如何在 Wi-Fi 模塊中實現(xiàn)更好的物聯(lián)網(wǎng)安全性

在工業(yè)物聯(lián)網(wǎng)部署中，無線技術(shù)（不包括低功率）可大致分為蜂窩或短程無線。短距離無線包括 Wi-Fi、藍(lán)牙、Zigbee 和各種其他協(xié)議。

嵌入式系統(tǒng)設(shè)計人員通常決定使用現(xiàn)成且經(jīng)過認(rèn)證的無線模塊，而不是從頭開始設(shè)計無線通信電路。其中一些現(xiàn)在在單個模塊中適應(yīng)各種頻率和協(xié)議。本文討論了 Wi-Fi 模塊的架構(gòu)，以及設(shè)計人員通過使用此類模塊中可用的資源來提高物聯(lián)網(wǎng)設(shè)備和網(wǎng)絡(luò)安全性的機會。在實踐中，相同的通用方法可以應(yīng)用于其他模塊，而不管所涉及的無線協(xié)議如何。

什么是 Wi-Fi 模塊？

Wi-Fi 模塊包括用于 2.4GHz 或 5GHz 頻段（或兩者）的無線收發(fā)器、天線和用于運行固件、使無線電能夠接收和傳輸數(shù)據(jù)以及操作協(xié)議的微控制器。微控制器的外部接口通常是 SPI、I 2 C、USB 或 UART。

圖 1：無線模塊的基本元素。

將 Wi-Fi 模塊連接到網(wǎng)絡(luò)

Wi-Fi 模塊需要運行 IEEE 802.11 標(biāo)準(zhǔn)定義的幾種不同協(xié)議才能連接到網(wǎng)絡(luò)。連接后，它們還必須運行所需的機器對機器協(xié)議。用于連接到云服務(wù)器的一組典型協(xié)議棧和函數(shù)可能包括：

TLS

TCP/IP

HTTP/S

FTP

MQTT

證書處理（安全）

加密密鑰使用（安全性）

由于成本和功率限制，Wi-Fi 模塊中的設(shè)備通常資源有限，因此通常會將一些網(wǎng)絡(luò)協(xié)議卸載到主機應(yīng)用處理器。與調(diào)制解調(diào)器一樣，Wi-Fi 模塊通過 UART 接口使用 AT 命令。隨著模塊變得更加復(fù)雜，AT 命令變得更加強大，應(yīng)用處理器的工作量也減少了。

無線系統(tǒng)分區(qū)

從安全的角度來看，一個重要的考慮因素是每個協(xié)議棧和安全功能應(yīng)該駐留在哪里。早期的物聯(lián)網(wǎng)設(shè)備通常會在 Wi-Fi 模塊上運行 TCP/IP 和 HTTP 協(xié)議，而 HTTP 命令、客戶應(yīng)用程序和安全證書由應(yīng)用程序處理器處理。

由于 HTTPS 協(xié)議取代了 HTTP 以確保對通過 Internet 發(fā)送的數(shù)據(jù)進(jìn)行加密，因此 HTTPS 協(xié)議棧通常包含在 Wi-Fi 模塊中，但 HTTPS 命令來自應(yīng)用程序處理器。HTTPS 由 TLS 協(xié)議保護(hù)，需要使用加密技術(shù)。加密密鑰通常由應(yīng)用處理器存儲在其本地安全存儲器中。然而，連接到應(yīng)用處理器的安全元件通常用作替代的安全存儲機制。

圖 2：在哪里存儲各種協(xié)議棧、證書和密鑰是一個安全關(guān)鍵的決定。

上述方法的最大弱點是通過 UART/SPI 鏈路傳輸?shù)臄?shù)據(jù)通常是明文的。這意味著無法通過它安全地發(fā)送加密密鑰。當(dāng)無線模塊連接到 IoT 設(shè)備（例如傳感器）時，這一挑戰(zhàn)會更加嚴(yán)重，然后您需要為用于安全管理此類設(shè)備的任何軟件平臺存儲根證書、URL 和 API，以及加密密鑰當(dāng)它們連接到服務(wù)和應(yīng)用程序時。

構(gòu)建 Wi-Fi 模塊以加速物聯(lián)網(wǎng)設(shè)備管理

Crypto Quantique 的 QuarkLink (QL) 等軟件安全平臺可以節(jié)省數(shù)月的時間來實施安全連接到云服務(wù)器所需的復(fù)雜堆棧。這提供了針對流行微控制器的固件 API 和示例項目。該平臺通過簡單的圖形用戶界面提供物聯(lián)網(wǎng)設(shè)備的入職和生命周期管理。用戶幾乎不需要安全專業(yè)知識。數(shù)以千計的物聯(lián)網(wǎng)設(shè)備可以在幾分鐘內(nèi)安全地連接到本地或基于云的服務(wù)器。

如果微控制器中有足夠的資源來存儲促進(jìn)安全連接所需的元素，則可以配置更復(fù)雜的 Wi-Fi 模塊以在網(wǎng)絡(luò)中使用 QuarkLink。此類模塊還將具有到應(yīng)用處理器的加密鏈接。然后將配置功能劃分，如圖 3 所示。

圖 3：具有簡化設(shè)備啟動和生命周期管理所需的 QuarkLink 資源的無線模塊。

選擇您的 Wi-Fi 模塊：選擇注意事項

在為安全物聯(lián)網(wǎng)應(yīng)用選擇 Wi-Fi 模塊時，請選擇具有足夠處理器和內(nèi)存資源的模塊，以便在模塊本身而非應(yīng)用處理器中存儲和處理所選安全平臺的元素。這將降低開發(fā)可靠物聯(lián)網(wǎng)產(chǎn)品所需的復(fù)雜性和工程資源。

然后可以將工程工作集中在核心應(yīng)用程序上，而無需調(diào)試復(fù)雜、安全的通信軟件堆棧。結(jié)果是更安全和可靠的結(jié)果，消除了 Wi-Fi 模塊和應(yīng)用處理器之間過于復(fù)雜的通信的需要。

審核編輯 黃昊宇