全接入技術在NB-IoT智能燃氣表中的應用

◆付京波 張 云

全接入技術在NB-IoT智能燃氣表中的應用

◆付京波 張 云

（工業和信息化部網絡安全產業發展中心（工業和信息化部信息中心） 北京 100142）

NB-IoT技術的發展將會促進物聯網在各類行業中得到廣泛應用。本文針對NB-IoT網絡通信中存在的安全風險，通過對網絡安全接入的整體技術研究和NB-IoT智能燃氣表安全接入解決方案設計，解決了NB-IoT智能燃氣表接入內網過程中的安全問題。

NB-IoT；安全接入；智能燃氣表

隨著社會的發展以及我國能源結構轉型，燃氣表已經走進了千家萬戶，但是傳統的機械式的氣表要靠人工上門進行抄表，難免會存在效率低、人工成本高、記錄數據容易出錯、維護管理困難、繳費不方便等弊端[1]。

因此，基于運營商無線網絡的遠程智能抄表便應運而生，它解決了人工抄表一系列問題。其中，具有強覆蓋、大容量、低成本、低功耗等特性NB-IoT傳輸技術將被大量應用于智能表中。

NB-IoT無線物聯通信技術借助于運營商提供的公共無線信道，無線網絡固有的脆弱性可能會給系統帶來潛在的風險，主要表現為：（1）攻擊者可以通過干擾信號中斷網絡通信；（2）攻擊者可通過偽基站方式獲取信息，導致企業數據泄漏；（3）NB-IoT網絡自身認證機制弱，存在數據仿冒、篡改等風險，威脅企業應用安全；（4）由于單個扇區的節點數目龐大，攻擊者可以利用控制的節點發起拒絕服務攻擊，進而影響網絡的性能。

本文設計在智能燃氣表的接入過程中，引入高效的端到端身份認證機制、密鑰協商機制，為NB-IoT 的數據傳輸提供機密性和完整性保護，同時也能夠有效認證消息的合法性，解決NB-IoT通信中的安全問題。

1 安全接入現狀分析

傳統的網絡安全接入方案是基于虛擬專用網（VPN）接入技術，通過對接入終端、數據傳輸以及應用系統的全方位改造，實現對企業內部網的擴展，幫助遠程終端與公司的內部網建立可信的安全連接[2]，并保證數據的安全傳輸。虛擬專用網（VPN）被定義為通過一個公用網絡（通常是因特網）建立一個臨時的、安全的連接，是一條穿過混亂的公用網絡的安全、穩定的隧道。

但是互聯網中的VPN接入技術，例如IPSEC、SSL等，其安全協議實現較為復雜，直接部署于NB-IoT網絡中將造成認證時間較長，通信速率較低等問題。

2 NB-IoT智能表安全接入架構設計

NB-IoT智能表安全接入架構是針對智能燃氣表傳輸數據需求建立的以數據安全為核心的數據交互安全模型，包括體系架構、應用架構與防護架構。

2.1 安全接入體系架構

安全接入體系用于解決目前智能燃氣表外網接入存在的用戶信息易泄漏、身份認證不嚴格和訪問控制粒度不夠等問題。

安全接入體系由三部分組成：安全接入終端、安全通道和安全接入網關[3]。安全接入終端是經過安全加固的智能表終端，安全的接入終端可以保證從源頭杜絕危險。安全通道采用國密技術在NB-IoT網絡之上建立的虛擬通道，可以保證數據的安全傳輸。安全接入網關是智能表接入內網應用并進行數據交換和授權訪問的基礎平臺，保證企業內網應用的安全接入控制。

圖1詳細展現了安全接入體系的架構圖。

圖1 安全接入體系架構圖

2.2 安全接入應用架構

安全接入應用架構分為安全接入終端層、安全傳輸通道層、安全接入平臺層和業務訪問層四層，由安全接入終端、安全傳輸通道、安全接入平臺和密鑰管理系統組成。

圖2詳細描述了NB-IoT智能表安全接入的總體架構。

圖2 NB-IoT智能表安全接入平臺的總體架構

（1）安全接入終端層

安全接入終端指經過安全加固的安全終端，這些終端需要通過外部網絡訪問內網系統。由于智能表終端自身防護能力有限，在進行數據交互接入過程中會對企業內網帶來安全威脅。從終端安全的角度，需要對其進行安全加固，包括終端通信數據安全加密、終端身份安全認證等。

