邊緣計(jì)算
——物聯(lián)網(wǎng)網(wǎng)絡(luò)安全新前線

◎上海戎磐網(wǎng)絡(luò)科技有限公司研究院 Slimming Panda

2016年底，在Gartner數(shù)據(jù)中心年度會(huì)議上，硅谷風(fēng)投大佬A16Z合伙人Peter Levine曾說(shuō)邊緣計(jì)算是云計(jì)算的“終結(jié)者”。然而，經(jīng)過(guò)兩年時(shí)間的實(shí)踐證明，邊緣計(jì)算并非要“吞噬”云計(jì)算。相反，它解決了“最后一公里”云原生應(yīng)用的供應(yīng)問(wèn)題，很大程度上彌補(bǔ)了云計(jì)算在IoT領(lǐng)域?qū)嵺`中的短板，是云計(jì)算在未來(lái)發(fā)展中的重要落地支撐。未來(lái)，由邊緣計(jì)算和云計(jì)算融合所帶來(lái)的“邊云協(xié)同”效應(yīng)，將促進(jìn)物聯(lián)網(wǎng)基礎(chǔ)架構(gòu)迎來(lái)2.0模式。

一、邊緣計(jì)算與物聯(lián)網(wǎng)

物聯(lián)網(wǎng)的發(fā)展開(kāi)啟了大數(shù)據(jù)的黃金時(shí)代，同時(shí)也給計(jì)算力帶來(lái)了前所未有的挑戰(zhàn)。智慧城市、智慧工業(yè)、智能駕駛、新零售等物聯(lián)網(wǎng)應(yīng)用的落地都伴隨大量數(shù)據(jù)的產(chǎn)生。據(jù)Gartner預(yù)測(cè)，到2020年，將有多達(dá)200億臺(tái)連接設(shè)備為每位用戶生成數(shù)十億字節(jié)的數(shù)據(jù)。如此巨大的數(shù)據(jù)如果全部傳輸?shù)皆贫诉M(jìn)行集中處理，顯然在帶寬和傳輸速度方面都難以滿足要求。特別是物聯(lián)網(wǎng)時(shí)代的一些新興計(jì)算場(chǎng)景，如實(shí)時(shí)語(yǔ)音翻譯，無(wú)人駕駛系統(tǒng)等，對(duì)響應(yīng)時(shí)間都有極高要求，云計(jì)算已經(jīng)無(wú)法滿足此類需求。于是，邊緣計(jì)算開(kāi)始進(jìn)入公眾視線。

它的核心理念就是將數(shù)據(jù)的存儲(chǔ)、傳輸、計(jì)算和安全交給邊緣節(jié)點(diǎn)來(lái)處理，當(dāng)然與云計(jì)算出現(xiàn)前的終端計(jì)算不同，邊緣計(jì)算并不是說(shuō)要讓終端自己負(fù)責(zé)所有計(jì)算，而是在離終端更近的地方部署邊緣平臺(tái)，這樣可以避免集中式云計(jì)算中心的網(wǎng)絡(luò)延遲問(wèn)題。大量實(shí)時(shí)的需要交互的計(jì)算將在邊緣節(jié)點(diǎn)完成，一些需要集中處理的計(jì)算則繼續(xù)交由大型云計(jì)算中心，如大數(shù)據(jù)挖掘、大規(guī)模學(xué)習(xí)等，這無(wú)疑將大大提升處理效率，減輕云端的工作負(fù)荷。由于更加靠近用戶，可以產(chǎn)生更快的網(wǎng)絡(luò)服務(wù)響應(yīng)，滿足行業(yè)在實(shí)時(shí)業(yè)務(wù)、應(yīng)用智能、安全與隱私保護(hù)等方面的基本需求。

由于從最終用戶和服務(wù)提供商的視角來(lái)看，邊緣所處的位置并不相同。因此在由ARM、Vapor IO、Ericsson UDN等公司聯(lián)合起草的白皮書(shū)《State of the Edge 2018》中，定義了兩種邊緣，運(yùn)營(yíng)商視角的基礎(chǔ)設(shè)施邊緣和最終用戶視角的設(shè)備邊緣。

