物联网普及加速，当应用成熟后，其资安问题也同步浮现，因此系统业者必须先行做好技术准备，以因应随之而来的考验。

在智慧化趋势下，物联网成为产业当红的议题，过去有不少研究单位纷纷做出惊人预测，例如2020年全球将有500亿个连网装置，此数字将在2035年达到一兆，虽然在2021年往回看，第一个预测并未成真，不过市场成长仍然迅猛，绝大多数业者仍看好物联网的未来发展。从现况来看，物联网架构在部分领域已然落地实用，因此资安逐渐成为业界焦点。

截然不同的资安考量

物联网主架构可粗分为底层感测设备、中层网路传输与上层云端平台，这三层架构都会遇到各自的资安问题。在底层设备端，物联网由大量的机器构成，其特色与优势之一是透过自动化机制取代人力，完成高危险或常态性的工作，因此物联网机器/感测节点多部署在无人监控的场景中，导致攻击者就可以轻易接触到相关的设备，从而进行破坏，甚至通过本地操作更换机器的软硬体。

中层网路传输负责资讯传输，其感测网路的传输与资讯安全问题相当重要，感测节点的功能设计通常都较为简单，同时配置电量较少，此特色使得这些无法拥有复杂的安全保护能力，而感测网路多种多样，从温度测量到水文监控，从道路导航到自动控制，其资料传输和消息也没有特定的标准，所以无法提供统一的安全保护体系，容易被有心人士撷取资料。

上层云端平台方面，由于核心网路具有相对完整的安全保护能力，但因物联网中节点数量庞大，且以群集方式存在，资料在传播时，会因大量机器的资料发送使网路雍塞，进而产生拒绝服务攻击。此外，现有通讯网路的安全架构都是以人与人的通讯角度设计，并不适用于机器之间，因此现有安全机制是否适合物联网的机器与机器特色，这也是必须思考的问题之一。

最后则是物联网应用面的安全问题。由于物联网设备可能是先部署后连接网路，而物联网节点又无人看守，因此庞大且多样化的物联网平台必建置功能强大且标准统一的管理平台，以符合物联网庞大的应用，然而在建置此类平台时，系统业者必须考量到安全资讯管理效能问题。

在传统的网路中，网路层的安全和应用层的安全是彼此独立，而物联网的特殊安全问题，大多肇因于物联网的特色，由于其架构整合感测网路和应用平台，因此只要根据物联网的特征对安全机制进行调整和补充，移动网路中的认证、加密等大部分机制，仍然可适用于物联网，并提供一定的安全性。

物联网的认证与加密

先就认证来看，传统的认证会分不同层次，网路层的认证仅负责网路层的身份鉴别，应用层的认证就负责应用层的身份鉴别，两者独立存在。在大多数情况下，物联网的设备应用都有其特定的用途，因此其应用系统与网路通讯结合相当紧密，由于网路层认证的必要性，因此其应用层的认证机制就不再是必需，而可以根据应用提供者与应用的安全敏感程度来设计。

当物联网的应用由协力厂商提供，也无法从网路营运商处获取金钥等安全参数时，就可以发起独立的应用认证，而不用考虑网路层的认证，如果是半导体、金融、政府机关…等对安全的需求更高的产业，大多不会信任网路层的安全级别，而是选择使用更高级别的安全保护，此时就会需要进行应用层的认证，但应用场域时为资料敏感度较低者，一般网路认证已经足够，不需要应用层的认证。

图1 : 制造业是物联网应用的先行产业之一，绵密的感测网路与智慧分析平台，可协助业者顺利完成转型。（source：Events - Dassault Systemes）

至于加密机制，传统的网路层加密机制是逐步加密，资讯会在传输过程中，不断的在每个经过节点上加解密，传统的应用层加密机制则是端到端，而在传输的过程和转发节点上都需解密，由于物联网中网路连接和应用使用紧密结合，因此业者必须选择使用逐步加密或端点之间加密。

逐步加密只对有必要受保护的连结进行加密，并且由于逐步加密在网路层进行，因此可以适用于所有应用，这就保证了逐步加密的即时、高效率、低成本、可扩展性等特点。但逐步加密需要在各传送节点上对资料进行解密，各节点都有可能解读被加密消息，这也是逐步加密对传输路径中，各传送节点的可信任度要求相当高的原因。

端到端的加密方式，则可根据应用类型选择不同的安全性原则，为高安全要求的应用提供高安全等级的保护，不过端到端的加密不能对讯息的目的地址进行保护，原因在于每一个讯息所经过的节点，都需以目的地址确定数据传输方式，此作法将导致端到端加密方式为暴露数据传输的发送与接收两端位址。

由上述状态可以看出，对部份安全要求不高的应用而言，当网路能够提供逐步加密保护时，应用层端点之间的加密需求并不高，但对于高安全需求的应用场愈来说，端点之间的加密仍然是必要，因此相异的物联网应用对安全级别要求大不相同，业者必须因应客户需求，提供对应的安全机制。

图2 : 物联网架构在部分领域已然落地实用，因此资安逐渐成为业界焦点。 （source：Industrial Ethernet Book）

观察近几年的物联网发展态势，导入后效益有明显提升的产业会是先行者，制造、农业养殖都属于此类，例如制造业者将之应用于厂务系统中，用以监控能源使用量，由于电费是工厂运作的最大支出，即便是电量仅降低1％，所转换的电费金额也十分高，在有感的改变下，业者导入物联网的意愿就会随之上升，至于养殖业则是用于环境监控，利用物联网扩大养殖规模、强化产品品质。

在这两大产业的带动下，物联网的普及将会加速，其他类型业者也会在未来几年逐步导入，而当应用成熟后，其资安问题也同步浮现，因此系统业者必须先行做好技术准备，以因应随之而来的考验。

**刊头图（source：Sectigo Store）