區塊鏈在邊緣計算與物聯網安全領域應用

黃忠義

[賽迪（青島）區塊鏈研究院，山東青島 266000]

1 引言

物聯網即通過射頻識別（RFID）、紅外感應器、全球定位系統、激光掃描器、氣體感應器等感知設備，按約定的通訊傳輸協議，把一切物品與互聯網連接起來，進行信息交換和通訊，以實現智能化識別、定位、跟蹤、監控和管理的一種網絡。簡而言之，物聯網就是“物物相連的互聯網”。

經過近幾年的發展，我國物聯網產業快速成長，呈現出幾方面發展特點：一是政策環境積極引導，國家出臺相關政策積極推動物聯網發展，國務院和各部委持續推進物聯網相關工作，從頂層設計、組織機制、智庫支撐等多個方面持續完善政策環境；二是標準制定不斷完善，我國物聯網標準化工作在國際上持續發揮積極作用，主導了一些重要領域標準的制定工作，逐步占據優勢地位；三是技術能力逐漸成熟，我國在傳感器、RFID 標簽、操作系統、物聯網芯片等方面的技術研發投入巨大，取得了長足的進步；四是我國物聯網產業實力快速升級，包括物聯網平臺、智能傳感器、智能芯片的產業正在蓬勃發展、不斷探索、積極創新；五是行業應用全面拓展，工信部發布的《物聯網“十二五”發展規劃》指出，我國物聯網發展與全球同處于起步階段，初步具備了一定的技術、產業和應用基礎，呈現出良好的發展態勢。發展物聯網對于促進經濟發展和社會進步都有著重要的現實意義。目前，我國物聯網在工業、能源、交通、物流、醫療、安防等領域已經取得廣泛成熟的應用。

2 物聯網安全問題

在我國物聯網產業不斷發展的同時也伴隨著大量物聯網安全問題的產生。目前，物聯網主要面臨四大安全隱患問題。

（1）數據保護。很多設備收集的是敏感數據，不論是從商業角度，還是從管控角度，數據的傳輸、存儲和處理都應該在安全情況下進行。在設備層，設計和生產終端設備的ODM、OEM廠商幾乎沒有考慮數據采集和存儲的安全問題，缺乏從硬件到軟件的安全防護措施，如安全芯片、加密軟件、訪問權限軟件等。在網絡傳輸層，缺少有效的防火墻和入侵檢測系統，往往導致中間人攻擊（MITM）等形式的入侵，造成數據泄露、數據丟失等安全問題。

（2）攻擊范圍擴大化。物聯網時代會有更多的設備在網上，這樣終端設備等基礎設施會進一步擴大，且不同廠商生產的嵌入式終端安全級別參差不齊，攻擊者會不斷試探破解。與用戶的終端不同，很多物聯網設備需要永久在線和實時連接，這一特征使得它們更容易成為攻擊的目標。

（3）設備層惡意篡改和接入。攻擊者非法篡改感知數據，影響上層應用的數據分析和處理，更有甚者通過一個終端設備的惡意接入在網絡中傳播網絡病毒，導致物聯網網絡層的癱瘓。對物聯網運行過程的攻擊，會讓更多基礎設施、設備和應用成為攻擊目標，通過DoS攻擊或通過危及、破壞個人設備。

（4）僵尸網絡和DDo S。未得到有效保護的物聯網設備可能會招致僵尸網絡攻擊，大大降低企業的效率，長期如此將會導致企業聲譽的損失。據估計，2016年至今，Mir ai僵尸網絡已經感染了約250萬個物聯網設備，包括打印機、路由器和聯網攝像頭。僵尸網絡的創建者用它來發動分布式拒絕服務(DDo S)攻擊，包括攻擊網絡安全博客KrebsonSecurity。實際上，攻擊者利用被Mirai感染的所有設備，企圖同時試圖連接到目標網站，希望搞垮服務器，防止任何人訪問網站。

3 邊緣計算與物聯網結合的安全問題

邊緣計算是指在靠近物或數據源頭的一側，采用網絡、計算、存儲、應用核心能力為一體的開放平臺，就近提供最近端服務。其應用程序在邊緣側發起，產生更快的網絡服務響應，滿足行業在實時業務、應用智能、安全與隱私保護等方面的基本需求。邊緣計算處于物理實體和工業連接之間，或處于物理實體的頂端，邊緣計算的基本架構如圖1所示。

