本刊 張曉多

物聯(lián)網(wǎng)被視為繼計算機、互聯(lián)網(wǎng)和移動通信網(wǎng)絡(luò)之后的第三次信息產(chǎn)業(yè)浪潮，對提升整個國家的信息化水平和推動產(chǎn)業(yè)升級有著重大意義。然而，我國物聯(lián)網(wǎng)安全缺乏系統(tǒng)性專業(yè)化檢測的現(xiàn)狀卻限制了其技術(shù)和產(chǎn)業(yè)的大規(guī)模發(fā)展。

2012年，國家發(fā)展改革委提出了建設(shè)“物聯(lián)網(wǎng)一體化安全檢測專業(yè)化服務(wù)”項目，這是在國家層面對物聯(lián)網(wǎng)行業(yè)發(fā)展進行規(guī)范管理的重要工作部署。公安部第一研究所作為該項目的承擔單位，已先行開展了許多工作。本期專題人物，我們帶您走近該項目的負責人、公安部第一研究所所長仇保利，請他為我們分析我國物聯(lián)網(wǎng)安全的現(xiàn)狀，并就物聯(lián)網(wǎng)安全檢測專業(yè)化服務(wù)進行深入剖析。

仇保利

1969年2月生，碩士，現(xiàn)任公安部第一研究所所長、黨委副書記。曾任公安部治安管理局副巡視員、公安部網(wǎng)絡(luò)安全保衛(wèi)局副局長等職務(wù)。

多年來，他主持完成了“全國治安管理信息系統(tǒng)示范工程”、“全國百城市人口信息管理系統(tǒng)聯(lián)網(wǎng)工程”、“全國人口信息管理系統(tǒng)”、“派出所綜合信息管理系統(tǒng)”、“第二代居民身份證信息管理總體框架”等多項重大項目；主起草完成了《常住人口信息管理規(guī)范》等33項行業(yè)標準，其中“第二代居民身份證標準體系及系列標準”獲公安部科學(xué)技術(shù)進步一等獎。

記者：隨著物聯(lián)網(wǎng)技術(shù)在更多領(lǐng)域中的應(yīng)用，物聯(lián)網(wǎng)的安全問題也成為人們關(guān)注的焦點。那么，當前我國的物聯(lián)網(wǎng)安全主要存在的問題有哪些？針對這些問題是否有合適的解決途徑？

仇保利：物聯(lián)網(wǎng)是互聯(lián)網(wǎng)在現(xiàn)實世界的延伸，它一方面繼承了互聯(lián)網(wǎng)固有的安全問題，另一方面由于物聯(lián)網(wǎng)全面感知以及寬泛互聯(lián)的特性，出現(xiàn)了一些新的安全問題。首先，物聯(lián)網(wǎng)感知層節(jié)點大多部署在無人區(qū)，且計算、存儲性能有限，易被攻擊者破壞（電子破壞、物理破壞）、冒充或越權(quán)、屏蔽干擾、重放、篡改或泄漏數(shù)據(jù)，形成大量的損壞、惡意節(jié)點；其次，物聯(lián)網(wǎng)大多使用無線射頻方式通信，攻擊者可以在設(shè)定通信距離外偷聽信息，可以傳遞、截取或修改通信消息，也可以搭建“扒手”系統(tǒng)進行中間人攻擊；再次，攻擊者可以通過不完整的交互請求消耗系統(tǒng)資源，如產(chǎn)生標簽沖突影響正常讀取或傳感節(jié)點發(fā)起認證消息消耗系統(tǒng)計算資源，也可以消耗有限的標簽或傳感器內(nèi)部狀態(tài)，使之無法被正常識別；第四，攻擊者可以在節(jié)點中注入一定量的代碼，獲取重要信息，還可以監(jiān)聽并采集到加密設(shè)備運行時泄漏的某些旁路信息，如運行時間、功耗、電磁輻射等，甚至可以干預(yù)密碼變換的正常運行使其出錯，然后利用這些采集的旁路信息或者出錯導(dǎo)致的信息對密碼設(shè)備進行有效的密碼破譯。