（2）安全傳輸通道層

為了防止數據在傳輸的過程中被竊聽、篡改、破壞，終端和安全接入網關之間采用安全傳輸通道進行通信。傳輸通道的安全從兩方面保證：一方面，承載網絡采用專線方式，如運營商提供的APN專線；另一方面，通訊方式采用基于SSL裁剪后的安全通訊協議，在專線上建立安全通道，對傳輸的數據進行加密保護。

（3）安全接入平臺層

安全接入網關作為安全接入平臺層的核心，負責建立安全通道和對智能表進行訪問控制，能夠保證接入傳輸的安全和內網系統的安全。網關在對終端進行身份認證，保證終端可信性的同時，利用安全通信協議與安全接入網關建立安全通道，對傳送的數據進行加密，防止數據在傳送的過程中被截獲、篡改和破壞。

此外，安全接入網關應根據相應的規則對智能表的訪問權限進行網絡層控制，保證智能表只能訪問與其自身的權限相對應的內部資源，保證整體內網其他業務系統的安全。

2.3 安全接入防護架構

NB-IoT智能表安全接入防護架構從接入終端、網絡環境、邊界和應用四個層次進行安全設計，體現層層遞進、縱深防御的設計思想[3]。通過四層的安全防護模式，實現了對智能表接入過程中數據交互的全面安全防護，保證了企業信息內網的安全。

圖3詳細展現了NB-IoT智能表安全接入防護體系。

圖3 NB-IoT智能表安全接入防護體系

（1）接入終端安全防護

接入終端安全防護的目的是確保接入終端自身的安全性，確保業務數據在進入、離開或駐留接入終端時保持可用性、完整性和保密性。通過對接入終端進行安全加固，確保接入終端的安全。

（2）網絡環境安全防護

安全接入網絡環境安全防護側重于對網絡傳輸的業務信息流進行安全防護。一方面承載網絡采用邏輯專線方式，另一方面，采用國密技術在邏輯專線上建立安全通道，對通信雙方進行身份認證，對傳輸的數據進行加密，實現端到端的安全傳輸要求。

（3）邊界安全防護

安全接入邊界安全防護考慮的是使非法終端、不安全終端和非法用戶無法接入內網，確保內網不受來自外部的攻擊。通過安全接入網關隔離外部接入終端和內部應用，采取身份認證、訪問控制等安全措施，實現終端合法接入以及合法終端對網絡和應用系統的合法訪問。

（4）應用安全防護

應用安全防護包含對應用系統本身的防護。對于接入終端數據訪問的安全防護，應采取權限管理、數據校驗等措施。

3 NB-IoT智能表安全接入通信流程設計

NB-IoT智能表安全接入通信流程設計包括智能表及安全接入網關的證書簽發、智能表連接過程中的身份認證及數據加密等流程。

圖4 詳細展現了NB-IoT智能表安全接入通信流程。

圖4 NB-IoT智能表安全接入通信流程

（1）證書認證中心生成根證書，作為企業所有設備身份認證的基礎；

（2）證書認證中心為邊界安全接入網關發行證書；

（3）NB-IoT智能燃氣表利用安全芯片產生自己的密鑰對，并將公鑰及設備ID信息傳送給證書認證中心。證書認證中心為NB-IoT智能燃氣表發行設備數字證書，證書中附有NB-IoT智能燃氣表ID、公鑰及認證中心的簽名信息；

（4）NB-IoT智能燃氣表與邊界安全接入網關通過對雙方證書的認證實現雙向身份認證，并在認證過程中協商出雙方通信的會話密鑰；

（5）安全接入網關對證書身份進行認證；

（6）NB-IoT智能燃氣表上送采集數據時，利用會話密鑰預先進行加密；

（7）邊界安全接入網關利用會話密鑰將數據解密后，發送至企業內網的應用系統。

4 結束語

NB-IoT作為物聯網的一種重要分支，在燃氣、水務、電力、交通等行業具有廣闊的應用前景，但是由于NB-IoT通道自身的脆弱性帶來的安全問題已成為制約其大規模應用的重要因素。本文通過安全接入技術在NB-IoT智能燃氣表中的應用研究，為其他行業提供了借鑒，也為未來國家信息基礎設施安全建設提供技術支撐。

[1]易國鍵.基于NB-IOT遠程抄表系統的設計與實現[J]. 科學與財富，2017（24）：219-219.

[2]黃鳳玲.淺談網絡VPN技術在電子政務中的實際應用[J].信息與電腦（理論版），2011（5）：108-109.

[3]張云.電力營銷終端安全接入系統的研究與實現[D]. 華北電力大學，2013.