今天的設計人員比以往任何時候都更多地轉向無線技術，以使設備能夠相互通信。特別是在電池供電的情況下，這意味著我們不再需要在網絡節(jié)點之間串線，從而使部署更加容易且成本更低。

但是，很大程度上由于歷史原因，我們有幸擁有三個獨立的短距離無線標準，每個標準都有自己的領域。Wi-Fi 熟悉計算機連接和家庭接入點；藍牙將配件連接到您的手機或計算機，IEEE 802.15.4 將家庭和其他設備連接到一個強大的網狀網絡。

這些標準不可互操作。但是，隨著藍牙和 802.15.4 為基于 IP 的流量騰出空間，這種情況正在發(fā)生變化。好處是在其他孤立的域之間進行更大的相互通信——尤其是對于物聯(lián)網。不太明顯的是缺點：專注于 IP 的黑客現(xiàn)在可以進入更大的競爭環(huán)境。這給這些標準中的每一個都帶來了更大的安全負擔。這意味著每個協(xié)議中的其他層都需要加強其安全性，以確保如果有人通過 IP 突破，則有大量其他防御措施來打擊入侵者。

三個堆棧來統(tǒng)治他們

在這三種協(xié)議中，Wi-Fi是IP的天然載體。它依賴于物理層和鏈路層的 802.11，然后實施典型的基于 IP 的堆棧，使用 TCP 或 UDP 作為傳輸和熟悉的應用程序，如 HTTP、FTP、電子郵件，以及不斷發(fā)展的物聯(lián)網家庭標準，如 Apple 的 HomeKit 或 OIC Iotivity。

UDP（用戶數據報協(xié)議）是一種替代 TCP，主要用于在 Internet 上的應用程序之間建立低延遲和容錯連接。UDP 和 TCP 都運行在 Internet 協(xié)議 (IP) 之上。

相比之下，藍牙有一個端到端的完整堆棧，從物理層一直到頂部的應用程序。較新的低功耗藍牙協(xié)議或藍牙 SMART 最初針對流數據進行了優(yōu)化，更適合物聯(lián)網通信，但無法處理 IP 流量。任何基于 IP 的內容都必須在網關中進行轉換，然后才能發(fā)送到基于藍牙的設備。

ZigBee 有一個基于 802.15.4 MAC/PHY 層的獨特堆棧。除此之外，它不同于 Wi-Fi 和藍牙，一直到定義應用程序級互操作的 ZigBee 集群庫。這意味著這些協(xié)議在任何層都沒有任何共同點。

圖 1：Wi-Fi、ZigBee 和藍牙低功耗協(xié)議棧在任何級別均不共享任何共同元素，從而阻礙了互操作性。

無處不在地利用 IP

然而，這種情況正在發(fā)生變化，因為 ZigBee 和藍牙都采取了措施來適應基于 IP 的流量。雖然這不會改變每個標準現(xiàn)在看到的原始本機協(xié)議流量，但它可以讓額外的流量更容易地從一個到另一個。

在 802.15.4/ZigBee 世界中，一種新的網絡子層協(xié)議 6LoWPAN（IPv6 over Low-power Wireless Personal Area Networks）使 IP 流量適應底層 802.15.4 層。它負責 IP 報頭壓縮、分段和重組以適應 802.15.4 數據包。

Thread 協(xié)議是 IPv6 在 802.15.4 無線電上的一種實現(xiàn)；將 UDP 分層作為 6LoWPAN 上的傳輸層。Thread 和 ZigBee 最近宣布合作，這將使應用程序級別的 ZigBee 集群庫能夠在 Thread 上運行作為替代方案。

最后，藍牙 4.2 添加了一個利用 6LoWPAN 的 IP 支持配置文件 (IPSP)。這實現(xiàn)了通信，并為 IPSP 之上的基于 IP 的堆棧鋪平了道路，其方式與 ZigBee 相同。雖然 6LoWPAN 最初被設想為在 802.15.4 上實現(xiàn) IPv6 的一種方式，但它已進一步適應在藍牙中執(zhí)行相同的角色。