圖1 區塊和區塊鏈的組成

物聯網是邊緣計算發展的重要驅動力，反過來，邊緣計算又是支撐物聯網落地的技術基礎。如果將物聯網比喻為一種應用，那么邊緣計算就是其技術內核。對物聯網而言，邊緣計算技術取得突破，意味著許多控制將通過本地設備實現而無需交由云端，處理過程將在本地邊緣計算層完成。這無疑將大大提升處理效率，減輕云端的負荷。由于更加靠近用戶，還可為用戶提供更快的響應，將需求在邊緣端解決。邊緣計算與物聯網的結合有三種表現模式。

首先，邊緣計算的低延遲和交互性。云計算有延遲，尤其是Io T產生的數據，上傳云端計算，再返回設備，時效性太差。應用場景如實時語音翻譯、無人駕駛等對實時性要求特別高。再如，應急反應和應急聯動等場景，當Io T設備收集到數據時，首先要做的是關閉煤氣閥門，而不是傳到云端再去處理。這就是低延遲的重要性。

其次，從可擴展性角度考慮。云計算滿足不了目前大規模爆發的物聯網數據計算需求。Io T聯網設備和產生數據的增長量遠大于云計算的增長，但邊緣節點可以迅速擴充。

最后，有許多數據可以本地計算，不需要云計算。比如，機器產生的數據、電表數據、環境監測數據等數據并不需要云端處理，在本地端或者邊緣端處理即可，可避免帶寬的浪費。再如，海上鉆井平臺，只需要將監控有問題的數據傳給服務器即可。

邊緣計算層作為物聯網終端設備與云端處理中心的中間隔離介質，能夠很好地彌補終端設備安全性能較差的問題，通過在邊緣計算網絡域中增加物理網關和防火墻設備，能夠有效防止網絡攻擊和終端設備的惡意入侵，避免物聯網運行過程中遭到攻擊和破壞。

雖然邊緣計算能夠通過硬件隔離方法防止一定程度的網絡攻擊，且邊緣計算已經廣泛應用于智能交通、智慧醫療、智能電網、智能工廠、智能城市等關鍵領域。但隨著物聯網的不斷擴大和分散，邊緣計算分布廣、環境復雜、數量龐大、在計算和存儲上資源受限，并且很多應用在設計之初未能完備的考慮安全風險，傳統的安全防護手段已經不能完全適應邊緣計算的防護需求。可以將邊緣計算視為有運算能力的微型處理設備，從邊緣計算的架構來看，其本身架構也考慮到設備安全、網絡安全和數據安全三個方面的安全隱患。

（1）在設備安全方面，邊緣計算設備由于數量眾多，位置分布比較分散且環境十分復雜，很多設備內部是計算能力較弱的嵌入式芯片系統，很難實現自我安全保護。

（2）在網絡安全方面，由于邊緣計算龐大的網絡分布體系和復雜的分布環境，導致額外增加網絡隔離設備的成本巨大，分散布局的邊緣計算設備無法得到有效的網絡隔離，一旦被入侵或者攻擊，會導致整個物聯網的癱瘓。

（3）在數據安全方面，由于設備安全和網絡安全得不到保證，邊緣計算內置嵌入式芯片數據存儲本身不會自帶加密機制，導致存儲數據很容易泄露及篡改，且數據的連續性得不到保證的情況下，對云端的數據分析具有嚴重的影響。

4 區塊鏈與邊緣計算在物聯網安全領域應用

4.1 總體架構設計

邊緣計算雖然能夠緩解物聯網安全問題，但對于呈現逐漸爆發趨勢的物聯網龐大的終端設備體量來說，邊緣計算的覆蓋范圍受到了嚴重的限制，且本身由于覆蓋范圍、復雜環境等因素影響，安全問題也不斷暴露出來，導致物聯網安全問題沒有解決，又新增許多邊緣計算的安全問題；導致數據在邊緣計算設備中毫無安全措施，數據泄露、數據篡改、數據破壞、隱私保護都得不到有效的安全防護，對于物聯網安全的改善反而起到了事倍功半的效果。