以上這些安全問題可以通過密鑰管理機制、數(shù)據(jù)處理與隱私技術(shù)、安全路由協(xié)議、認證與訪問控制、入侵檢測等安全技術(shù)進行防護。但由于物聯(lián)網(wǎng)的自身特點，使得傳統(tǒng)安全技術(shù)無法直接應(yīng)用，且相對物聯(lián)網(wǎng)應(yīng)用的發(fā)展，物聯(lián)網(wǎng)安全技術(shù)相對滯后。目前，物聯(lián)網(wǎng)安全技術(shù)和安全狀況缺乏有效的檢測和評價手段，因此，建設(shè)物聯(lián)網(wǎng)安全檢測專業(yè)化服務(wù)能力，是解決物聯(lián)網(wǎng)安全問題必不可少的關(guān)鍵工作。在國家對物聯(lián)網(wǎng)安全工作的重要部署以及現(xiàn)實需求環(huán)境下，國家發(fā)展改革委組織實施了2012年國家信息安全專項“物聯(lián)網(wǎng)一體化安全檢測專業(yè)化服務(wù)”項目。該項目致力于通過物聯(lián)網(wǎng)安全檢測專業(yè)化服務(wù)來保障物聯(lián)網(wǎng)安全，促進物聯(lián)網(wǎng)相關(guān)產(chǎn)業(yè)的健康發(fā)展。

記者：作為國家信息安全專項“物聯(lián)網(wǎng)一體化安全檢測專業(yè)化服務(wù)”項目的負責人，能否請您為我們詳細介紹一下提出這個項目的背景及意義？

仇保利：近年來，國家高度重視物聯(lián)網(wǎng)安全，出臺了一系列政策。在《物聯(lián)網(wǎng)“十二五”發(fā)展規(guī)劃》、《物聯(lián)網(wǎng)白皮書》、《國務(wù)院關(guān)于大力推進信息化發(fā)展和切實保障信息安全的若干意見》、《關(guān)于推進物聯(lián)網(wǎng)有序健康發(fā)展的指導(dǎo)意見》等文件中都明確提出了“建立健全監(jiān)督、檢查和安全評估機制。加強物聯(lián)網(wǎng)重要應(yīng)用和系統(tǒng)的安全測評、風(fēng)險評估和安全防護工作”。特別在2012年，根據(jù)《關(guān)于組織實施2012年國家信息安全專項有關(guān)事項的通知》要求，公安部第一研究所抓住機遇，承擔了“物聯(lián)網(wǎng)一體化安全檢測專業(yè)化服務(wù)”項目。

“物聯(lián)網(wǎng)一體化安全檢測專業(yè)化服務(wù)”項目是為了保障物聯(lián)網(wǎng)健康順利發(fā)展，面向全社會，構(gòu)建感知設(shè)備安全檢測服務(wù)、物聯(lián)網(wǎng)系統(tǒng)安全測評和風(fēng)險評估服務(wù)、物聯(lián)網(wǎng)集成化安全管理檢查服務(wù)以及漏洞與補丁服務(wù)等一體化安全檢測服務(wù)體系，以滿足物聯(lián)網(wǎng)集成化安全檢測需求。其核心內(nèi)容一是建立物聯(lián)網(wǎng)產(chǎn)品安全檢測能力，通過軟硬件設(shè)備購置、場地設(shè)計構(gòu)建產(chǎn)品檢測環(huán)境，初期形成56個產(chǎn)品族群自愿性認證業(yè)務(wù)的檢測能力，未來可擴展至產(chǎn)品銷售許可檢測業(yè)務(wù)；二是建立系統(tǒng)安全檢測、安全管理檢查能力建設(shè)，制定通用系統(tǒng)檢測與檢查的安全技術(shù)要求，采購系統(tǒng)類檢測工具；三是物聯(lián)網(wǎng)漏洞分析與風(fēng)險評估相結(jié)合，構(gòu)建標準及指標庫、漏洞與補丁庫、生物特征庫；四是建立信息化綜合服務(wù)平臺，為物聯(lián)網(wǎng)產(chǎn)品、系統(tǒng)檢測/檢查提供業(yè)務(wù)運行支撐平臺，完成檢測流程管理、檢測樣品管理、檢測報告管理等業(yè)務(wù)管理功能。

