基于網(wǎng)絡(luò)加密的SSL和IPsec的對比

　　?物聯(lián)網(wǎng)（IoT）設(shè)備無處不在——從建造樓層和樓宇管理到視頻監(jiān)控和照明系統(tǒng)。然而，安全威脅是企業(yè)或家庭環(huán)境采用物聯(lián)網(wǎng)設(shè)備的重要障礙，比如遠(yuǎn)程醫(yī)療監(jiān)控的敏感應(yīng)用。物聯(lián)網(wǎng)安全可以分為以下三個不同的組件：

　　1．應(yīng)用服務(wù)

　　2．終端設(shè)備

　　3．運(yùn)輸

　　雖然這三個對系統(tǒng)安全性至關(guān)重要，但這篇文章將僅討論網(wǎng)絡(luò)傳輸?shù)陌踩浴?/p>

　　有兩個主要領(lǐng)域，用戶使用較少的設(shè)備增長量最快：消費(fèi)和工業(yè)應(yīng)用。 在消費(fèi)者空間中，家庭安全系統(tǒng)和設(shè)備將理想地使用基于SSL的VPN，因為源點和目的地點可以被良好定義，例如，報警系統(tǒng)收集數(shù)據(jù)并將其發(fā)送到監(jiān)控程序。

　　在工業(yè)領(lǐng)域，物聯(lián)網(wǎng)將用于連接機(jī)器和自動化，以提高制造運(yùn)營的產(chǎn)出和效率。傳感器已經(jīng)在許多工業(yè)系統(tǒng)中使用，例如，在同一工廠車間內(nèi)，低容量傳感器可以彼此靠近放置，以監(jiān)視設(shè)備溫度，編程PLC或控制照明系統(tǒng)。

　　大多數(shù)傳感器不具有實現(xiàn)適當(dāng)級別的加密所需的計算能力，因此需要網(wǎng)絡(luò)來提供這種功能。這可以通過內(nèi)部網(wǎng)絡(luò)實現(xiàn)，在某些情況下甚至可以通過合作伙伴的網(wǎng)絡(luò)實現(xiàn)。

　　在某些地區(qū)，IoT將導(dǎo)致小區(qū)域內(nèi)設(shè)備的密度急劇上升，每個設(shè)備都需要安全保護(hù)關(guān)鍵數(shù)據(jù)。

　　由于這些應(yīng)用程序大部分都鏈接到關(guān)鍵業(yè)務(wù)系統(tǒng)，因此它們通常與企業(yè)的IT基礎(chǔ)設(shè)施集成。這帶來了一系列獨特的安全挑戰(zhàn)。

　　SSL vs． IPsec

　　基于網(wǎng)絡(luò)的加密，即SSL和IPsec，哪個最適合于在IoT上的安全網(wǎng)關(guān)和設(shè)備？

　　IPsec作為物聯(lián)網(wǎng)網(wǎng)關(guān)的安全協(xié)議，可能是比SSL更好的選擇，因為這些網(wǎng)關(guān)用于將非IP數(shù)據(jù)轉(zhuǎn)換為IP。因此，它們可以是網(wǎng)絡(luò)中的第一個IP連接點。這些網(wǎng)關(guān)用于連接不同類型的設(shè)備，并共享傳感器數(shù)據(jù)，包括視頻監(jiān)控、照明、溫度和工業(yè)控制系統(tǒng)。由于大多數(shù)低端傳感器不支持加密（如燈泡），第一跳路由器可能是網(wǎng)絡(luò)中的第一個加密點。

　　由于對多種類型的數(shù)據(jù)進(jìn)行分段，IoT基礎(chǔ)設(shè)施將需要適當(dāng)?shù)恼军c到站點加密。IPsec為遠(yuǎn)程訪問站點到站點連接提供了好處。 由于IoT需要網(wǎng)絡(luò)分段，因此可以在數(shù)據(jù)平面中在定義的點解密IPsec，如圖所示，僅連接網(wǎng)絡(luò)某些部分中的特定VPN段。

　　在實現(xiàn)IPsec的傳統(tǒng)方法中，IKE控制和IPsec數(shù)據(jù)平面都被合并，不提供比SSL顯著的益處。然而，使用軟件定義網(wǎng)絡(luò)（SDN）技術(shù)，可以擴(kuò)展IPsec以使用因特網(wǎng)密鑰交換（IKE）作為控制／管理信道，IPsec作為數(shù)據(jù)信道來提供數(shù)據(jù)控制平面分離。