1. Thread网络设备安全工程导论

Thread 是一种基于 IEEE 802.15.4 物理层与 MAC 层、面向低功耗物联网设备的 IPv6 网状网络协议。它把家庭、楼宇、工业场景中的传感器、灯具、门锁、温控器等设备组织成一个自愈、可扩展的本地网络，并通过边界路由器接入外部 IP 网络。理解 Thread 的安全工程，必须先看清它的协议栈分层、设备角色分工，以及由此产生的信任边界与威胁面。

一、Thread协议栈架构

Thread 协议栈自下而上可划分为若干层，每一层承担不同的安全职责：

• 物理层与 MAC 层（IEEE 802.15.4）：工作在 2.4 GHz 频段，提供 250 kbps 速率与 AES-CCM* 链路层加密能力。MAC 层负责帧的收发、CSMA/CA 信道接入与确认重传。
• 6LoWPAN 适配层：完成 IPv6 报文与 802.15.4 小帧之间的头部压缩与分片重组，使 IPv6 能在低功耗链路上运行。
• IPv6 与 6LoWPAN 网络层：负责寻址与路由。Thread 使用 Mesh-Local 前缀（如 fd00::/8 范围内的 ULA）与 RLOC16 等短地址，实现网状转发。
• 传输层：通常使用 UDP，部分应用使用 TCP 或 CoAP over DTLS。
• 应用层：常见为 CoAP、MQTT-SN 或厂商私有协议，承载设备控制与状态上报。

安全能力并非集中在某一层，而是分层叠加：MAC 层提供逐跳链路加密，网络层与应用层则依赖网络密钥与应用层密钥实现端到端或组内保护。这种“分层加密”是 Thread 安全设计的基础特征。

二、设备角色与信任边界

Thread 网络中的设备按功能分为三类角色，它们在安全工程中承担不同的信任级别：

• 边界路由器（Border Router）：连接 Thread 网状网络与外部 IP 网络（如 Wi-Fi、以太网）。它负责 IPv6 前缀分发、NAT64/DNS64 转换以及外部路由通告。边界路由器是内外网络之间的信任桥梁，一旦被攻破，攻击者可能横向渗透到整个 Thread 网络。
• 路由器（Router）：具备转发能力的节点，参与 Mesh 路由维护，为终端设备提供多跳中继。路由器通常由市电供电，计算与存储资源相对充裕，可承担更多安全策略执行任务。
• 终端设备（End Device）：通常为电池供电的传感器或执行器，不参与路由转发，通过父节点（路由器或边界路由器）接入网络。终端设备资源受限，安全能力有限，是攻击者最易物理接触的目标。

从信任边界看，Thread 网络内部设备共享网络密钥，彼此之间存在“网络级信任”；但应用层数据可能只对特定设备或组可见，形成“应用级信任”。边界路由器则处于内外信任的交界处，需要重点防护。

三、安全工程的目标与范围

Thread 设备安全工程的目标可归纳为四个维度：

1. 机密性：确保网络密钥、应用数据、设备凭证不被未授权方获取。
2. 完整性：防止攻击者篡改控制指令、状态上报或路由信息。
3. 可用性：抵御拒绝服务攻击，保证网络在干扰或节点失效时仍能自愈。
4. 可认证性：确保入网设备身份真实，防止恶意设备伪装成合法节点加入网络。

安全工程的范围覆盖设备全生命周期：从出厂时的凭证注入、入网时的身份认证与密钥分发、运行时的密钥轮换与固件更新，到设备退役时的凭证撤销与数据清除。每个阶段都有对应的安全控制点。

四、威胁模型概览

针对 Thread 网络的威胁可按攻击者位置与能力分类：

需要特别注意的是，Thread 网络中的终端设备往往部署在物理可接触的位置（如门锁、传感器），攻击者可能直接读取其存储的密钥或替换固件。因此，威胁模型必须同时考虑远程无线攻击与本地物理攻击。

五、安全工程的基本实践原则

在后续章节展开具体技术之前，先建立几条贯穿始终的实践原则：

• 最小信任：不默认任何设备可信，入网必须经过认证与授权。
• 分层防护：链路层、网络层、应用层各自独立加密，避免单点失效。
• 密钥隔离：网络密钥与应用密钥分离，不同应用使用不同密钥。
• 可更新性：支持安全固件更新与密钥轮换，避免长期使用同一凭证。
• 可观测性：记录入网、密钥变更、异常帧等事件，便于审计与排障。

这些原则将贯穿 Thread 设备安全工程的各个阶段。理解协议栈分层、设备角色与信任边界，是后续进行密钥管理、入网认证、固件更新与入侵检测设计的基础。