目前國內(nèi)外雖已開展了物聯(lián)網(wǎng)安全測評的相關(guān)研究，但各測試系統(tǒng)缺乏綜合性，尚沒有統(tǒng)一的方法或準則。面對龐雜的產(chǎn)品和廣泛的物聯(lián)網(wǎng)應(yīng)用，大部分產(chǎn)品與系統(tǒng)的檢測、風(fēng)險評估與可靠性評估或無法開展、或分散在傳統(tǒng)的檢測機構(gòu)中，缺乏專業(yè)、綜合的物聯(lián)網(wǎng)產(chǎn)品與系統(tǒng)安全檢測機構(gòu)，集成化測試服務(wù)需求無法得到滿足，這個項目的實施能夠積極發(fā)揮第三方檢測機構(gòu)的監(jiān)管作用，增強物聯(lián)網(wǎng)主動安全保障能力，降低物聯(lián)網(wǎng)系統(tǒng)安全風(fēng)險，維護國家安全和社會秩序。另一方面由于信息安全服務(wù)機構(gòu)對重要信息系統(tǒng)提供此系列服務(wù)時不可避免地可能知曉重要信息系統(tǒng)中的國家秘密或者商業(yè)秘密等重要信息，因此不但要求安全服務(wù)機構(gòu)具有較高的技術(shù)能力和服務(wù)水平，而且要求具有較高的可信度和可靠性。通過該項目的實施，將以公安部第一研究所的技術(shù)隊伍為基礎(chǔ)，建立起一支技術(shù)能力強、政治素質(zhì)可靠的信息安全服務(wù)隊伍，為物聯(lián)網(wǎng)安全運行提供檢測支持。

記者：公安部第一研究所作為該項目的承擔單位，在項目建設(shè)方面具有哪些優(yōu)勢？

仇保利：公安部第一研究所作為公安部的技術(shù)支撐單位，在物聯(lián)網(wǎng)安全領(lǐng)域積極開展基礎(chǔ)性技術(shù)研究和服務(wù)平臺建設(shè)工作，為公安部的政策制定提供技術(shù)支持，為全社會提供物聯(lián)網(wǎng)安全專業(yè)化服務(wù)，實現(xiàn)技術(shù)和政策的無縫銜接，為保障物聯(lián)網(wǎng)安全貢獻力量。研究所對物聯(lián)網(wǎng)這一新興技術(shù)的發(fā)展和前景有著清晰的認識，已將物聯(lián)網(wǎng)技術(shù)列為今后幾年需要重點研究開發(fā)的內(nèi)容，并投入了大量的人力、物力、財力，提出并承擔了“十二五”國家科技支撐計劃項目“公共安全物聯(lián)網(wǎng)技術(shù)研究與應(yīng)用示范”、“公安物聯(lián)網(wǎng)建設(shè)與應(yīng)用戰(zhàn)略規(guī)劃研究”等項目，建立了“警務(wù)物聯(lián)網(wǎng)應(yīng)用技術(shù)公安部重點實驗室”。

同時，公安部第一研究所已與中國信息安全認證中心建立戰(zhàn)略合作關(guān)系，推動物聯(lián)網(wǎng)產(chǎn)品安全檢測業(yè)務(wù)拓展。隨著市場化與國際化的發(fā)展，物聯(lián)網(wǎng)安全檢測勢必以自愿認證為驅(qū)動。研究所檢測中心根據(jù)戰(zhàn)略合作協(xié)議，成立其首個物聯(lián)網(wǎng)I T產(chǎn)品檢測實驗室，實驗室將分批分次開展涵蓋物聯(lián)網(wǎng)各類感知設(shè)備、接入設(shè)備和業(yè)務(wù)應(yīng)用設(shè)備共3大類12項56個產(chǎn)品族群涉及幾百款產(chǎn)品的檢測。在檢測數(shù)據(jù)逐漸積累，并對其進行綜合分析的基礎(chǔ)上，研究所檢測中心將編制物聯(lián)網(wǎng)行業(yè)年度安全態(tài)勢報告，逐漸形成物聯(lián)網(wǎng)安全情況的年度對比，為國家有關(guān)部門制定物聯(lián)網(wǎng)方面的方針和政策提供支持。

