中央情報局，TPM和物聯網：你可能會問這三個首字母縮略詞有什么共同點，以及它們如何相互關聯。長話短說，這完全是關于安全性，信任和可靠性的。

在這種情況下，縮寫CIA并不意味著中央情報局。它是機密性、完整性和真實性的縮寫。所謂的CIA原則是一個簡單但廣泛使用的安全模型，涵蓋了所有安全系統都應保證的三個關鍵原則。

機密性是指向無權查看信息的人隱藏信息。在安全方面，這也許是中央情報局模式最明顯的方面。同時，它也是受到攻擊最多的一個。加密對稱和非對稱加密方法是在將數據從一個計算機系統傳輸到另一個計算機系統時確保機密性的方法的示例。

另一方面，完整性表示數據在從原始發送方到預期接收方的旅程中準確且未被更改的確定性。常見的安全攻擊（通常稱為中間人攻擊）會攔截數據并對其進行更改，然后再將其傳遞給預期的接收器。加密數字簽名方法是證明代碼和數據完整性的一種方法。

此外，需要真實性來解決對真實信息的擔憂。換句話說，您要確保您收到的信息實際上來自聲稱是其真實來源的來源。加密數字證書用于證明頒發者的真實性。

現在我們理解了為什么CIA對安全系統很重要，讓我們轉到第三個首字母縮略詞：物聯網。

經過多年被過度炒作的營銷術語，所謂的物聯網（IoT）開始變得成熟和真實。馬克·韋澤（Mark Weiser）在他1991年9月發表的著名的《科學美國人》文章“21世紀的計算機”中首次創造了“無處不在的計算”一詞。他的思想如此超前，以至于他的大多數讀者都像科幻小說一樣。2016年，他的愿景成為現實。無處不在的計算（或簡稱無處不在的計算）成為今天的物聯網——也許是被夸大了。

Weiser在他的文章開頭寫道：“最深刻的技術是那些消失的技術。他們把自己編織到日常生活的結構中，直到他們無法與它區分開來。他預測計算設備將成為司空見慣，成為生活各個方面的一部分，他是對的。例如，只需考慮健身手環，智能手表，智能手機或導航系統等全天發送和接收數據的消費類小工具。或者，考慮一下連接到電網的家庭，智能電表允許能源供應商有效地計算滿足所有家庭需求所需的資源。如今，互連的計算設備無處不在。

今天的商業物聯網應用將重點轉向工業應用，其設備和服務來自工業的各個部門：信息技術、自動化和生產技術、航空航天、海事和海軍系統、鐵路、汽車制造商及其供應商、能源供應商、農業、醫療技術和樓宇自動化。所有這些都具有共同的特點，包括在現場的長壽命：惡劣環境中的可靠性和堅固性以及可靠的長期可用性。

物聯網系統依賴于公共網絡，但公共網絡不是安全的環境。雖然物聯網創造了新的功能和服務，允許更高的效率，增加靈活性，并實現單個生產單元的定制，但它也打開了以前封閉的系統，并允許攻擊者從外部世界訪問這些系統。

攻擊者通常使用逆向工程技術來識別軟件漏洞，他們可以利用這些漏洞來制造假冒產品，竊取敏感數據或篡改設備以進行破壞和間諜活動。這可能導致嚴重而危險的黑客攻擊，正如最近對安全關鍵型汽車，航空航天和醫療組件的攻擊所表明的那樣。

這讓我們回到了我們開始的中央情報局原則。避免上述情況的唯一方法是將CIA安全模型應用于物聯網設備的世界。正如我們所了解到的，中央情報局是圍繞冷凍手術建立的。當今的現代冷凍成像利用了標準的加密協議。荷蘭密碼學家奧古斯特·克爾霍夫夫斯（Auguste Kerckhoffs）在19世紀提出了一句格言，該格言后來被稱為Kerckhoffs原則：即使系統的所有內容（除了密鑰之外）都是公共知識，密碼系統也應該是安全的。

我再說一遍，除了密鑰之外，一切都是公共知識，密鑰是直接或以派生形式加密和解密內容所必需的。那么，如何以安全的方式存儲密鑰呢？這讓我想到了第二個首字母縮略詞：TPM，受信任的平臺模塊。

在密碼學領域，還有大量其他首字母縮略詞用于指代用于確保CIA原理的各種協議和方法。僅舉幾例，您有 DES，AES 用于對稱加密，RSA，ECC 用于非對稱加密。首字母縮略詞列表不勝枚舉。然而，真正重要的部分是算法本身通常不是秘密的。它們是公開的，正如克霍夫斯的原則所要求的那樣。唯一真正需要保密的部分是密鑰本身。這聽起來很簡單，但很難實現。為了保持密鑰的機密性，您需要一個安全的地方，如保險箱，我們將稱之為安全元素，以安全地存儲密鑰。TPM（受信任的平臺模塊）就是這樣一個安全的元素，它提供了更多，包括加密協議。

簡而言之，TPM是一種專用設備，可為密鑰提供加密操作和安全存儲。這使您可以將密鑰存儲在安全的地方，更重要的是，它允許密鑰保留在那里，因此它永遠不會離開其安全位置。所有重要的加密操作都在 TPM 本身內部完成，并且只公開結果。這可以防止密鑰被泄露。如果您想知道為什么在專用設備中分離此專用功能很重要，我建議您閱讀以下兩篇文章。這些應該清楚地表明，在計算設備中擁有一個專用的安全元素（如TPM）以使其安全，可信賴和可靠是多么重要。

那么，如何才能防止此類事件呢？使用可創建可綁定到目標系統中安全元素的安全代碼和許可證的技術，確保代碼和許可功能只能在單個系統上使用。許可證的創建和部署可以集成到現有的業務流程中，例如ERP系統或電子商務平臺。這種機制開辟了新的商業模式，例如按需功能追加銷售以及物聯網和其他智能設備的基于時間或按使用付費的許可證。結果是提高了安全性，免受攻擊，惡意軟件，盜竊以及代碼和IP的其他瀆職行為。

審核編輯：郭婷