打造物聯網一體化安全檢測專業化服務，促物聯網產業健康發展——專訪公安部第一研究所所長仇保利

本刊 張曉多

物聯網被視為繼計算機、互聯網和移動通信網絡之后的第三次信息產業浪潮，對提升整個國家的信息化水平和推動產業升級有著重大意義。然而，我國物聯網安全缺乏系統性專業化檢測的現狀卻限制了其技術和產業的大規模發展。

2012年，國家發展改革委提出了建設“物聯網一體化安全檢測專業化服務”項目，這是在國家層面對物聯網行業發展進行規范管理的重要工作部署。公安部第一研究所作為該項目的承擔單位，已先行開展了許多工作。本期專題人物，我們帶您走近該項目的負責人、公安部第一研究所所長仇保利，請他為我們分析我國物聯網安全的現狀，并就物聯網安全檢測專業化服務進行深入剖析。

仇保利

1969年2月生，碩士，現任公安部第一研究所所長、黨委副書記。曾任公安部治安管理局副巡視員、公安部網絡安全保衛局副局長等職務。

多年來，他主持完成了“全國治安管理信息系統示范工程”、“全國百城市人口信息管理系統聯網工程”、“全國人口信息管理系統”、“派出所綜合信息管理系統”、“第二代居民身份證信息管理總體框架”等多項重大項目；主起草完成了《常住人口信息管理規范》等33項行業標準，其中“第二代居民身份證標準體系及系列標準”獲公安部科學技術進步一等獎。

記者：隨著物聯網技術在更多領域中的應用，物聯網的安全問題也成為人們關注的焦點。那么，當前我國的物聯網安全主要存在的問題有哪些？針對這些問題是否有合適的解決途徑？

仇保利：物聯網是互聯網在現實世界的延伸，它一方面繼承了互聯網固有的安全問題，另一方面由于物聯網全面感知以及寬泛互聯的特性，出現了一些新的安全問題。首先，物聯網感知層節點大多部署在無人區，且計算、存儲性能有限，易被攻擊者破壞（電子破壞、物理破壞）、冒充或越權、屏蔽干擾、重放、篡改或泄漏數據，形成大量的損壞、惡意節點；其次，物聯網大多使用無線射頻方式通信，攻擊者可以在設定通信距離外偷聽信息，可以傳遞、截取或修改通信消息，也可以搭建“扒手”系統進行中間人攻擊；再次，攻擊者可以通過不完整的交互請求消耗系統資源，如產生標簽沖突影響正常讀取或傳感節點發起認證消息消耗系統計算資源，也可以消耗有限的標簽或傳感器內部狀態，使之無法被正常識別；第四，攻擊者可以在節點中注入一定量的代碼，獲取重要信息，還可以監聽并采集到加密設備運行時泄漏的某些旁路信息，如運行時間、功耗、電磁輻射等，甚至可以干預密碼變換的正常運行使其出錯，然后利用這些采集的旁路信息或者出錯導致的信息對密碼設備進行有效的密碼破譯。

以上這些安全問題可以通過密鑰管理機制、數據處理與隱私技術、安全路由協議、認證與訪問控制、入侵檢測等安全技術進行防護。但由于物聯網的自身特點，使得傳統安全技術無法直接應用，且相對物聯網應用的發展，物聯網安全技術相對滯后。目前，物聯網安全技術和安全狀況缺乏有效的檢測和評價手段，因此，建設物聯網安全檢測專業化服務能力，是解決物聯網安全問題必不可少的關鍵工作。在國家對物聯網安全工作的重要部署以及現實需求環境下，國家發展改革委組織實施了2012年國家信息安全專項“物聯網一體化安全檢測專業化服務”項目。該項目致力于通過物聯網安全檢測專業化服務來保障物聯網安全，促進物聯網相關產業的健康發展。

記者：作為國家信息安全專項“物聯網一體化安全檢測專業化服務”項目的負責人，能否請您為我們詳細介紹一下提出這個項目的背景及意義？

仇保利：近年來，國家高度重視物聯網安全，出臺了一系列政策。在《物聯網“十二五”發展規劃》、《物聯網白皮書》、《國務院關于大力推進信息化發展和切實保障信息安全的若干意見》、《關于推進物聯網有序健康發展的指導意見》等文件中都明確提出了“建立健全監督、檢查和安全評估機制。加強物聯網重要應用和系統的安全測評、風險評估和安全防護工作”。特別在2012年，根據《關于組織實施2012年國家信息安全專項有關事項的通知》要求，公安部第一研究所抓住機遇，承擔了“物聯網一體化安全檢測專業化服務”項目。

“物聯網一體化安全檢測專業化服務”項目是為了保障物聯網健康順利發展，面向全社會，構建感知設備安全檢測服務、物聯網系統安全測評和風險評估服務、物聯網集成化安全管理檢查服務以及漏洞與補丁服務等一體化安全檢測服務體系，以滿足物聯網集成化安全檢測需求。其核心內容一是建立物聯網產品安全檢測能力，通過軟硬件設備購置、場地設計構建產品檢測環境，初期形成56個產品族群自愿性認證業務的檢測能力，未來可擴展至產品銷售許可檢測業務；二是建立系統安全檢測、安全管理檢查能力建設，制定通用系統檢測與檢查的安全技術要求，采購系統類檢測工具；三是物聯網漏洞分析與風險評估相結合，構建標準及指標庫、漏洞與補丁庫、生物特征庫；四是建立信息化綜合服務平臺，為物聯網產品、系統檢測/檢查提供業務運行支撐平臺，完成檢測流程管理、檢測樣品管理、檢測報告管理等業務管理功能。

