物聯網安全已成為企業與各國政府關注的焦點，包含美國、歐盟、英國和台灣等地區政府機關皆發布指南與白皮書；加上，對於身分認證敏感及對安全要求較高的物聯網應用推動，更加速資訊安全防護的市場升溫。
隨著產業、企業和消費者越來越在乎使用情境的資安風險，物聯網安全措施的滲透率將開始急速增加。現今針對個人和企業資料的網路入侵事件頻傳，物聯網用戶開始意識到安全十分重要，這不僅僅是為了所收集之資料與分析的完整性和機密性，亦是為了企業信任及品牌價值。
對於某些使用情境，例如自動駕駛、重要基礎設施或是智慧城市，存在人身安全或任務危險性等因素，在這些情況下，政府可能有安全規範需求。事實上，美國的聯邦貿易委員會(FTC)、歐盟網路與資訊安全機構(ENISA)、英國國家網路安全中心(NCSC)和台灣的行政院國家資通安全會報技術服務中心(NCCST)等許多政府和監管機關都非常密切關注物聯網安全，並發布指南和白皮書等，如今更考慮針對某些應用進行強制性監管。
舉例來說，為阻絕個資問題被企業或有心人士濫用，歐盟2018年5月25日正式推行一般資料保護規定(General Data Protection Regulation, GDPR)，此舉將影響所有物聯網製造商產品設計，畢竟製造商需從硬體、軟體層面，確保物聯網裝置資料傳輸的方法，同時保障資料存取的安全。
物聯網已與主要網路攻擊產生關聯，通常涉及濫用易受攻擊的聯網裝置(例如監視攝影機)，以協助進行惡意活動。各界已對物聯網是否能確保連線至龐大網際網路的數十億部裝置的安全感到疑慮，並要求提供可行的解決方案以填補此安全缺口。
記憶體/Debug Port要小心 駭客五路進攻聯網裝置
根據銓安智慧科技(InfoKeyVault)分析，駭客攻擊主要可從五個層面進攻，包含外接記憶體晶片接取(External Memory IC Access)、Debug Port Implants、旁道攻擊(Side Channel Attacks, SCA)、故障注入攻擊(Fault Injection)與低階逆向工程(Low Lever Reverse)等管道，其中有50%的駭客會直接攻擊外部記憶體，從而取得數據資料(如管理其他控制單元的金鑰密碼)；而有25%的駭客是透過Debug Port管道，取得微控制器(MCU)記憶體資料，進而打造一個仿真的設備，或者與其他物聯網設備溝通，趁機竊取相關的資料，若Debug Port通道沒關閉，就等於是為駭客開啟一道後門的概念(圖1)。
圖1 潛在的駭客攻擊路徑分析
資料來源：InfoKeyVault、Infineon
英飛凌(Infineon)大中華區智能卡與保密晶片事業處資深經理田沛灝(圖2)表示，Debug Port是每顆硬體元件都會有的機制，特別是形同設備中大腦角色的MCU，若Debug Port留了一個後門，讓駭客將裡面的程式碼(Code)，透過Debug Port這個窗口將程式全部拿走，就等同於核心失守。此外，CPU因為有需要存取記憶體的功能，故程式的撰寫必定與記憶體相關，當駭客透過Debug Port將暫存資料全部下載時，即能得知該裝置存取時間、資料與輸入密碼的時間點，進而攻破裝置本身的邏輯。
圖2 英飛凌大中華區智能卡與保密晶片事業處資深經理田沛灝表示，物聯網晶片設計須小心駭客從Debug Port竊取機密資料。
保障安全環環相扣 IoT安全從系統建置做起
整體而言，物聯網安全設備不能從單一元件做為確保安全的唯一窗口，而需從整個系統架構來看。IEK產業經濟與趨勢研究中心電子與系統研究組專案經理徐富桂(圖3)談到，安全防護須從雲端、網路與底層的感測裝置各別強化，以確保有效的安全防護管理。以現階段來說，物聯網系統受到了一些資安挑戰，導致安全亮起紅燈，包含；
圖3 IEK產業經濟與趨勢研究中心電子與系統研究組專案經理徐富桂認為，物聯網安全設計須從雲端到終端層層防護，以嚴防資料外洩的危機。
1.60%左右的物聯網裝置受限於成本與開發時程等因素，在開發時大多採用Open Source，故約60%左右設計，在設計之初並無考慮到安全問題，隱藏許多系統性弱點。(根據Trend Micro分析既有安全漏洞問題指出，現有物聯網裝置大多採用免費的開放原始碼Linux作業系統，隱藏約200個既有的安全漏洞。)
2.有許多物聯網系統裝置、網路與雲端密碼強度不足。
3.聯網裝置的使用者對物聯網資安問題沒概念，導致大量裝置未更新至最新的系統版本。
為了改善上述問題，從物聯網設備製造商觀點，可由整體系統是否會被入侵，以及整個生命週期需要如何管理等問題進行改善，提升整體系統安全性。而物聯網設備營運商則須思考如何管理設備，包含設備本身是否設有仿冒的障礙、存取(Access)管控機制是否完整，傳輸資料是否可能被假造等，解決可預測的資安挑戰。
當然，在雲端應用服務方面，會面臨到資料如何去識別化與資料庫加密等問題。整體而言，最大的資安疑慮在於應用APP，由於許多物聯網裝置使用Open Source，若整體的安全系統機制建立不完善，非常有可能發生從遠端連線，直接以空中傳輸(OTA)方式刷新在地的物聯網裝置的韌體，並進行遠端遙控掌握裝置的控制權，就如同先前IP Cam被盜用的案例一樣。