基礎(chǔ)設(shè)施邊緣是指位于“最后一公里”的網(wǎng)絡(luò)運(yùn)營(yíng)商或者服務(wù)提供商的IT資源，其主要構(gòu)建模塊是邊緣數(shù)據(jù)中心，通常在城市及其周邊以5-10英里的間隔放置。設(shè)備邊緣是指網(wǎng)絡(luò)終端或設(shè)備側(cè)的邊緣計(jì)算資源，包括傳統(tǒng)互聯(lián)網(wǎng)設(shè)備，比如PC和智能手機(jī)等，以及新型智能設(shè)備，比如智能汽車、環(huán)境傳感器、智能信號(hào)燈等。二者雖然同屬于邊緣計(jì)算的范疇，但是在定義、關(guān)注點(diǎn)、核心能力(包括在計(jì)算和存儲(chǔ)能力、網(wǎng)絡(luò)資源規(guī)模等)等方面差異極大。揮的作用就像足球“中場(chǎng)”，負(fù)責(zé)決定在什么時(shí)候、將什么類型、處理到什么程度的數(shù)據(jù)發(fā)送到云中心，實(shí)現(xiàn)“按需匯聚”。

二、“邊緣計(jì)算+物聯(lián)網(wǎng)”時(shí)代的多層混合計(jì)算架構(gòu)

隨著邊緣計(jì)算的興起，理解邊緣設(shè)備所涉及的另一項(xiàng)技術(shù)也很重要，它就是霧計(jì)算。邊緣計(jì)算和霧計(jì)算很類似，都是對(duì)云計(jì)算的一種延伸和補(bǔ)充，但二者又不完全相同。其實(shí)，從云到霧，再到邊緣這些概念就可以看出其中的不同。云飄在天上，高高在上，霧靠近地面，伸手可及，而邊緣則是界線，是隔斷與對(duì)接的契機(jī)所在。與之對(duì)應(yīng)的三種計(jì)算恰有如此特點(diǎn)。大數(shù)據(jù)時(shí)代，越來(lái)越多的數(shù)據(jù)被傳至云端進(jìn)行存儲(chǔ)計(jì)算，再將結(jié)果返回至終端。這一過(guò)程不僅增加了云端壓力，還會(huì)造成干路數(shù)據(jù)堵塞，影響數(shù)據(jù)處理和反饋的時(shí)間。為解決云計(jì)算這一問(wèn)題，霧計(jì)算應(yīng)運(yùn)而生。霧計(jì)算是云數(shù)據(jù)中心和物聯(lián)網(wǎng)（IoT）設(shè)備/傳感器之間的中間層，原理與云計(jì)算一樣，都是把數(shù)據(jù)上傳到遠(yuǎn)程中心進(jìn)行分析、存儲(chǔ)和處理。但相比云計(jì)算要把所有數(shù)據(jù)集中運(yùn)輸?shù)酵粋€(gè)中心，霧計(jì)算的模式是在云端和邊緣用戶之間設(shè)置多個(gè)中心節(jié)點(diǎn)，即所謂的物聯(lián)網(wǎng)網(wǎng)關(guān)或“霧節(jié)點(diǎn)”來(lái)收集、處理和存儲(chǔ)數(shù)據(jù)。這些處理能力位于物聯(lián)網(wǎng)設(shè)備的LAN里面。它相當(dāng)于一種本地化的云計(jì)算，只是拓?fù)湮恢貌煌?。邊緣?jì)算則是云計(jì)算能力從中心到邊緣的又一次下沉，它進(jìn)一步推進(jìn)了霧計(jì)算的“LAN內(nèi)處理能力”，處理能力更靠近數(shù)據(jù)源，可以叫做臨近計(jì)算或近場(chǎng)計(jì)算。它不是在中央服務(wù)器里統(tǒng)一處理，而是在網(wǎng)絡(luò)內(nèi)的各設(shè)備端實(shí)施分散處理。