區塊鏈的產生能夠很好地解決邊緣計算的安全問題。區塊鏈技術的四大特點是分布式數據存儲、點對點傳輸、共識機制、加密算法。區塊鏈解決的就是非安全環境中的可信問題、數據安全問題、身份權限問題和隱私保護問題。從邊緣計算的角度來說，其安全體系大概分為四類：數據安全、身份認證、隱私保護和訪問控制，具體的安全體系結構如圖2所示。

（1）數據安全。數據的主要內容包括數據保密性與安全共享、完整性審計和可搜索加密。終端產生的數據存儲在第三方，造成數據的所有權和使用權分離。數據丟失、數據泄露、非法數據操作（復制、發布、傳播）等問題頻發，數據安全無法保證。區塊鏈采用分布式加密存儲技術，哈希函數及非對稱加密算法的應用能夠防止數據泄露、數據泄露、散布和傳播。邊緣計算節點在完整數據的初步分析和處理后會將數據進行加密上傳至云端節點，同時本地存儲數據哈希值，防止數據在傳輸過程中出現篡改和泄露。

（2）身份認證。傳統的邊緣計算各個終端設備并沒有身份認證體系，也就不存在信任機制，惡意終端可以隨意接入，傳播病毒和軟件攻擊信息。導致物聯網運行癱瘓，影響生產和生活。區塊鏈可以為通過邊緣計算為其下每個終端設備分發數字證書（公私鑰），接收數據時，首先要驗證數據身份證書，數據只有通過身份驗證后才能進行邊緣計算和數據上傳。

（3）隱私保護。針對移動終端用戶，隱私保護是邊緣計算急需完善的問題，區塊鏈對隱私保護具有完善成熟的解決方案，如零知識證明，環簽名、群簽名的技術，為用戶提供模糊簽名和零知識證明應用，加強了移動物聯網的個人隱私保護。

（4）訪問權限。邊緣計算不同域之前及終端設備之間都可以通過區塊鏈技術分發數字證書，作為訪問邊緣計算權限控制手段，數字證書可以控制訪問的范圍、操作的層級和數據的權限，提供更安全的運算與存儲環境。

基于區塊鏈與邊緣計算的物聯網安全體系架構包括了終端設備、邊緣計算設備、云平臺存儲層（IaaS）。按節點分類可分為云節點、邊緣計算節點和終端節點三類。整體區塊鏈體系采用聯盟鏈架構，共識機制只在安全自主可控的云節點中進行。云節點指的是在云平臺的Iaa S層劃分出若干節點虛擬機，平臺管理者能夠控制各個云節點參與共識提交賬本數據。具體的基于區塊鏈與邊緣計算的物聯網安全整體架構如圖3所示。

圖2 邊緣計算安全體系架構

圖3 基于區塊鏈與邊緣計算的物聯網安全整體架構

如圖3所示，各終端節點包括移動電話、智能移動終端、物聯汽車、視頻監控、生物識別等，邊緣計算節點及云節點之間通過點對點網絡進行連接，通過加密算法進行數據上鏈及數據存儲，通過共識機制實現共同信任。各節點之間的網絡連接及節點功能劃分如圖4所示。

圖4 各節點功能及網絡結構圖

如圖4所示，終端節點只具有路由功能，負責連接更多的終端設備，邊緣計算節點與其附近的終端設備連接，成為物理意義上的父節點，但邊緣計算節點不能參與共識，其在對終端數據進行運算和處理后之存儲各個區塊的哈希值，并不是真正意義上的全賬本，只是具有全賬本的哈希值。云節點負責賬本存儲、共識、路由和應用等任務，云節點是在物聯網云平臺上劃分的多個虛擬機，虛擬機負責共識出塊和全賬本存儲，并可以通過開發區塊鏈應用來管理和監控整個物聯網網絡。