除了現已存在的諸多安全漏洞之外，展望下一代全新的電腦紀元，量子電腦的發展也將掀起一波全新的安全大戰。
秒破RSA/ECC/ACE演算法 量子電腦激發安全隱憂
事實上，量子電腦有望預計在未來10~15年後開始邁入商用，屆時RSA、ECC、ACE加密演算法皆有可能在數秒內被破解。為了事先提防量子電腦帶來的危機，晶片商、軟體開發商與雲端管理廠商皆開始布局抗量子計算加密演算法，抵禦量子電腦亮起的安全紅燈。
田沛灝表示，雖說量子電腦能夠比現今電腦更快速解決某些計算問題，促使電腦廠商積極著手布局量子電腦相關技術，但該技術也同時對當今已知最佳的安全演算法帶來威脅。以量子電腦的演算能力來看，任何網路加解密演算法皆可在彈指間被破解，即便目前量子電腦還處於研究階段，製造成本非常高，但未來產業邁入量子電腦時代，已成不可逆的趨勢。因此針對量子電腦快速計算的演算法，Google提出一個後量子密鑰交換演算法--新希望(New Hope)，用來防範量子電腦引發的安全問題。
田沛灝認為，後量子電腦將會對現在既有的演算法帶來巨大影響。看準此趨勢，英飛凌在旗下智慧卡晶片方案中導入New Hope演算法，用以抵禦量子電腦駭客進智慧卡晶片。雖說目前晶片交易所需時間仍較長，但此舉意味著晶片步入後量子時代的里程碑，未來在量子電腦普遍的環境下，採用具備後量子密鑰交換演算法的晶片，也可以因應當時所需的防護機制。
值得一提的是，Google目前已公開一些演算法，只要在演算法上面增添加速器，任何人都可以在硬體上面實現此演算法。但重點在於，若希望New Hope可通用於網路中，還須支援傳輸層安全性(TLS)的通訊協定。
據了解，除了Google提出後量子密鑰交換演算法外，台灣亦有新創廠商池安科技(Chelips)研發出抗量子計算演算法，希望解決通訊上抗量子電腦的問題。
Chelpis創辦人兼執行長池明洋(圖4)分析，該公司與Google後量子密鑰交換演算法一樣，皆採用密碼學的方式解決數學難題，但雙方選用的解題方式略有不同。Chelpis主要採取多變量密碼學方式，Google有可能採取Lattice為基礎的空間點鐘方法，實作上有些許差異。
整體而言，量子演算法可以應用的場域很多，其中一項就是存放虛擬貨幣金鑰的「冷錢包」(Cold Wallet)應用。
圖4 圖左至右分別為Chelpis創辦人兼執行長池明洋、Chelpis營運長陳紀獻。
區塊鏈安全事件頻傳 虛擬貨幣「錢」進Cold Wallet
隨著區塊鏈經濟價值快速飆漲，帶動虛擬貨幣市場，同時也引起有心人士透過「竊盜」或「勒索」等不良行為奪得虛擬貨幣，引爆區塊鏈安全危機。為因應此趨勢，產業內掀起一波將加密金鑰存入線下冷錢包的裝置之中，確保金鑰安全無虞，可望推升加密貨幣交易與分散式應用發展。
Chelpis營運長陳紀獻表示，近年來區塊鏈交易所被駭客盜取貨幣事件層出不窮，盜取的金額已超過10億美金，換算整體市場價值的實際損失，則金額高達50億美金。究其原因在於，線上交易所的加密金鑰大多存在線上平台，也就是以熱錢包(Hot Wallet)的方式存取金鑰，金鑰一旦被駭客盜取就如同網銀密碼被竊取一般，使交易所內的貨幣被一掃而空。
看好冷錢包未來發展前景，Chelpis透過抗量子電腦演算法技術，提升冷錢包安全防護性能，妥善保管開啟虛擬貨幣帳戶大門的金鑰。池明洋談到，區塊鏈是公開平台，在此架構下，已有超過兩千五百萬個熱錢包與冷錢包進行交易，其中，有約兩百萬以內的人採用冷錢包做交易；整體而言，兩千五百萬錢包數量還依舊在成長當中，未來發展商機相當可觀。
不過，比特幣冷錢包的商機為何如此龐大呢？其商機從一枚虛擬比特幣幣值即可看出端倪。以現階段來說，一枚比特幣幣值高達7,000~8,000美金不等，而單一帳號通常會存幾十枚貨幣，累積的價值幾乎等同於一台汽車，可想而知，使用者對於帳戶安全的重視度相當高，相對的也帶動冷錢包的發展「錢」景。
池明洋指出，該公司冷錢包開發核心技術在於抗量子計算演算法。抗量子技術主要是解決密碼學問題，而密碼學就是基於某個難解的數學問題，將它變成一個系統，其解決方式有很多種，Chelpis主要採用多變量密碼學方式開發抗量子計算演算法，目前已與Coolbitx合作共同開發區塊鏈與加密貨幣的應用。
展望未來，池明洋透露，該公司預計2018年底將推出該公司自行研發的冷錢包裝置，其內建一顆意法半導體(ST)安全晶片，傳輸介面採用Type-C接口，以滿足金鑰安全的可靠性，同時提升交易效能，期交易時間能在5秒內完成。
另一方面，除了Chelpis、Coolbitx努力耕耘冷錢包市場之外，包含Thezor、Ledger也是冷錢包裝置的廠商之一，支援多種幣種與錢包類型；此外，包含HTC、聯想(Lenovo)、長虹與糖果等廠商，也紛紛推出結合冷錢包的區塊鏈手機，其中長虹與糖果更是發表手機挖礦服務，預計可挖掘公有鏈或廠商自有鏈作為行銷應用。