IoT安全现状与挑战：传统模型为何失效
说实话，我在做IoT安全评估的头两年，见过太多「裸奔」的设备了。摄像头、智能灯泡、工业传感器，这些东西一旦连上网，就像没锁门的房子。今天这一章，我想跟你聊聊传统IoT安全模型到底哪里出了问题，以及零信任能怎么收拾这个烂摊子。
传统IoT安全模型：设备-网关-云
大部分IoT系统长什么样？我画个简化的结构你就明白了。
传统三层架构：
- 设备层：传感器、执行器、摄像头、智能终端
- 网关层：协议转换、数据汇聚、本地处理
- 云平台层：数据存储、分析、远程控制
这个模型看起来挺合理，对吧？设备连网关，网关连云，云再提供服务。但问题出在哪？
第一，信任是隐式的。 设备一旦通过网关认证，网关就默认它后续的所有行为都是合法的。我在项目里见过一个案例：某智能门锁厂商，设备注册后拿到一个永久token，之后网关再也不检查设备状态。结果呢？攻击者伪造了设备ID，直接控制了全楼的门锁。
第二，网关成了单点爆破口。 你想想看，所有流量都经过网关，网关一旦被攻破，整个网络就完蛋。我记得2017年有个客户，他们的IoT网关跑着Linux，上面开了SSH、Telnet、HTTP，默认密码还是admin/admin。我扫了一眼就说：「这玩意儿撑不过三天。」结果第二天就被挖矿程序入侵了。
第三，云平台过度信任网关。 云平台只认网关的证书，不验证设备本身的身份。攻击者只要控制了网关，就能冒充任意设备向云平台发送数据。说白了，整个信任链是「一根绳上的蚂蚱」。
| 层级 | 传统信任假设 | 实际风险 |
|---|---|---|
| 设备层 | 设备固件不可篡改 | 固件逆向、密钥提取、恶意固件注入 |
| 网关层 | 网关是可信边界 | 网关被控后，所有下游设备失陷 |
| 云平台层 | 网关上报的数据可信 | 数据伪造、重放攻击、设备指纹欺骗 |
僵尸网络案例分析：Mirai 是怎么干翻半个互联网的
说到IoT安全的「经典案例」，Mirai 必须排第一。2016年那次DDoS攻击，峰值流量达到1.2Tbps，把DNS服务商Dyn都给打瘫了。Twitter、Netflix、Reddit全挂了。为什么会这样？
Mirai 的攻击链条其实很简单：
- 扫描：随机扫描公网IP的Telnet端口（23/2323）
- 爆破：用预置的62组默认密码字典尝试登录
- 感染：登录成功后，下载恶意固件，设备变成「肉鸡」
- 潜伏：肉鸡继续扫描其他设备，指数级扩散
- 攻击：C2服务器下发攻击指令，所有肉鸡同时发起DDoS
我曾经帮一个客户复盘Mirai感染事件，发现他们的摄像头出厂密码是 123456，而且固件更新机制没有签名验证。攻击者直接替换了固件，摄像头就变成了攻击武器。嗯，这种案例我见过不下十次。
Mirai 暴露了传统IoT模型的几个致命弱点：
- 设备身份不可信：设备没有唯一的、不可伪造的身份标识
- 网络边界模糊：设备直接暴露在公网上，没有访问控制
- 固件完整性无保障：没有安全启动和固件签名机制
- 数据源不可验证：云平台无法区分正常流量和攻击流量
零信任如何解决IoT的四大痛点
好，问题摆在这了。零信任能做什么？我个人的经验是，零信任不是一套产品，而是一组原则。针对IoT，我们重点解决四个痛点：身份、网络、设备、数据。
1. 身份：给每个设备一个「身份证」
传统模型里，设备身份是「我说我是谁我就是谁」。零信任要求：每次访问都必须证明身份。
- 设备身份注册：每个设备出厂时烧录唯一的X.509证书或TPM密钥
- 动态令牌：每次会话使用临时令牌，避免永久凭证泄露
- 行为指纹：结合设备的行为模式（上报频率、数据格式）做二次验证
我建议你在设备注册阶段就引入「信任锚点」。比如用安全芯片存储私钥，私钥永远不出芯片。这样即使固件被逆向，攻击者也拿不到设备的核心身份凭证。
2. 网络：不再有「内网就是安全的」
你想想看，传统模型里，设备一旦接入内网，就可以随意访问其他资源。零信任说：网络不分内外，每个请求都要鉴权。
- 微隔离：设备只能访问它需要的服务，不能横向移动
- 应用层防火墙：不依赖IP和端口，基于设备身份和业务协议做访问控制
- 加密隧道：设备到网关、网关到云，全部使用mTLS加密
3. 设备：持续验证，永不信任
设备本身可能被篡改、被替换、被植入恶意固件。零信任要求：设备状态必须持续评估。
- 安全启动：固件启动时校验签名，确保没有被篡改
- 运行时完整性：定期检查设备的内存、进程、文件系统是否异常
- 合规检查：设备必须满足安全基线（补丁版本、杀毒软件、配置合规）才能接入网络
我曾经遇到一个项目，客户说「我们的设备都做了安全启动」。结果我一查，安全启动的密钥硬编码在固件里，攻击者用JTAG就能读出来。记住：密钥必须存储在硬件安全模块（HSM）或TPM里，不能放在Flash里。
4. 数据：端到端加密，最小化暴露
传统模型里，数据在网关处解密后再加密上传，网关能看到明文。零信任要求：数据从设备到云全程加密，中间节点不能解密。
- 端到端加密：设备与云平台直接建立加密通道，网关只做转发
- 数据最小化：设备只上报必要的数据，不暴露敏感信息
- 数据标签：每条数据携带设备身份和时间戳，防止重放攻击
零信任IoT安全架构总览
下面这张图是我自己总结的零信任IoT安全架构。你看，每个层级都有对应的控制点，不再是「信任所有内部流量」的扁平模型。
小结：从「信任但验证」到「永不信任，始终验证」
传统IoT安全模型的问题，说白了就是「信任假设太多」。信任设备不会说谎、信任网关不会被攻破、信任内网是安全的。Mirai 这样的僵尸网络告诉我们：这些假设全是错的。
零信任的思路很直接：不信任任何实体，每次访问都重新验证。身份、网络、设备、数据，四个维度都要管。我个人的经验是，刚开始做零信任改造时，团队会觉得「太麻烦了」。但经历过一次安全事件之后，所有人都会觉得「这点麻烦值得」。
记住一句话：在IoT世界里，没有「内部网络」这个概念。每个设备都是潜在的敌人，每次通信都可能是攻击。零信任不是让你变得多疑，而是让你变得清醒。