圖 2：現(xiàn)在，三種無線協(xié)議中的每一種都具有接受基于 IP 的數據包的方法，這意味著所有三種無線協(xié)議都可以在 IP 層之上實現(xiàn)相同的堆棧。

最重要的保護之一是身份驗證。雖然身份驗證的使用很常見，但通常只在一個方向上完成；節(jié)點將在網絡上進行身份驗證，但網絡不會在節(jié)點上進行身份驗證。為了確保對節(jié)點和網絡的全面保護，物聯(lián)網節(jié)點必須在應用程序級別對新連接和消息進行身份驗證，以便任何安全漏洞的范圍都有限。

更大的目標

在這些發(fā)展之前，基于 IP 的流量僅限于基于 IP 的網絡，這意味著源自 ZigBee 網絡的 Wi-Fi 流量保留在 ZigBee 上，而藍牙流量則保留在藍牙內。通過向基于 IP 的流量開放所有三個標準，信息可以更廣泛地流動；消除了網絡之間基于協(xié)議的障礙，提高了互操作性。但這些好處是有代價的。6LoWPAN、ZigBee 和藍牙提供的擴展范圍也擴大了攻擊者的范圍，使他們有可能獲得對以前難以滲透的網絡的新訪問權限。

這是多層安全變得特別重要的地方。不同的層具有必須實施的安全規(guī)定，以確保這些新可訪問的節(jié)點不會成為準備好的目標。要保護的最重要的層是數據鏈路層、傳輸層和應用層。第 2 層，即數據鏈路層，位于 IP 或任何 IP 適配之下，因此每個無線協(xié)議都不同。

通過 WPS 等協(xié)議的 Wi-Fi 安全性可確保網絡內的數據加密。802.15.4 無線電協(xié)議使用 AES-128 在數據鏈路級別提供幀加密。Thread 充分利用了這一點。藍牙的數據鏈路層安全提供加密和身份驗證。

802.15.4 安全功能通常在硬件中實現(xiàn)，盡管它們對于 ZigBee 不是強制性的。然而，對于 Wi-Fi 和藍牙，安全功能不是必需的，為了簡化操作和最小化成本，可能很容易將它們排除在外。網絡互操作性造成的漏洞增加意味著數據鏈路安全不應再被視為可選項。

在 IP 之上，通常有兩個選項：UDP 和 TCP。這些傳輸協(xié)議中的每一個都有一個相關的安全協(xié)議。對于 UDP，它是 DTLS；對于 TCP，它是 TLS。TCP 和 UDP 本身不提供安全性。TLS（有時稱為 SSL，傳輸安全的早期版本）提供連接身份驗證和會話密鑰交換以及數據加密。DTLS 適用于 UDP 的數據報性質，而不是 TCP 的分段性質。

但源自 IP 的流量現(xiàn)在可以流向網絡中的任何地方，包括不接受 IP 的節(jié)點。因此，還必須實現(xiàn)原生 ZigBee 和藍牙傳輸層安全功能。ZigBee PRO 要求在網絡和應用程序級別進行加密。傳輸級加密應該被認為是強制性的。相比之下，原生藍牙實現(xiàn)僅在數據鏈路層中具有安全性，在傳輸層中沒有。

應用層

最后是應用程序層，由于應用程序的多樣性，因此沒有真正的標準。這些可以是 HTTP、電子郵件或任何使用 MQTT 或 CoAP 等消息傳遞協(xié)議在節(jié)點之間進行通信的各種 IoT 應用程序。根據其復雜程度，此類協(xié)議可能會或可能不會提供額外的內置安全性，因此設計者或架構師有責任構建應用程序級保護。而且，Apple 的 HomeKit、OIC Iotivity 和 Google Weave 等物聯(lián)網家庭標準也在這一層不斷發(fā)展。

審核編輯 黃昊宇