物联网固件漏洞安全检测综述

信息安全研究 ›› 2022, Vol. 8 ›› Issue (12): 1146-.

• 学术论文 • 下一篇

物联网固件漏洞安全检测综述

李涛1田迎军1葛阳晨2田源2李剑3

1(山东高速建设管理集团有限公司济南250098)
2(北京邮电大学人工智能学院北京100876)
3(北京邮电大学网络空间安全学院北京100876)

出版日期:2022-12-03 发布日期:2022-12-01
通讯作者: 李涛硕士.主要研究方向为交通建设的信息化和智能化. 552126247@qq.com
作者简介:李涛硕士.主要研究方向为交通建设的信息化和智能化. 552126247@qq.com 田迎军主要研究方向为交通建设的信息化和智能化. 86841536@qq.com 葛阳晨硕士.主要研究方向为深度学习、网络安全. geyangchengyc@163.com 田源博士.主要研究方向为信息安全、大数据隐私保护、量子密码学. redrainiety@bupt.edu.cn 李剑博士，教授，博士生导师.主要研究方向为信息安全、量子密码学. lijian@bupt.edu.cn

A Survey of IoT Firmware Vulnerability Security Detection

Online:2022-12-03 Published:2022-12-01

摘要/Abstract

摘要： 随着万物互联时代的到来，物联网的安全问题越来越突出，尤其是物联网中由于固件漏洞引起的安全隐患或攻击行为导致的经济损失越来越大.高效的固件漏洞检测技术越来越成为保障物联网设备安全的关键，因此研究物联网中固件漏洞安全检测相关方法与技术具有重要的理论意义和实用价值.分析了物联网固件安全问题频发的原因，归纳了物联网固件面临的主要安全威胁，针对固件漏洞分析所面临的挑战，综述了现有固件漏洞检测方法.通过对不同方法优势与不足的分析，为进一步提升固件安全缺陷检测方法的智能化、精准化、自动化、有效性、可扩展性提供指导.最后，对物联网固件漏洞安全检测进行了展望.

关键词: 物联网, 固件, 漏洞检测, 安全, 固件安全

Abstract: With the advent of the Internet of everything, the security issues of the IoT have become more and more important, especially the economic losses caused by security risks and attacks caused by firmware vulnerabilities in the IoT. Efficient firmware vulnerability detection technology has increasingly become the key to ensuring the security of IoT devices. Therefore, studying the methods and technologies related to firmware vulnerability security detection in the IoT has essential theoretical significance and practical value. This paper analyzes the reasons for the frequent security problems of IoT firmware, summarizes the main security threats faced by IoT firmware, and targets the firmware. Based on the challenges faced by vulnerability analysis, the existing firmware vulnerability detection methods are reviewed. Through the analysis of the advantages and disadvantages of different methods, it provides guidance for further improving the intelligence, precision, automation, effectiveness, and scalability of the firmware security defect detection method. Finally, future research in IoT firmware vulnerability security detection is prospected.

Key words: IoT, firmware, vulnerability detection, security, firmware security

李涛, 田迎军, 葛阳晨, 田源, 李剑, . 物联网固件漏洞安全检测综述[J]. 信息安全研究, 2022, 8(12): 1146-.