縱觀全球，云計(jì)算巨頭，如亞馬遜AWS、微軟AZURE，谷歌等，都將“云+邊緣“的多層混合架構(gòu)視作滿足物聯(lián)網(wǎng)時(shí)代爆發(fā)式計(jì)算需求的解決方案。邊緣計(jì)算側(cè)重多維感知數(shù)據(jù)采集和前端智能處理；邊緣域或霧計(jì)算側(cè)重感知數(shù)據(jù)匯聚、存儲(chǔ)、處理和智能應(yīng)用；而云中心側(cè)重業(yè)務(wù)數(shù)據(jù)融合及大數(shù)據(jù)多維分析應(yīng)用。數(shù)據(jù)從邊緣節(jié)點(diǎn)到霧節(jié)點(diǎn)，再?gòu)撵F節(jié)點(diǎn)到云中心，實(shí)現(xiàn) “數(shù)據(jù)入云”。霧節(jié)點(diǎn)所發(fā)

三、邊緣計(jì)算：網(wǎng)絡(luò)安全新前線

（一）網(wǎng)絡(luò)安全挑戰(zhàn)

墨菲定律的內(nèi)容之一是“會(huì)出錯(cuò)的事總會(huì)出錯(cuò)“，這句話用來(lái)描述邊緣計(jì)算的網(wǎng)絡(luò)安全問(wèn)題尤為貼切。邊緣計(jì)算作為物聯(lián)網(wǎng)發(fā)展的產(chǎn)物，在幫助云計(jì)算巧妙避開(kāi)“囚徒困境“，帶來(lái)更多發(fā)展機(jī)遇的同時(shí)，也給邊緣計(jì)算網(wǎng)絡(luò)中的用戶、邊緣節(jié)點(diǎn)、云服務(wù)器的安全防護(hù)帶來(lái)了新的挑戰(zhàn)。

1、大量易受攻擊的物聯(lián)網(wǎng)設(shè)備

從本質(zhì)上講，邊緣計(jì)算所面臨的網(wǎng)絡(luò)安全問(wèn)題和物聯(lián)網(wǎng)的網(wǎng)絡(luò)安全問(wèn)題是一樣的。大量的設(shè)備從不同位置接入網(wǎng)絡(luò)將增加網(wǎng)絡(luò)攻擊面，特別是大部分物聯(lián)網(wǎng)設(shè)備能量與資源有限，都沒(méi)有傳統(tǒng)的IT硬件協(xié)議，無(wú)法運(yùn)行標(biāo)準(zhǔn)的加密、授權(quán)和訪問(wèn)控制算法，特別容易遭受定向服務(wù)拒止攻擊，包括：（1）物理篡改和竊取數(shù)據(jù)、代碼和密鑰；（2）通過(guò)偽造身份破壞數(shù)據(jù)完整性；（3）通過(guò)共享無(wú)線信道實(shí)施竊聽(tīng)；（4）利用假節(jié)點(diǎn)惡意干擾IoT設(shè)備之間的通信鏈路。

2、NFV-SDF一體化邊緣云平臺(tái)

網(wǎng)絡(luò)功能虛擬化 (NFV)和軟件定義網(wǎng)絡(luò)（SDN）是實(shí)現(xiàn)虛擬和共享邊緣云平臺(tái)的新興技術(shù)，二者互為補(bǔ)充。邊緣云從名字上就不難理解是邊緣計(jì)算所用到的云平臺(tái)。SDN側(cè)重于將設(shè)備層面的控制模塊分離出來(lái)，簡(jiǎn)化底層設(shè)備，進(jìn)行集中控制，底層設(shè)備僅僅只負(fù)責(zé)數(shù)據(jù)的轉(zhuǎn)發(fā)。目的在于降低網(wǎng)絡(luò)管理的復(fù)雜度、協(xié)議部署的成本和靈活以及網(wǎng)絡(luò)創(chuàng)新。而NFV則看中將設(shè)備中的功能提取出來(lái)，通過(guò)虛擬化的技術(shù)在上層提供虛擬功能模塊。也就是，NFV希望能夠使用通用的x86體系結(jié)構(gòu)的機(jī)器替代底層的各種異構(gòu)的專用設(shè)備，然后通過(guò)虛擬化技術(shù)，在虛擬層提供不同的功能，允許功能進(jìn)行組合和分離。簡(jiǎn)單來(lái)講，SDN虛擬的是設(shè)備，而NFV虛擬的是功能，當(dāng)然NFV也包括對(duì)基礎(chǔ)設(shè)備的虛擬，即NFVI。二者的融合可以使邊緣云平臺(tái)更易于配置和管理。然而，目前存在的問(wèn)題是，NFV和SDN的發(fā)展和演進(jìn)自成一體，各自所面臨的網(wǎng)絡(luò)安全挑戰(zhàn)還沒(méi)有得到解決，更不要說(shuō)集成后所帶來(lái)的額外的安全風(fēng)險(xiǎn)和問(wèn)題。例如，SDN如何防止DoS攻擊，欺騙攻擊，以及虛擬化環(huán)境中的惡意注入攻擊仍然是懸而未決的問(wèn)題。NFV在監(jiān)督虛擬化網(wǎng)絡(luò)功能（VNF）隔離及虛擬化網(wǎng)絡(luò)拓?fù)涔芾怼NF跨域遷移，以及防止DoS攻擊和惡意內(nèi)部攻擊等方面仍然存在安全風(fēng)險(xiǎn)。

