物聯網應用如何驗證連線來源？

iot 驗證

wrxue 2020-10-15 08:34:51 ‧ 2166 瀏覽

分享至

假設現在一個情境
物聯網裝置為Arduino+wifi模組+溫度感測器，
透過http存資料到資料庫。
請問從物聯網裝置到http這段，如何安全傳輸？
例如對以下網址進行HTTP GET，由addData.php存資料

http://example.com/addData.php?temp=15.3

請問如何對來源做驗證？如何判斷是公司出去的產品，是像web應用一樣檢查token嗎？這樣是否在物聯網裝置內要時不時地去要token？
我知道web的session、Authentication。但這些都是有"人為"操作時會有的，例如登入動作。
但物聯網裝置應該是寫在程式內自動設定處理這些問題，所以不會有"人為"的操作，若寫死取得token的方法在物聯網裝置內，相當於原碼流出就GG了？
以上的都是自己想像的世界，懇請有經驗的各位教導相關知識。

harrytsai iT邦新手 1 級 ‧ 2020-10-16 00:09:34 檢舉

目前大多數的應用,都是將每批網卡資料匯入後台去做管理,而前端只會傳特定參數回來,要考慮的並不是資料的安全傳輸,而是別人是否知道你的參數定義

登入發表討論

直播研討會

{{ item.channelVendor }} {{ item.webinarstarted }} |

直播中

4 個回答

通靈亡

iT邦高手 1 級 ‧ 2020-10-15 09:37:30

最佳解答

你可以參考這篇論文
內容是關於IOT的認證機制
裡面第七頁到第八頁有講到不同層的驗證架構與方式，可以慢慢研究
https://www.mdpi.com/1424-8220/19/5/1141/pdf

回應 2
分享
檢舉

wrxue iT邦好手 1 級 ‧ 2020-10-15 09:47:04 檢舉

感謝大大不藏私，2019的論文還蠻新的，有空會拜讀的!

QQBoxy iT邦研究生 5 級 ‧ 2020-10-15 09:49:29 檢舉

看起來是一篇 Review Paper 感覺很不錯，這次鐵人賽的內容還沒來得及寫到這個，也許之後有機會還可以再來寫，謝謝分享。

登入發表回應

㊣浩瀚星空㊣

iT邦大神 1 級 ‧ 2020-10-15 09:09:59

基本會先檢查一下來源的標頭檔是否有存在可供辨識的參數。
在無可供辨識變數的情況下。

就只剩下ip判斷了。

提供給你參考。

回應 2
分享
檢舉

wrxue iT邦好手 1 級 ‧ 2020-10-15 09:25:03 檢舉

若判斷IP是否在清單內，感覺有困難，很難追蹤實際產品到底裝到哪個IP上，除非請客戶設定IP...但使用過的物聯網裝置好像都沒這麼麻煩

㊣浩瀚星空㊣ iT邦大神 1 級 ‧ 2020-10-15 10:09:54 檢舉

用ip當然是下下策了。因為這樣就如你說的。得要先判斷ip位置在哪下去設定。且如果碰上dhcp分配式的就很麻煩了。

但一般來說，連線裝置都會有其對應的裝置值才對。
能找到該裝置值(如token)是最佳的方式。

用ip是最後不得已的辦法。

其實是還有一招啦，可以拿網卡mac值來處理。

以前曾經網咖系統有這樣搞過。

登入發表回應

QQBoxy

iT邦研究生 5 級 ‧ 2020-10-15 09:20:51

有些產品會生成 Token 但也不是都有，
像是小米石頭掃地機器人就有 Token ，
如果擔心 Token 被攔截也可以加上 SSL 連線，
其實我也想知道物聯網這個部分還有什麼方法可以防範，
但目前看起來 DIY 的 Geek 們好像也只有在區網跑，
所以大多都沒有做特別的防護。