参考文献

参考文献
［1］Knud L. State of the IoT 2018: Number of IoT devicesmarket accelerating［EBOL］. (20180808) ［20210908］. https:iotanalytics.comstateoftheiotupdateq1q22018numberofiotdevicesnow7b ［2］李阳, 郭晓萧, 张延强. 智慧城市网络安全保障研究进展［J］. 信息安全研究, 2021, 7(11): 10841089［3］Kumar D, Shen K, Case B, et al. All things considered: An analysis of IoT devices on home networks［C］ Proc of the 28th USENIX Conf on Security Symp. New York: ACM, 2019: 11691185［4］Wind River Systems, Inc. VxWorks［EBOL］. 2021 ［20210908］. https:www.windriver.comproductsvxworks［5］Amazon Web Services. FreeRTOS［EBOL］. 2021 ［20210908］. https:www.freertos.org［6］Langner R. Stuxnet: Dissecting a cyberwarfare weapon［J］. IEEE Security & Privacy, 2011, 9(3): 4951［7］TeleSUR. Venezuela denounces US participation in electric sabotage［EBOL］. (20190308) ［20210908］. https:www.telesurenglish.netnewsVenezuelaDenouncesUSParticipationinElectricSabotage201903080021.html［8］Joe T. Colonial hack: How did cyberattackers shut off pipeline［EBOL］. (20210510) ［20210908］. https:www.bbc.comnewstechnology57063636 ［9］Eric R. JBS cyberattack: From gas to meat, hackers are hitting the nation, and consumers, where it hurts［EBOL］. (20210602) ［20210908］. https:www.cnbc.com20210602fromgastoburgershackershitconsumerswhereithurts.html［10］Ponemon Institute. The Internet of things (IoT): A new era of ThirdParty risk［EBOL］. (20170717) ［20210908］. https:www.ponemon.orgresearchponemonlibrarysecuritytheinternetofthingsiotaneweraofthirdpartyrisk.html ［11］JSOF Research Lab. OverviewRipple20［EBOL］. (20200417) ［20210908］. https:www.jsoftech.comripple20 ［12］苏盛, 汪干, 刘亮, 等. 电力物联网终端安全防护研究综述［JOL］. 高电压技术: 113 ［20210908］. https:doi.org10.13336j.10036520.hve.20210150［13］CNCERT. Internet network security situation of China in 2020［EBOL］.  (20210721) ［20210908］. https:www.cert.org.cnpublishmain820212021072113094450452577220210721130944504525772.html［14］Xu Jun, Ning Peng, Kil C, et al. Automatic diagnosis and response to memory corruption vulnerabilities［C］ Proc of the 12th ACM Conf on Computer and Communications Security. New York: ACM, 2005: 223234［15］国家计算机网络应急技术处理协调中心. CNVD202162181［DBOL］. (20210816) ［20210908］. https:www.cnvd.org.cnflawshowCNVD202162181 ［16］国家计算机网络应急技术处理协调中心. CNVD202121479［DBOL］. (20210323) ［20210908］. https:www.cnvd.org.cnflawshowCNVD202121479［17］国家计算机网络应急技术处理协调中心. CNVD202134351［DBOL］. (20210513) ［20210908］. https:www.cnvd.org.cnflawshowCNVD202134351［18］Basnight Z, Butts J, Lopez Jr J, et al. Firmware modification attacks on programmable logic controllers［J］. International Journal of Critical Infrastructure Protection, 2013, 6(2): 7684［19］Chen D D, Woo M, Brumley D, et al. Towards automated dynamic analysis for Linuxbased embedded firmware［C］Proc of the Network and Distributed System Security Symp. San Diego, CA: NDSS, 2016: 18［20］Costin A, Zaddach J, Francillon A, et al.A largescale analysis of the security of embedded firmwares［C］ Proc of the 23rd USENIX Conf on Security Symp. Berkeley, CA: USENIX Association, 2014: 95110［21］Zhou Wei, Jia Yan, Yao Yao, et al. Discovering and understanding the security hazards in the interactions between iot devices, mobile apps, and clouds on smart home platforms［C］ Proc of the 28th USENIX Conf on Security Symp. Berkeley, CA: USENIX Association, 2019: 11331150［22］朱瑞瑾, 张宝峰, 毛军捷, 等. 一种基于匹配字符串地址判定ARM固件装载基址的方法［J］. 电子学报, 2017, 45(6): 14751482［23］Cheng Kai, Li Qiang, Wang Lei, et al. DTaint: Detecting the taintstyle vulnerability in embedded device firmware［C］ Proc of the 48th Annual IEEEIFIP Int Conf on Dependable Systems and Networks (DSN). Piscataway, NJ: IEEE, 2018: 430441［24］Chen Jiongyi, Diao Wenrui, Zhao Qingchuan, et al. IoT fuzzer: Discovering memory corruptions in IoT through appbased fuzzing［C］ Proc of Network and Distributed System Security Symp. San Diego, CA: NDSS, 2018: 115［25］杨毅宇, 周威, 赵尚儒, 等. 物联网安全研究综述：威胁、检测与防御［J］. 通信学报, 2021, 42(8): 188205［26］Li Yuping, Sundaramurthy S C, Bardas A G, et al. Experimental study of fuzzy hashing in malware clustering analysis［C］ Proc of the 8th Workshop on Cyber Security Experimentation and Test. Berkeley, CA: USENIX Association, 2015: 18［27］Godefroid P. Random testing for security: Blackbox vs whitebox fuzzing［C］ Proc of the 2nd Int Workshop on Random Testing: CoLocated with the 22nd IEEEACM Int Conf on Automated Software Engineering (ASE 2007). New York: ACM, 2007: 11［28］Baldoni R, Coppa E, D’elia D C, et al. A survey of symbolic execution techniques［J］. ACM Computing Surveys, 2018, 51(3): 139［29］Miller B P, Fredriksen L, So B. An empirical study of the reliability of Unix utilities［J］. Communications of the ACM, 1990, 33(12): 3244［30］樊期光, 彭华熹, 齐文杰, 等. IoT智能硬件安全威胁分析与应对方法［J］. 信息安全研究, 2018, 4(8): 722727

