開放工廠向遠端做資料存取就會產生潛在安全漏洞，但這些漏洞其實可以避免的。
工業4.0剛剛興起之際，便可看到遠端製造和控制可使工廠變得更加自動化。雖然這在業務效率方面帶來了諸多優勢，但也導致了一些非常昂貴的資產暴露在不必要的存取風險中。這不僅將資本價值高昂的機器暴露於風險中，而且在特定時間內藉由工廠生產的產品所帶來的企業收入也會受到影響。
將工廠連接到公共雲或私有雲就一定會存在著安全上的風險，這一點人們早已達成共識。例如，一旦智慧工廠暴露於網路(如異地資料中心)，就會發生這種情況。現在面臨的挑戰是，不僅要充分利用智慧連接工廠的靈活優勢，還要確保各種網路的安全性。
首先開發者應確定解決方案是使用有線、無線還是組合式解決方案。建議採用具有標準協定，例如工業領域廣泛使用的Wi-Fi、藍牙(Bluetooth)或乙太網等連接技術。採用標準安全措施降低了連接遭受攻擊的風險，這有時會違背熱衷於專有解決方案的工業領域的長久慣例，基礎設施的建設須持續很多年。雖然許多網路具有一些專有協定，但其應僅限於內部使用，建議不要輕易的用於外部連接。
其中一個問題是，即使是最具高技術的嵌入式工程師，在IT安全概念方面的知識也很有限。他們不是IT安全專家，而這種知識缺口讓他們無法創建可靠安全的物聯網(IoT)基礎設施。一旦工廠連接到雲端，工程師將突然陷入Amazon Web Services(AWS)、Google、Microsoft Azure等世界，並且很快發現他們需要IT專家來解說如何處理現在面對的各種安全威脅。
對於駭客而言，其主要目標之一是利用單一接入點獲取對大量系統的遠端存取許可權。遠端攻擊可能藉由近期的猛烈攻擊形成大規模破壞，例如，已出現過分散式拒絕服務(DDoS)攻擊。對於IoT網路而言，最大的弱點通常是硬體及終端節點的使用者，因為負責這方面的工程師通常缺乏IT知識來處理此類問題。
不過，這種情況正在改變，市場上已有廠商將這種問題視為其使命的一部分，透過向工程師介紹端點到端點安全基礎架構對工程師進行培訓，以彌補這一差距。此外，AWS、Google和Microsoft等大型雲端服務公司也是重要的專業知識來源。我們得到的重大教訓是，不要忽略安全性，也不能將其視為在完成IoT網路設計後的附加選項。到那時，一切為時已晚。所有IoT設計的開始就必須從策略上部署安全性。安全性始於硬體，但不能簡單地將其作為後加選項添加或利用軟體進行補強。
認證機制存在缺陷
認證是最重要的一個安全難題。系統設計人員從一開始就必須牢記，連接到網路的每個節點都必須具有唯一、受保護且可信的身份。瞭解網路上的人員是否為正當用戶以及他們是否可信至關重要。為此，須在伺服器與IoT端節點之間使用傳統的TLS 1.2和相互認證。這有賴於雙方均信任的資訊(認證機構)。
但是，只有在從專案開始到製造，再到將系統部署於智慧工廠這一完整過程中，認證機構頒發的信任資訊始終受保護，這種方法才能奏效。用於確認IoT端節點可靠性的私密金鑰必須安全且受保護。目前，一般的做法是將私密金鑰儲存於微控制器中，而不用容易被篡改的快閃記憶體及外部儲存裝置。但是，這仍然不太可靠，因為任何人都可以存取、查看此記憶體區域，進行控制和獲取私密金鑰。這種實現方式有缺陷，會給設計人員帶來一種錯誤的安全感。這是發生破壞和重大問題的地方。
安全元件應運而生
對於安全解決方案，金鑰和其它重要憑證不僅須從微控制器中移除，而且還要與微控制器隔離，並避免任何軟體形式的暴露。至此，安全元件概念應運而生。安全元件的理念是，在本質上提供一個安全的避風港來儲存並保護金鑰，確保沒有人可以存取此金鑰。來自內核加密庫的命令允許將微控制器的適當質詢/回應發送到安全元件，以驗證身份。在產品開發過程中以及產品的整個使用壽命內，私密金鑰在任何時候都不會暴露，也不會離開安全元件。這樣便可建立端點到端點信任鏈。
安全元件是獨立的積體電路(IC)，可被視為公司放置其機密資訊的保險箱。在這種情況下，它們保存IoT身份驗證所需的私密金鑰。
將金鑰配置到安全元件
另一個重要概念是，如何將私密金鑰和其他憑據從客戶端配置到安全元件。為此，市面上晶片製造商如Microchip開始提供平台，讓使用者藉由平台在製造IC期間可安全地安排其機密資料的燒錄程序，而不會將這些資訊暴露給包括晶片製造公司人員在內的任何人。晶片製造商隨後在其工廠生產安全元件，只有在要離開這些經認證的安全通用標準工廠之前，才會提供認證設施並將其出貨給最終使用者。
當客戶開啟AWS IoT帳戶時，這些帳戶將帶入由Microchip透過AWS提供的「Use Your Own Certification」功能，為其所創建的客戶證書。隨後，他們將使用所謂的即時註冊功能(JITR)，將安全認證晶片中預先配置及儲存好的設備端憑證，批量上傳到AWS IoT使用者帳戶。雲端上預載的客戶端憑證即可以開始用來驗證設備端憑證，到此信任鏈已建立完成。此功能真正同時兼顧了企業IoT可擴展性和安全性。使用即時註冊(JITR)流程可以大量處理數以千計的設備憑證，而不是一次處理一個，並且過程無需用戶干預，亦不必將憑證手動載入到雲端帳戶或暴露給負責生產的協力廠商，而只須安排自動註冊用的新設備憑證，用其作為新設備和AWS IoT之間建立安全通信的初始化。
升級版工具包入門
如圖1所示，板上的零觸摸配置工具包已預先配置，可針對使用者的AWS IoT帳戶運行身份驗證過程。首先，藉由使用新的Python腳本瞭解信任鏈的概念，以及瞭解在配置階段通過工廠進行的配置過程。此工具包在一定程度上展示了製造過程的工作原理。此外，此元件具有很強的抗實體篡改特性，包括防止旁路攻擊的對策。還具有符合聯邦資訊處理標準(FIPS)的高品質亂數發生器、相容各種資源有限的IoT設備的低功耗加密加速器，以及以極具成本效益的方式無縫適應各種生產流程的能力。
為了彌補嵌入式工程師與IT專家之間的差距，除了Python腳本登錄體驗之外，工具包還可配置CloudFormation腳本，以加快AWS帳戶設置以及提高雲端體驗的易用性。利用CloudFormation腳本，用戶僅需幾分鐘便可在AWS環境中定義使用者介面(UI)。
配有安全元件的AWS IoT的即時註冊(JITR)與生產中安全配置過程相結合，實現了一流的IoT安全性能。這種真正的端到端IoT安全解決方案使工業4.0目前在安全性所獲得的成就能安全而有效的發展。