超级会员免费看
保障API通信安全：从服务间交互到物联网设备
1. 服务间API安全基础
在服务间API调用中，有多种安全认证机制可供选择：
-
API密钥
：常用于服务对服务的API调用认证，签名或加密的JWT是有效的API密钥，用于客户端认证时被称为JWT承载认证。
-
OAuth2客户端凭证授权
：支持服务间API调用，允许客户端以自身权限获取访问令牌。
-
服务账户
：是客户端凭证授权的灵活替代方案，类似常规用户账户，但供服务使用。由于其通常具有比普通账户更高的权限，因此需要强大的认证机制来保护。
-
JWT承载授权类型
：可使用JWT为服务账户获取访问令牌，适用于在服务启动时部署短期JWT，然后将其交换为访问和刷新令牌，避免将长期、高权限的凭证留在磁盘上。
-
TLS客户端证书
：可对服务客户端进行强认证，证书绑定的访问令牌能提高OAuth2的安全性，防止令牌被盗用。
-
Kubernetes凭证分发
：提供了一种简单的服务凭证分发方法，但存在安全弱点。秘密保险库和密钥管理服务安全性更好，但需要初始凭证才能访问，短期JWT可作为初始凭证，风险较低。
-
避免混淆代理攻击
：在响应用户请求进行服务间API调用时，应注意避免混淆代理攻击。可将原始用户身份传达给后端服务，在微服务架构中，幻影令牌模式是实现这一目标的有效方法，OAuth2令牌交换和macaroons可跨信任边界使用。
2. 物联网API安全挑战与背景
物联网（IoT）设备极大地拓宽了API客户端的环境范围，尤其是在工业或农业环境中，设备可能部署在几乎没有物理保护或监控的偏远地区。这些设备与消息服务中的API通信，将传感器数据流式传输到云端，并提供自身的API以执行物理操作。然而，物联网设备在处理能力、电池寿命和其他物理特性方面往往受到限制，使得应用传统的API安全技术变得困难。
3. 物联网传输层安全
在传统API环境中，客户端与服务器之间的通信安全通常基于TLS。但在物联网世界中，情况更为复杂：
-
设备受限
：物联网设备可能资源受限，降低了执行TLS中使用的公钥密码学的能力，例如CPU功率和内存有限，或依靠电池供电需要节能。
-
协议选择
：为提高效率，设备常使用基于UDP的紧凑二进制格式和底层网络协议，而非基于TCP的高级协议（如HTTP和TLS）。
-
多协议传输
：单个消息可能通过多种协议从设备传输到目的地，网关设备需要对协议消息进行解密和转换，这使得简单的端到端TLS连接难以实现。
-
算法实现困难
：由于硬件限制或物理攻击者带来的新威胁，一些常用的加密算法在设备上难以安全或高效地实现。
4. Datagram TLS（DTLS）
为保护基于UDP的协议，开发了Datagram TLS（DTLS）。它是TLS的一个变体，旨在与无连接的基于UDP的协议配合使用，提供与TLS相同的保护，但无法检测数据包的重新排序或重放。
-
DTLS与TCP的对比
：TCP实现复杂，需要大量代码，可靠性特性增加了存储需求，标准TCP头较长，无法使用多播功能，且物联网设备进入睡眠模式会导致TCP连接中断。而DTLS基于UDP，更为简单。
-
DTLS版本对应
：最近的DTLS版本与TLS版本相对应，如DTLS 1.2对应TLS 1.2，支持类似的密码套件和扩展，截至编写时，DTLS 1.3即将最终确定，对应最近标准化的TLS 1.3。
-
QUIC协议
：Google的QUIC协议是TCP和UDP之间的中间方案，将成为HTTP/3的基础。它基于UDP，但提供了许多与TCP相同的可靠性和拥塞控制功能，且直接集成了TLS 1.3，减少了TLS握手的开销。虽然QUIC最初并非为紧凑代码大小设计，但在物联网环境中可显著减少网络使用和降低连接延迟，尽管尚未广泛应用，但未来可能会变得越来越重要。
5. Java中实现DTLS客户端
在Java中实现DTLS客户端，需要以下步骤：
-
创建SSLContext
：通过
SSLContext.getInstance("DTLS")
获取DTLS的SSLContext，加载受信任的证书颁发机构（CAs）证书并初始化TrustManagerFactory，最后使用
SSLContext.init()
方法初始化SSLContext。
package com.manning.apisecurityinaction;
import javax.net.ssl.*;
import java.io.FileInputStream;
import java.nio.file.*;
import java.security.KeyStore;
import org.slf4j.*;
import static java.nio.charset.StandardCharsets.UTF_8;
public class DtlsClient {
private static final Logger logger =
LoggerFactory.getLogger(DtlsClient.class);
private static SSLContext getClientContext() throws Exception {
var sslContext = SSLContext.getInstance("DTLS");
var trustStore = KeyStore.getInstance("PKCS12");
trustStore.load(new FileInputStream("as.example.com.ca.p12"),
"changeit".toCharArray());
var trustManagerFactory = TrustManagerFactory.getInstance(
"PKIX");
trustManagerFactory.init(trustStore);
sslContext.init(null, trustManagerFactory.getTrustManagers(),
null);
return sslContext;
}
}
-
创建SSLEngine
：使用