目前國內外雖已開展了物聯網安全測評的相關研究，但各測試系統缺乏綜合性，尚沒有統一的方法或準則。面對龐雜的產品和廣泛的物聯網應用，大部分產品與系統的檢測、風險評估與可靠性評估或無法開展、或分散在傳統的檢測機構中，缺乏專業、綜合的物聯網產品與系統安全檢測機構，集成化測試服務需求無法得到滿足，這個項目的實施能夠積極發揮第三方檢測機構的監管作用，增強物聯網主動安全保障能力，降低物聯網系統安全風險，維護國家安全和社會秩序。另一方面由于信息安全服務機構對重要信息系統提供此系列服務時不可避免地可能知曉重要信息系統中的國家秘密或者商業秘密等重要信息，因此不但要求安全服務機構具有較高的技術能力和服務水平，而且要求具有較高的可信度和可靠性。通過該項目的實施，將以公安部第一研究所的技術隊伍為基礎，建立起一支技術能力強、政治素質可靠的信息安全服務隊伍，為物聯網安全運行提供檢測支持。

記者：公安部第一研究所作為該項目的承擔單位，在項目建設方面具有哪些優勢？

仇保利：公安部第一研究所作為公安部的技術支撐單位，在物聯網安全領域積極開展基礎性技術研究和服務平臺建設工作，為公安部的政策制定提供技術支持，為全社會提供物聯網安全專業化服務，實現技術和政策的無縫銜接，為保障物聯網安全貢獻力量。研究所對物聯網這一新興技術的發展和前景有著清晰的認識，已將物聯網技術列為今后幾年需要重點研究開發的內容，并投入了大量的人力、物力、財力，提出并承擔了“十二五”國家科技支撐計劃項目“公共安全物聯網技術研究與應用示范”、“公安物聯網建設與應用戰略規劃研究”等項目，建立了“警務物聯網應用技術公安部重點實驗室”。

同時，公安部第一研究所已與中國信息安全認證中心建立戰略合作關系，推動物聯網產品安全檢測業務拓展。隨著市場化與國際化的發展，物聯網安全檢測勢必以自愿認證為驅動。研究所檢測中心根據戰略合作協議，成立其首個物聯網I T產品檢測實驗室，實驗室將分批分次開展涵蓋物聯網各類感知設備、接入設備和業務應用設備共3大類12項56個產品族群涉及幾百款產品的檢測。在檢測數據逐漸積累，并對其進行綜合分析的基礎上，研究所檢測中心將編制物聯網行業年度安全態勢報告，逐漸形成物聯網安全情況的年度對比，為國家有關部門制定物聯網方面的方針和政策提供支持。

記者：請您為我們介紹一下該項目的進展情況，下一步的具體工作將有何部署？

仇保利：2013年6月，國家發展改革委辦公廳正式批復項目實施。2013年12月公安部科技信息化局在北京組織召開了“物聯網一體化安全檢測專業化服務項目實施方案”專家評審會，評審專家一致同意方案通過評審。隨著項目實施方案評審通過，項目組開始著手產品檢測能力、系統檢測/檢查能力以及風險評估服務能力、基礎庫（漏洞與補丁庫、標準及指標庫、生物特征庫）能力的建設。

與此同時，我們積極開展與各部委、認證機構、院校、國家標準化管理局以及公安部相關業務局的廣泛交流與合作，共同促進物聯網安全檢測產業發展。首先，我們同清華大學公共安全研究院進行合作交流，并就進一步的合作模式等問題進行了深入探討；其次，2014年1月，研究所檢測中心與中國信息安全認證中心簽署實驗室委托協議，成為其首個物聯網I T產品自愿性認證授權實驗室。3月，中國信息安全認證中心正式發布與檢測中心聯合編制的多類產品的《認證實施規則》和《安全技術要求》。4月，中國信息安全認證中心在公安部第一研究所召開物聯網類產品信息安全認證檢測宣介會，標志著物聯網產品安全檢測工作正式開展。

目前，項目組已對人員基礎信息采集一體化設備、通信終端信息采集設備、單向隔離網閘、物聯網網關等多款產品開展安全檢測，下一步將根據近1000家企業事業單位關于物聯網產品檢測需求的反饋情況，開展安全管理平臺、門禁控制設備、3 G接入網關、We b安全應用檢測系統產品、緊急報警裝置、無線傳輸交換系統、云操作系統安全加固等產品安全技術標準起草以及產品檢測工作。

記者：“物聯網一體化安全檢測專業化服務”項目的完成對于我國的物聯網安全將產生怎樣的意義？

仇保利：經過多年的發展，為國家信息化建設和重要信息系統安全運行提供技術支持的信息安全專業化服務已經得到了長足的發展，相關的機構和單位已經形成規模。我國信息安全專業化服務雖然已具有一定水準，但物聯網系統及產品安全檢測服務尚處于起步階段，存在著檢測技術單一等問題，物聯網一體化安全檢測專業化服務可以促進我國物聯網信息安全專業化檢測服務的發展，從而推動物聯網信息安全專業化檢測服務向著智能化、網絡化、集成化方向發展，提高我國物聯網信息安全專業化服務市場競爭力。同時，物聯網一體化安全檢測也可促進物聯網相關產業的健康發展。