3、邊緣與物聯(lián)網(wǎng)設(shè)備間的卸載與交互

開(kāi)放邊緣云時(shí)代的特點(diǎn)之一是，資源匱乏的物聯(lián)網(wǎng)設(shè)備將任務(wù)卸載到資源豐富的邊緣計(jì)算平臺(tái)進(jìn)行快速處理，這會(huì)是很常見(jiàn)的。物聯(lián)網(wǎng)設(shè)備之間也會(huì)根據(jù)資源可用性進(jìn)行任務(wù)合作。然而，這種任務(wù)卸載與合作也會(huì)帶來(lái)額外的安全隱患。首先就是軟件安全。編寫(xiě)任務(wù)代碼時(shí)要能讓他們能夠被動(dòng)態(tài)地安排在不同系統(tǒng)上執(zhí)行，例如邊緣計(jì)算和IoT設(shè)備。而跨平臺(tái)代碼遷移和動(dòng)態(tài)安排還需要安全的API或接口，這會(huì)是一項(xiàng)艱巨的任務(wù)。其次是為了從邊緣云平臺(tái)提供充足的資源，還需要邊緣云編排器來(lái)協(xié)調(diào)移動(dòng)/無(wú)線物聯(lián)網(wǎng)設(shè)備和邊緣云實(shí)體(例如VM)之間的交互。這就需要適當(dāng)?shù)脑L問(wèn)控制機(jī)制來(lái)保護(hù)邊緣云和IoT設(shè)備之間的移動(dòng)代碼免受惡意攻擊。此外，物聯(lián)網(wǎng)設(shè)備和邊緣云之間的通信鏈路主要是無(wú)線和移動(dòng)鏈路，所有與無(wú)線/移動(dòng)網(wǎng)絡(luò)相關(guān)的安全問(wèn)題也同樣存在于此。

4、信任與可信度

在“邊緣計(jì)算+物聯(lián)網(wǎng)”時(shí)代，信任是一個(gè)特別重要的問(wèn)題。物聯(lián)網(wǎng)設(shè)備通常資源有限，通信模式也很獨(dú)特（從物聯(lián)網(wǎng)設(shè)備到邊緣云），使得它們更容易受到惡意攻擊。當(dāng)邊緣節(jié)點(diǎn)遭受攻擊并被惡意篡改時(shí)，系統(tǒng)需要具備識(shí)別和探測(cè)能力。僅僅依靠口令機(jī)制或加密算法是遠(yuǎn)遠(yuǎn)不夠的?；跀?shù)字簽名技術(shù)的認(rèn)證主要以人為中心，一旦部署有變動(dòng)就會(huì)觸發(fā)重新認(rèn)證，這就非常耗時(shí)。自動(dòng)化認(rèn)證是良策，但依然任重道遠(yuǎn)。在NFV/SDN支持的相對(duì)復(fù)雜的邊緣云環(huán)境中，創(chuàng)建系統(tǒng)和有效的信任和信任管理機(jī)制對(duì)于提升相關(guān)實(shí)體之間的可信性和安全性非常重要。