sslContext.createEngine()方法创建SSLEngine，并通过setUseClientMode(true)配置为客户端模式。 - 分配缓冲区 ：根据SSLSession的提示，为网络数据包的发送和接收以及应用程序数据分配缓冲区。
var session = engine.getSession();
var receiveBuffer =
ByteBuffer.allocate(session.getPacketBufferSize());
var sendBuffer =
ByteBuffer.allocate(session.getPacketBufferSize());
var applicationData =
ByteBuffer.allocate(session.getApplicationBufferSize());
-
数据移动方法
：使用
sslEngine.wrap()和sslEngine.unwrap()方法在缓冲区之间移动数据。 -
DTLS握手
：调用
sslEngine.beginHandshake()启动握手，通过sslEngine.getHandshakeStatus()方法轮询引擎状态，根据不同状态执行相应操作，如接收网络数据包、处理DTLS记录、发送DTLS消息或执行加密任务。
graph TD;
A[开始握手] --> B{握手状态};
B -->|NEED_UNWRAP| C[接收网络数据包];
C --> D[调用unwrap()处理];
B -->|NEED_UNWRAP_AGAIN| D;
B -->|NEED_WRAP| E[调用wrap()生成DTLS消息];
E --> F[发送DTLS消息];
B -->|NEED_TASK| G[执行任务];
B -->|FINISHED| H[握手完成];
D --> B;
F --> B;
G --> B;
- 示例代码 ：以下是一个简单的DTLS客户端示例，连接到服务器并逐行发送文本文件内容。
public static void main(String... args) throws Exception {
try (var channel = new DtlsDatagramChannel(getClientContext());
var in = Files.newBufferedReader(Paths.get("test.txt"))) {
logger.info("Connecting to localhost:54321");
channel.connect("localhost", 54321);
String line;
while ((line = in.readLine()) != null) {
logger.info("Sending packet to server: {}", line);
channel.send(line.getBytes(UTF_8));
}
logger.info("All packets sent");
logger.info("Used cipher suite: {}",
channel.getSession().getCipherSuite());
}
}
- 关闭DTLS会话 ：客户端完成后，应关闭DtlsDatagramChannel，这将触发关联的SSLEngine对象的关闭。关闭DTLS会话时，客户端需发送关闭通知警报消息，处理传入消息直到收到服务器的相应关闭通知，然后关闭底层UDP DatagramChannel。
public void close() throws IOException {
sslEngine.closeOutbound();
sslEngine.wrap(appData.flip(), sendBuf);
appData.compact();
channel.write(sendBuf.flip());
sendBuf.compact();
while (!sslEngine.isInboundDone()) {
channel.receive(recvBuf);
sslEngine.unwrap(recvBuf.flip(), appData);
recvBuf.compact();
}
sslEngine.closeInbound();
channel.close();
}
6. Java中实现DTLS服务器
- 创建服务器SSLContext ：与客户端类似，但使用KeyManagerFactory提供服务器的证书和私钥，由于不使用客户端证书认证，可将TrustManager数组设为null。
package com.manning.apisecurityinaction;
import java.io.FileInputStream;
import java.nio.ByteBuffer;
import java.security.KeyStore;
import javax.net.ssl.*;
import org.slf4j.*;
import static java.nio.charset.StandardCharsets.UTF_8;
public class DtlsServer {
private static SSLContext getServerContext() throws Exception {
var sslContext = SSLContext.getInstance("DTLS");
var keyStore = KeyStore.getInstance("PKCS12");
keyStore.load(new FileInputStream("localhost.p12"),
"changeit".toCharArray());
var keyManager = KeyManagerFactory.getInstance("PKIX");
keyManager.init(keyStore, "changeit".toCharArray());
sslContext.init(keyManager.getKeyManagers(), null, null);
