【搜狐IT消息】东软研究院副院长问闻英友在2013年中国计算机网络安全年会上表示，物联网需要与行业相结合才能成熟和发展。

　　闻英友解释了何为物联网，“我们把它看成一条章鱼，它有无数的触觉能够思考、控制、感知，应该说物联网是能思考、能感知、能触觉的网络。”

　　闻英友表示，现在国家在大力扶持物联网技术，这两年物联网的项目也非常多，但未来的进步需要与行业应用相结合。物联网是互联网的延伸和发展，所以互联网创新发展历程同样适用于物联网，它必须经过大规模的应用才能成熟和发展。

　　以下为闻英友演讲实录：

　　闻英友：各位领导各位专家，各位同行大家上午好。非常高兴有这样一个机会和大家分享一下我们在物联网行业应用安全问题上的思考，因为大家知道东软是国内最大的行业的解决方案的提供商，也包括系统集成的业务，因此我们对这个业务做了自己的思考，希望能和大家一起探讨。

　　我的报告分为两个部分，首先讲关于互联网和物联网的观点，这些观点为了后面讲的物联网安全做铺垫。第个部分，重点针对物联网行业应用的安全问题进行分析。

　　首先，看一下关于物联网和互联网的几个观点。首先什么是物联网，这个概念在几年之前大家有很长时间的争论，各位专家和领导都有自己的理解，我们在这里谈这个问题，并不是想下一个学术上的定义，公司因为我们在做物联网的行业解决方案的时候，特别是思考安全问题的时候涉及到对它的认识问题。什么是互联网？通过我们这几年应用情况来看，它是让人了解别人不知道的信息，大家知道信息都是从别人那里说的，但是他说的对不对呢，不得而知，如果你相信这个人就会相信他的信息，这就形成了道听途说的网络。在我们的行业应用中，比如说信息化的系统集成，以及针对特定行业的应用中也体现了这样的特点，行业应用中很多数据来源并不是客观的，是通过人为录入的。物联网是什么呢？实际上它更主要的是要让人了解客观物质世界，了解真实的信息，这是它的价值所在。它侧重于人和物之间的信息交换，这种更体现了客观真实的反应现实世界的情况，使我拿到的数据更加准确和真实的。别人

　　互联网中的信息可能并不是我们想要的，或者它的信息我怀疑，这时候就需要物联网了，所以物联网未来的发展还是很有前途的，如果你想要用主观意识改变客观世界，这是毕竟的途径。所以说，我们可以这样理解，物联网应该是未来互联网的发展。刚才几位专家也谈到了，包括移动的互联网，包括移动应用的发展，大家可能也思考过这个问题，移动互联网到底是什么意思？实际上我们自己认为，它应该还是属于传统互联网向时间和空间上的延伸，它把时间延长了。可能一天24小时可以不停的上网，在空间上也延伸了，可能我们以前在办公室上网，现在我们可以坐在飞机上就可以上网，它把时间和空间都进行了延伸。更形象的说，物联网到底是什么？我们把它看成一条章鱼，它有无数的触觉能够思考、控制、感知，应该说物联网是能思考、能感知、能触觉的网络。

　　如果把物联网当成一条章鱼的话，它就不仅仅能预测足球的比赛结果，还可以控制我们的交通，电力，控制我们的农业，控制我们的智能家电，实际上这就是物联网的价值所在。它既然有这么大的作用，它总得有自己的介入基础，最主要的基础有四个方面，互联网技术，RFID技术，传感网技术，嵌入式技术。互联网和RFID大家都已经认识了，为什么要重点谈RFID网和传感网呢？因为它的作用，RFID网解决了物联网最主要的问题，解决了识别的问题，就是说你是谁，他是谁，他们是谁。我们知道物联网有一个最主要的是收集客观数据，这些数据属于谁？这就是我们要解决的问题。如果要做智能楼宇空调的设置，假如现在空调45度了它就需要控制，但是这个数据从哪里来呢？因此要解决这个问题。传感器网络是解决你怎样，他怎么样，这就解决真正对物品认识，当然这个物不仅仅是实体的东西，还有客观的东西。