（二）網(wǎng)絡(luò)安全機(jī)遇

區(qū)塊鏈、人工智能和機(jī)器學(xué)習(xí)等技術(shù)的出現(xiàn)，為邊緣計(jì)算帶來(lái)了新的機(jī)遇。具體包括：

機(jī)遇一：區(qū)塊鏈和零信任安全架構(gòu)

區(qū)塊鏈?zhǔn)且环N去中心化的分布式電子記賬系統(tǒng)，它實(shí)現(xiàn)的基礎(chǔ)是一種受信任且絕對(duì)安全的模型。在加密算法的配合下，交易信息會(huì)按照發(fā)生的時(shí)間順序公開(kāi)記錄在區(qū)塊鏈系統(tǒng)中，并且會(huì)附帶相應(yīng)的時(shí)間戳。關(guān)鍵之處在于，這些數(shù)字“區(qū)塊”只能通過(guò)所有參與交易的人一致同意才可以更新，因此攻擊者無(wú)法通過(guò)數(shù)據(jù)攔截、修改和刪除來(lái)進(jìn)行非法操作。正是因?yàn)閰^(qū)塊鏈的這一屬性，使得它在幫助組織建立自己的網(wǎng)絡(luò)安全系統(tǒng)，用于記錄交易、信息傳遞、用戶認(rèn)證、身份和訪問(wèn)控制管理方面潛力巨大。美國(guó)國(guó)防部高級(jí)研究計(jì)劃局（DARPA）近期正在推進(jìn)的一個(gè)項(xiàng)目就是基于區(qū)塊鏈技術(shù)的戰(zhàn)場(chǎng)保密文電系統(tǒng)。

零信任架構(gòu)中心思想是企業(yè)不應(yīng)自動(dòng)信任內(nèi)部或外部的任何人/事/物，應(yīng)在授權(quán)前對(duì)任何試圖接入企業(yè)系統(tǒng)的人/事/物進(jìn)行驗(yàn)證。這就可以限制黑客攻擊的橫向移動(dòng)，防止攻擊者滲透端點(diǎn)設(shè)備成功后，在整個(gè)環(huán)境中橫向移動(dòng)或者利用網(wǎng)絡(luò)釣魚(yú)獲得準(zhǔn)入憑證直接到達(dá)目標(biāo)資產(chǎn)所在的數(shù)據(jù)中心。

機(jī)遇二：人工智能與機(jī)器學(xué)習(xí)

對(duì)于“邊緣計(jì)算+物聯(lián)網(wǎng)“時(shí)代的網(wǎng)絡(luò)安全而言，人工智能和機(jī)器學(xué)習(xí)可以用于更好地分析網(wǎng)絡(luò)行為，識(shí)別潛在威脅和漏洞，以及探測(cè)惡意攻擊。例如，深度學(xué)習(xí)技術(shù)基于收集到的充足的數(shù)據(jù)和推理模式，能夠告訴用戶特定用戶的行為或行為是否可疑且可以匹配針對(duì)敏感數(shù)據(jù)的定向攻擊嘗試，或者用戶是否是實(shí)際執(zhí)行操作的人。依托人工智能和機(jī)器學(xué)習(xí)技術(shù)，還可以部署專用的自動(dòng)掃描機(jī)器人檢查組織環(huán)境和活動(dòng)，以確認(rèn)是否有潛在威脅、漏洞或惡意活動(dòng)。