return sslContext;
}
}
- 实现DTLS服务器 ：使用DtlsDatagramChannel类简化握手过程，绑定到指定端口，接收并打印客户端发送的解密后UDP数据包。
public static void main(String... args) throws Exception {
try (var channel = new DtlsDatagramChannel(getServerContext())) {
channel.bind(54321);
logger.info("Listening on port 54321");
var buffer = ByteBuffer.allocate(2048);
while (true) {
channel.receive(buffer);
buffer.flip();
var data = UTF_8.decode(buffer).toString();
logger.info("Received: {}", data);
buffer.compact();
}
}
}
- 启动服务器 ：使用以下命令启动服务器：
mvn clean compile exec:java \
-Dexec.mainClass=com.manning.apisecurityinaction.DtlsServer
7. SSLEngine操作状态码
SSLEngine的
wrap()
和
unwrap()
方法返回操作状态码，用于检查操作是否正确完成，具体状态码如下表所示：
| 状态码 | 含义 |
| ---- | ---- |
| OK | 操作成功完成 |
| BUFFER_UNDERFLOW | 操作失败，因为输入数据不足，需检查输入缓冲区剩余空间，对于unwrap操作，出现此状态时应接收另一个网络数据包 |
| BUFFER_OVERFLOW | 操作失败，因为输出缓冲区空间不足，需检查缓冲区大小并按需调整 |
| CLOSED | 对方表示正在关闭连接，应处理剩余数据包，然后关闭SSLEngine |
保障API通信安全：从服务间交互到物联网设备
8. 选择合适的加密算法
在物联网环境中，为受限设备选择合适的加密算法至关重要。由于设备的计算能力、内存和能源有限，一些传统的加密算法可能无法高效运行。以下是一些选择加密算法时的考虑因素：
-
计算复杂度
：选择计算复杂度较低的算法，以减少设备的CPU负担和能源消耗。例如，对称加密算法（如AES）通常比非对称加密算法（如RSA）计算速度更快。
-
密钥长度
：在保证安全的前提下，选择合适的密钥长度。较长的密钥提供更高的安全性，但也增加了计算和存储的开销。
-
算法实现
：确保所选算法在设备上有高效的实现。一些算法可能在某些设备上存在性能问题或安全漏洞。
9. 实现物联网API的端到端安全
在物联网中，消息可能通过多种协议从设备传输到目的地，实现端到端的安全通信是一个挑战。以下是一些实现端到端安全的方法：
-
多层加密
：在不同的传输层和协议中使用加密技术，确保数据在整个传输过程中都得到保护。例如，在设备端使用DTLS加密数据，在网关和云服务之间使用TLS加密。
-
密钥管理
：建立安全的密钥管理机制，确保设备和服务器之间的密钥安全交换和更新。可以使用密钥分发中心（KDC）或公钥基础设施（PKI）来管理密钥。
-
身份验证
：对设备和服务器进行强身份验证，确保通信双方的身份合法。可以使用数字证书、令牌或预共享密钥进行身份验证。
10. 设备密钥的分发和管理
设备密钥的安全分发和管理是物联网安全的关键。以下是一些常见的方法：
-
预共享密钥（PSK）
：在设备出厂时，预先分配一个共享密钥。设备和服务器在通信时使用该密钥进行身份验证和加密。这种方法简单易行，但密钥的分发和更新可能存在安全风险。
-
证书颁发
：使用公钥基础设施（PKI）为设备颁发数字证书。设备在通信时使用证书进行身份验证，证书的颁发和管理由证书颁发机构（CA）负责。这种方法提供了更高的安全性，但证书的管理和更新需要额外的开销。
-
密钥派生函数（KDF）
：使用KDF从一个主密钥派生出多个子密钥。设备和服务器可以根据需要生成不同的子密钥，提高密钥的安全性和灵活性。
11. 总结
在物联网环境中，保障API通信的安全是一项具有挑战性的任务。由于物联网设备的资源受限和通信环境的复杂性，传统的API安全技术需要进行适当的调整和优化。通过使用Datagram TLS（DTLS）、选择合适的加密算法、实现端到端安全和安全的密钥管理，可以有效提高物联网API的安全性。
以下是一个总结物联网安全关键要点的表格：
| 安全要点 | 描述 |
| ---- | ---- |
| 传输层安全 | 使用DTLS保护基于UDP的协议，减少TCP的复杂性和开销 |
| 加密算法选择 | 考虑设备的计算能力和资源限制，选择合适的加密算法 |
| 端到端安全 | 通过多层加密、密钥管理和身份验证实现端到端的安全通信 |
| 密钥管理 | 采用预共享密钥、证书颁发或密钥派生函数等方法进行设备密钥的分发和管理 |
12. 未来展望
随着物联网技术的不断发展，新的安全挑战也将不断出现。未来的研究和发展方向可能包括：
-
轻量级加密算法
：开发更轻量级的加密算法，以满足物联网设备的资源限制。
-
零信任架构
：将零信任架构应用于物联网，实现更严格的访问控制和身份验证。
-
安全的设备管理
：建立更安全的设备管理机制，包括设备的注册、认证和更新。
以下是一个简单的mermaid流程图，展示了未来物联网安全发展的可能方向：
graph LR;
A[当前物联网安全] --> B[轻量级加密算法];
A --> C[零信任架构];
A --> D[安全的设备管理];
B --> E[更高效的安全];
C --> E;
D --> E;
总之，物联网安全是一个持续发展的领域，需要不断探索和创新，以应对日益增长的安全威胁。通过采用合适的安全技术和策略，可以确保物联网设备和API的安全运行。
扫一扫
1万+
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