　　在这些技术基础上，我们在做行业解决方案的时候也在思考，这么广的面我们怎么解决？最后我们把它总结成两个问题，随着技术发展还会拓展。第一个问题，你是谁？这是我们要解决的问题，它涉及到了识别问题，RFID/条码硬件、软件、编码技术等。

　　第二个问题是你在哪里？这个问题非常特殊，因为物联网里的信息都有一个来源，这些信息通常是由移动的设备产生的，这就需要位置信息，只有把身份信息、位置信息合起来信息才有意义。

　　还有就是你怎么样，这就包括数据采集、数据存储、数据融合等。第四个是你需要我做什么？这就关于到业务的逻辑、智能决策、行业解决方案。

　　最后一个，你该做什么，你告诉我这么多信息，你的身份，你是什么情况，你在哪里，你要我做什么，最后我得控制和反馈，这和我们以前谈到一些概念非常类似，我们一直是按这个思路做的。

　　未来怎么发展？我们现在谈物联网技术，国家在大力的扶持，这两年物联网的项目也非常多，但是物联网发展下去怎么进步，我们也在思考，我们需要核心竞争力，这个竞争力体现在哪里？因为它的发展必须和行业应用相结合，这样才能推动产业的进步，物联网是互联网的延伸和发展，所以互联网创新发展历程同样适用于物联网，它必须经过大规模的应用才能成熟和发展。

　　我们也对现在的物联网进行了大胆的应用，我们自己体会，这种示范和应用远远不能带来进一步的创新和成熟，因为物联网在实际的行业应用中面临的问题和我们做示范应用的过程中面临的问题完全不一样。

　　我们在做解决方案或者大规模的物联网行业应用时，面临两个关键的问题，第一个怎么高效灵活的面向不同的行业开发物联网，我们现在的示范中，大部分的工厂都在进行大量的示范，在这个过程中大家不会考虑我现在做的技术能不能服务好另一个案例，是不是能拿出我的案例拿出去解决另外一个方案，大家没有这个思考。另外一个方面就是成本，现在都是国家牵头，大家不愁钱，但是你要是真给企业做这件事情，真正拿一个具体的单子，我们就要考虑成本的问题了，我们一个项目要核定预算，所以这两个方面就要求我们在技术上做创新，如果不在市场竞争中争夺，去拼杀，技术永远就技术不了。

　　以上谈的问题都和我后面要说的安全有关系的，大家都认为物联网分成三结构，最底下是感知采集层，中间是网络通信层，最上面是业务应用层。对我们企业来说，我们在讨论物联网具体案例的时候我们没有办法用这个模型，因为这里面涉及到技术不是一家企业能做的，我们就根据自己的应用角度换了一个模型。

　　第一层我们认为在物联网中有共性的网络安全问题，这些安全问题涉及到产生的互联网安全，也包括传统的信息系统的安全，比较新的就是社涉及到RFID网。但是我们认为，这些问题不应该是我们做行业解决方案去解决的，我们可以运用大家的研究成果。对于我们来说什么是最重要的？就是突出的数据安全问题，物联网应该是以数据为重要，这些数据安全如果我们不替客户考虑，就会造成决策的错误，造成物联网功能实现的困难。再往上就比较特殊了，我们认为随着物联网的发展会出现新的特殊的业务逻辑的安全问题，我们以前很少考虑这样的问题，比如我们做银行的系统，他们会告诉我们业务流程，我们也业务专家配合他们做软件的需求，然后我们安全这些需求去实现，但是客户并不了解业务逻辑里有没有错误，它只是以后我们实现功能，而我们也是简单想实现你要的功能就好了。而这里面实际上隐藏了很多的安全问题，而且这不是通常的软件安全手段能解决的，这是在解决方案里非常特殊的问题。