機(jī)遇三：輕量級(jí)物聯(lián)網(wǎng)安全

無(wú)所不在的物聯(lián)網(wǎng)設(shè)備由于資源有限和網(wǎng)絡(luò)防護(hù)措施不足，通常更容易遭受攻擊，而輕量級(jí)算法可以在設(shè)備安全和能耗之間找到平衡，用于授權(quán)、加密、訪問(wèn)控制和秘鑰交換。WiFi聯(lián)盟針對(duì)低功耗、長(zhǎng)距離的物聯(lián)網(wǎng)設(shè)備的802.11ah WiFi標(biāo)準(zhǔn)，即“HaLow”，算得上是此類輕量級(jí)授權(quán)機(jī)制的一個(gè)范例。值得注意的是，輕量級(jí)解決方案通常不如正常方案強(qiáng)大，因此在實(shí)際使用過(guò)程中必須確保能夠滿足應(yīng)用的特定需求。這就還需要制定顆粒度更細(xì)的分類方法來(lái)區(qū)分在計(jì)算復(fù)雜性和安全性方面的不同層次的需求，以便于利用各種復(fù)雜度不同的輕量級(jí)物聯(lián)網(wǎng)安全措施來(lái)滿足特定需求。

機(jī)遇四：基于欺騙的網(wǎng)絡(luò)防御

傳統(tǒng)的網(wǎng)絡(luò)防御機(jī)制，如加密、授權(quán)和訪問(wèn)控制都屬于被動(dòng)防御的范疇，而基于欺騙的網(wǎng)絡(luò)防御是一種主動(dòng)防御手段，通過(guò)地址跳變、蜜罐和網(wǎng)絡(luò)望遠(yuǎn)鏡等策略，迷惑攻擊者，或誘騙他們進(jìn)入預(yù)先部署的蜜罐。這種防御手段還可以在組織網(wǎng)絡(luò)上生成大量的假憑據(jù)，一旦攻擊者使用了這些假憑據(jù)，就會(huì)被安全管理員探測(cè)和監(jiān)控到，通過(guò)對(duì)其活動(dòng)軌跡進(jìn)行分析，了解其攻擊策略和模式。

機(jī)遇五：與IP獨(dú)立的物聯(lián)網(wǎng)身份和域名系統(tǒng)

幾乎所有現(xiàn)有的互聯(lián)網(wǎng)設(shè)備都是基于IP（IPv4或IPv6）。其主要弊端是，它將所有系統(tǒng)，包括關(guān)鍵的工控系統(tǒng)，都置于危險(xiǎn)之中，因?yàn)楣粽咧灰`取了少量簡(jiǎn)單的憑據(jù)就可以以合法身份訪問(wèn)這些系統(tǒng)。解決這一問(wèn)題，需要在IP之外，另建一套單獨(dú)的身份和域名系統(tǒng)，將物聯(lián)網(wǎng)設(shè)備與外界隔離開(kāi)來(lái)。例如，主機(jī)身份協(xié)議（HIP）所使用的主機(jī)標(biāo)識(shí)技術(shù)就可以應(yīng)用于物聯(lián)網(wǎng)設(shè)備，作為單獨(dú)的一套身份與域名系統(tǒng)。兩個(gè)實(shí)體在開(kāi)始對(duì)話之前，首先需要?jiǎng)?chuàng)建綁定來(lái)共享密鑰，這樣可以防止外界直接訪問(wèn)物聯(lián)網(wǎng)設(shè)備和系統(tǒng)。這對(duì)位于關(guān)鍵系統(tǒng)中但又資源匱乏的物聯(lián)網(wǎng)設(shè)備的防護(hù)而言尤為重要。

四、結(jié)束語(yǔ)

邊緣計(jì)算位于網(wǎng)絡(luò)的邊緣，更靠近用戶，異構(gòu)的接入環(huán)境和多樣的業(yè)務(wù)需求，使得邊緣節(jié)點(diǎn)面臨更復(fù)雜的網(wǎng)絡(luò)環(huán)境。來(lái)自用戶層和云服務(wù)器的攻擊都會(huì)對(duì)整個(gè)邊緣計(jì)算網(wǎng)絡(luò)帶來(lái)嚴(yán)重的安全威脅。但要確保邊緣計(jì)算網(wǎng)絡(luò)的安全，大部分安全防護(hù)技術(shù)仍需要部署至邊緣節(jié)點(diǎn)。傳統(tǒng)的網(wǎng)絡(luò)安全防護(hù)技術(shù)已經(jīng)不能完全適應(yīng)邊緣計(jì)算的防護(hù)需求。因此異構(gòu)性、輕量級(jí)、分布式的安全防護(hù)技術(shù)和部署方案是今后值得深入研究的課題。