4.2 技術實現

在對比了現有聯盟鏈框架基本特性后，采用以太坊聯盟鏈框架搭建基于區塊鏈和邊緣計算的物聯網安全防護系統，系統的宗旨是在對現有物聯網改動最小的前提下實現新的基于區塊鏈的物聯網安全體系。系統采用以太坊PoA共識機制在云節點之間進行共識出塊，沿用經典以太坊數據結構和數據存儲機制，在加密和隱私方面采用多種加密算法相結合的方法實現了數據加密傳輸、加密存儲、不可篡改、可追溯等功能。系統沿用以太坊智能合約功能，利用智能合約將終端數據寫入區塊鏈，并利用以太坊提供的Restf ull風格的API函數及Web3.js開發包實現上層應用的開發，從而實現物聯網全節點管理、數據管理、權限管理、賬戶管理等功能，系統區塊鏈的具體框架如圖5所示。

圖5 區塊鏈基本結構圖

區塊鏈結構分為數據層、網絡層、共識層、合約層、接口層、業務層和應用層七部分。

（1）數據層。主要包含了數據結構和存儲兩部分重點功能，區塊鏈延用經典以太坊的數據結構和存儲機制。區塊結構包括了區塊鏈頭和區塊體，其中包含的參數如圖6所示。

其中，區塊頭包含了區塊的大部分重要信息如交易哈希值、狀態哈希值、父哈希值等，區塊體主要保存的是不同的交易信息。區塊的存儲也是將區塊體和區塊頭分開存儲與Level DB中，其中Key值為區塊鏈頭或區塊體的哈希值，Value值為區塊頭或區塊體的整體編碼值。

此外，在數據層還要實現數據的加密存儲，系統采用非對稱加密和對稱加密的方法實現數據的加密存儲和讀取權限的控制。

數據內容的加密滿足了平臺對節點賬本權限的要求，即用戶可以通過自己的私鑰解開加密內容，而不涉及業務相關內容的節點和用戶則無法看到具體內容。另外，如果業務相關方希望將數據分享給其他節點，只需要將對稱隨機秘鑰用接收方的公鑰進行一次加密即可，避免了多次重復的對加密原文進行處理的復雜過程。

圖6 區塊結構體圖

圖7 對稱加密與非對稱加密結合的加密和解密示意圖

（2）網絡層。區塊鏈延用了經典以太坊的P2P網絡結構，P2P網絡架構天然是去中心化的、分布式的。此外，對于單一個體只需要與相鄰的一部分同類有通信即可，每個個體可與多少相鄰個體、哪些個體有通信，需要根據具體業務需求進行設計。

（3）共識層。區塊鏈采用以太坊聯盟鏈共識算法Po A（Proof of Authority）權威證明共識機制，是由一組授權節點來負責新區塊的產生和區塊驗證。Po A是以太坊針對部分商業化許可區塊鏈需求推出一種低成本、高效率的共識機制。Po A共識初期形成可設定具有投票權或者簽名權的認證節點，區塊鏈上的新發生交易需經過認證節點簽名后才能夠完成上鏈廣播，對于后期新加入的節點，認證節點也可通過簽名投票的方式來決定是否允許新節點的加入。整體共識機制流程如圖8所示，該流程大體可以分為三個部分：區塊的產生、區塊的驗證和投票機制。

圖8 PoA共識流程圖

在安全系統中由云節點負責真個區塊鏈網絡的共識和出塊，并管理聯盟鏈中的各節點權限和認證。

（4）合約層。系統通過EVM（Ethereum Virtual M achine，以太坊虛擬機）實現智能合約的執行。EVM虛擬機是以太坊的一個重要創新，EVM是由許多互相連接的計算機組成的，任何人都可以上傳程序，并讓這些程序自動執行，同時保證所有智能合約的狀態總是可見的。系統通過智能合約將加密的終端數據寫入區塊鏈的合約賬戶并保存，這樣將確保數據的完整性、連續性和安全性。

5 結束語

論文通過論證了區塊鏈、邊緣計算與物聯網三者之間的關系以及邊緣計算如何解決物聯網痛點和安全性，并對邊緣計算與物聯網相結合所產生的安全問題進行分析，并利用區塊鏈技術從根本上解決了邊緣計算與物聯結合所帶來的數據安全、網絡安全和設備安全的問題。論文提出來基于區塊鏈技術的安全體系架構及部分技術實現方法，采用以太坊基于聯盟鏈的區塊鏈框架搭建了整個物聯網防護體系，解決了物聯網安全漏洞問題，提高了數據安全性。