایت SRAM ، و 4 کیلوبایت EEPROM است. ما این برد را به منظور تست رویکرد خود در پایان طیف عملکردی برای دستگاه های محدود موردهدف انتخاب کردیم.

ارزیابی امنیت

در چارچوب حاضر، هدف ما محافظت از موارد زیر است: داده های روی دستگاه ها، خود دستگاه ها ، و خدمات ارائه شده توسط دستگاه ها.

معیار ما برای حفظ این موارد ، رعایت محدودیت های finegraine در دسترسی به دستگاه ها است (به عنوان یک مخالفی با یک رویکرد همه یا هیچ ، که فقط نیاز به احراز هویت دارند). با توجه به راه اندازی چارچوب پیشنهادی، ما نیز به حفاظت از تصمیمات اعتبارسنجی، سیاست های اعتبارسنجی، و ویژگی های مربوط به این تصمیمات نیازمندیم.

نتیجه گیری و کارهای آتی

ما یک چارچوب اعتبارسنجی عمومی برای دستگاههای اینترنت اشیا ساخته شده براساس استانداردهای اینترنت و کنترل های دسترسی موجود با پشتیبانی از کنترل دسترسی ریز دانه و انعطاف پذیر برای دستگاه های محدود ارائه کردیم.

مولفه های کلیدی این چارچوب ، موتور اعتبارسنجی، پروفایل اعلان تعریف شده به عنوان زیر مجموعه ای از SAML و XACML و نمایش فشرده در یک نماد JSON است. با اهمیت ویژه ای ما از قوانین XACML برای فعال کردن هر نوع تصمیم گیری محلی در دستگاه استفاده کرده ایم. اجزای پشتیبانی، تعمیم انتشار فهرست منابع قابلیت های دستگاه برای تصمیم های محلی و اجرایی هستند، و روش های مدیریت کلید برای برقراری امنیت بین دستگاه و AE /کاربر مورد استفاده قرار میگیرند.

بخش های حیاتی عملکرد این چارچوب با استفاده از یک رویکرد مبتنی بر امنیت اشیاء بر روی یک دستگاه نمونه اجرا و تست شده شده است و نتیجه نشان داده است که روش های اعتبارسنجی می تواند در یک چارچوب زمانی معقول در کلاس های خاصی از دستگاه های محدود اجرا شوند. ارزیابی امنیتی تبادلات و مفروضاتی نشان میدهد که برای این چارچوب ساخته میشوند و تعیین میکند که این چارچوب چه تضمین های امنیتی فراهم می کند.

استفاده از JWE به عنوان فرمت بسته بندی شی امن برای اعلان مناسب است، اما برای ظرفیتای بار چند بایت که در COAP معمول است، نا مطلوب می باشد. هر دو هدر JWE و ظرفیت بار رمزنگاری شده می تواند برای این نوع از استقرار فشرده شوند. کارهای آینده بالقوه عبارتند از کاوش و استانداردسازی استفاده از جریانهای رمز و MAC برای JWE . موضوعات دیگر برای استاندارد سازی پروفایل اعلان SAML و XACML و ثبت دستگاه از متاداده مربوط به امنیت با استفاده از فهرست منابع است.

این مقاله در سال 2013 در نشریه آی تریپل ای و در سمپوزیوم بین المللی دنیای بی سیم موبایل و شبکه های چند رسانه ای، توسط تحقیقات امنیتی منتشر شده و در سایت ای ترجمه جهت دانلود ارائه شده است. در صورت نیاز به دانلود رایگان اصل مقاله انگلیسی و ترجمه آن می توانید به پست دانلود ترجمه مقاله اعتبارسنجی برای اینترنت اشیاء در سایت ای ترجمه مراجعه نمایید.