　　刚才我讲到了共性网络安全问题实际上还是产生的网络安全问题，再有就是感知识别网络的安全，还有互联网网络安全。

　　互联网数据安全问题是非常突出的，考虑这样的安全问题，我们就是要通过各种技术确保数据本身，以及经过传输和交换的数据不会发生修改，丢失，确保数据本身的安全。这又分成两个层面。我们认为管道化的问题适用于物联网。大家有没有想过，我们现在的云端类似于湖泊，加入护坡被污染了，我们怎么治理？不可能把湖泊抽干了把瘀泥抽干了，最主要的是解决源头问题，源头的水干净了整个湖泊也就干净了。所以我们从感知网络上做防范措施。

　　至于云端我们现在也做了很多，我们自己认为，云计算的安全现在有一点大家都忽略了，就是计算机法证的支持，怎么样把这个东西变为法律认同的，五我认为我们现在非常缺乏这样的技术，最起码得有一大家都信任的执法机关，这样发生问题的时候大家才能心平气和的解决问题。我们的团队也在做这个方面的工作。底层源数据的安全，根据我也讲到了最主要的还是泄露、伪造和融合，我想重点强调的应该是数据融合的安全。

　　数据融合安全我们现在主要通过两个途径判断，一个是通过数据的认证来提高原始数据的安全性，主要的手段就是通过各种认证算法，来实现各种功能。另外就是安全聚合算法。这些协议我们提出了很多研究成果，我们看还有一些方面是值得我们应该思考的，最主要在以下几个方面。

　　第一个，源数据新鲜性和可用性研究，这对于物联网行业应用来说非常重要，比如说我们在物联网都是实时的控制和反馈，它的实时性要比传统互联网强，可能我们在QQ发一条消息说今天我到呼市开会，别人看了这个消息可能过两个小时也没有关系，它的部分会有负面的影响，而在物联网不一样。假如我们现在有一个火场预警系统，大堂里热敏磁超高了，报警了，如果信息传过来不实施的话，消防部门就没有办法出警，这就会有非常严重的后果。

　　还有一个，如何运用在动态网络，管道化的网络已经不仅仅是原来所说的网线连着的网络了，它的网络已经移动化了，在这种动态网络怎么进行高效传输和预防丢失？再有就是容侵、容错的数据融合安全协议，还有低功耗的轻量级数据安全检测机制，这个情况下我们怎么样解决它？对于行业应用的成本和解决方案的实用性非常重要，我们一直在寻找合适的产品，比如我们做跟户俩王有关的定位的时候，我们就要有一个终端，这个终端可以实现特有的功能，当然我们现在有一些定位软件在手机上可以实现功能，但是它耗电，这时候我们就需要低功耗的标签，而现在在国内找是非常困难的。适用于一构网络安全数据。

　　还有一个特殊的方面，物联网业务逻辑安全，物联网业务应用逻辑，是指通过对数据的分析、处理与决策，完成从基本数据到业务知识再到控制执行的完整过程。物联网业务应用逻辑实现处理和解决问题的能力，完成物联网应用和服务目标，这里面存在大量的风险。我们刚才说了物联网是一条章鱼，章鱼是海怪的原形，物联网应用中更多的信息来自于客观物质世界，让人们更易相信应用的决策，物联网应用特别是大规模的行业应用与现实世界的联系与互动更为紧密。凸现了它与传统互联网应用业务逻辑安全性的重要性差别。

　　这个图里是电影《虎胆龙威4》，它因为种种不满侵入了国家的安全系统，进行了一系列的恐怖行为，这里反应的东西有一定的道理，我们认为物联网的这种趋势越来越明显。大家就要想想，在这样的情况下想破坏什么能破坏什么，这是潜在的危险，大家不要觉得这是危言耸听。因此，随着各种安全问题的出来，我们应该面临这样的挑战。

　　最主要的业务逻辑产生的案例是四个方面，一个是业务流程设计上，还有应用系统本身的缺陷，相关业务逻辑的缺陷，还有和外界交互导致度长。我们作为行业解决方案，我们也一直在这几个方面做自己的研究，也欢迎各位同行、专家有机会一起交流。特别是在业务逻辑安全分析的评估工具目前找不到。我的报告就到这里，谢谢大家。