記者：請您為我們介紹一下該項目的進展情況，下一步的具體工作將有何部署？

仇保利：2013年6月，國家發(fā)展改革委辦公廳正式批復(fù)項目實施。2013年12月公安部科技信息化局在北京組織召開了“物聯(lián)網(wǎng)一體化安全檢測專業(yè)化服務(wù)項目實施方案”專家評審會，評審專家一致同意方案通過評審。隨著項目實施方案評審?fù)ㄟ^，項目組開始著手產(chǎn)品檢測能力、系統(tǒng)檢測/檢查能力以及風(fēng)險評估服務(wù)能力、基礎(chǔ)庫（漏洞與補丁庫、標準及指標庫、生物特征庫）能力的建設(shè)。

與此同時，我們積極開展與各部委、認證機構(gòu)、院校、國家標準化管理局以及公安部相關(guān)業(yè)務(wù)局的廣泛交流與合作，共同促進物聯(lián)網(wǎng)安全檢測產(chǎn)業(yè)發(fā)展。首先，我們同清華大學(xué)公共安全研究院進行合作交流，并就進一步的合作模式等問題進行了深入探討；其次，2014年1月，研究所檢測中心與中國信息安全認證中心簽署實驗室委托協(xié)議，成為其首個物聯(lián)網(wǎng)I T產(chǎn)品自愿性認證授權(quán)實驗室。3月，中國信息安全認證中心正式發(fā)布與檢測中心聯(lián)合編制的多類產(chǎn)品的《認證實施規(guī)則》和《安全技術(shù)要求》。4月，中國信息安全認證中心在公安部第一研究所召開物聯(lián)網(wǎng)類產(chǎn)品信息安全認證檢測宣介會，標志著物聯(lián)網(wǎng)產(chǎn)品安全檢測工作正式開展。

目前，項目組已對人員基礎(chǔ)信息采集一體化設(shè)備、通信終端信息采集設(shè)備、單向隔離網(wǎng)閘、物聯(lián)網(wǎng)網(wǎng)關(guān)等多款產(chǎn)品開展安全檢測，下一步將根據(jù)近1000家企業(yè)事業(yè)單位關(guān)于物聯(lián)網(wǎng)產(chǎn)品檢測需求的反饋情況，開展安全管理平臺、門禁控制設(shè)備、3 G接入網(wǎng)關(guān)、We b安全應(yīng)用檢測系統(tǒng)產(chǎn)品、緊急報警裝置、無線傳輸交換系統(tǒng)、云操作系統(tǒng)安全加固等產(chǎn)品安全技術(shù)標準起草以及產(chǎn)品檢測工作。

記者：“物聯(lián)網(wǎng)一體化安全檢測專業(yè)化服務(wù)”項目的完成對于我國的物聯(lián)網(wǎng)安全將產(chǎn)生怎樣的意義？

仇保利：經(jīng)過多年的發(fā)展，為國家信息化建設(shè)和重要信息系統(tǒng)安全運行提供技術(shù)支持的信息安全專業(yè)化服務(wù)已經(jīng)得到了長足的發(fā)展，相關(guān)的機構(gòu)和單位已經(jīng)形成規(guī)模。我國信息安全專業(yè)化服務(wù)雖然已具有一定水準，但物聯(lián)網(wǎng)系統(tǒng)及產(chǎn)品安全檢測服務(wù)尚處于起步階段，存在著檢測技術(shù)單一等問題，物聯(lián)網(wǎng)一體化安全檢測專業(yè)化服務(wù)可以促進我國物聯(lián)網(wǎng)信息安全專業(yè)化檢測服務(wù)的發(fā)展，從而推動物聯(lián)網(wǎng)信息安全專業(yè)化檢測服務(wù)向著智能化、網(wǎng)絡(luò)化、集成化方向發(fā)展，提高我國物聯(lián)網(wǎng)信息安全專業(yè)化服務(wù)市場競爭力。同時，物聯(lián)網(wǎng)一體化安全檢測也可促進物聯(lián)網(wǎng)相關(guān)產(chǎn)業(yè)的健康發(fā)展。