[1]	杨建军. 突破核心技术，建设数字中国，让网络更好造福国家和人民[J]. 信息安全研究, 2022, 8(E1): 2-.
[2]	李亚德, 袁成, 金保伟, 梁楷婕, . 密码云服务平台设计[J]. 信息安全研究, 2022, 8(E1): 10-.
[3]	金飞, 王大伟, 王志河, . 企业攻击面管理实战分析[J]. 信息安全研究, 2022, 8(E1): 14-.
[4]	张晋, 卢佐华, . 构建电子政务移动安全主动防御体系[J]. 信息安全研究, 2022, 8(E1): 18-.
[5]	贺文轩, 王颉, 王晓龙, 万振华, . 开源软件风险下的金融行业软件供应链安全解决方案[J]. 信息安全研究, 2022, 8(E1): 23-.
[6]	李祥乾, 凌惜沫, . 云原生 DevSecOps 落地实践[J]. 信息安全研究, 2022, 8(E1): 27-.
[7]	贾悦霖, 赵凡, 王瑜, . 5G+ 基于云化蜜罐网络安全感知解决方案[J]. 信息安全研究, 2022, 8(E1): 31-.
[8]	姚锡龙, 崔炳杰, 王瑜, . 应用层加密流量检测解决方案[J]. 信息安全研究, 2022, 8(E1): 35-.
[9]	王兆蒙, 李涛, . 云原生安全管理与防护方案[J]. 信息安全研究, 2022, 8(E1): 39-.
[10]	梁忠辉, 王燕青, . XDR网络安全大数据分析与响应平台[J]. 信息安全研究, 2022, 8(E1): 43-.
[11]	吴剑刚, 罗政, . 电子政务数据防爬虫解决方案[J]. 信息安全研究, 2022, 8(E1): 47-.
[12]	郝伟, 沈传宝, 王超, 刘加勇, . 基于攻击链的智能渗透与攻击模拟系统[J]. 信息安全研究, 2022, 8(E1): 60-.
[13]	王涛, 潘乐荣, 邹初建, . 5G场景下的全流量安全检测与分析[J]. 信息安全研究, 2022, 8(E1): 64-.
[14]	宁力军, 刘健康, 杨昀桦, . 电力调度安全监测管控解决方案[J]. 信息安全研究, 2022, 8(E1): 68-.
[15]	陈国, 白国涛, 王庆栋, . 基于云原生安全的磐基PaaS容器安全防护平台[J]. 信息安全研究, 2022, 8(E1): 72-.

物联网固件漏洞安全检测综述

A Survey of IoT Firmware Vulnerability Security Detection

PDF

可视化

摘要/Abstract

引用本文

使用本文

参考文献

相关文章 15

编辑推荐

Metrics