如何在物联网上认证合法的东西应用程序？

Question

我想为物联网(IoT)上的传感器开发一个服务器。每个人都可以为这个特定的传感器购买应用程序。应用程序将与服务器交换数据。服务器如何验证数据是否来自合法的应用程序？

由于每个人都可以购买应用程序和兼容的传感器，“每个人”也可以拆解/攻击，并将身份验证复制到一个非合法的应用程序中，如果服务器提供一个一次性的许可证代码、一个预先共享的密钥或一个证书。

从基于DTLS的物联网双向认证安全性的角度来看，一个可信的平台模块(TPM)似乎是可行的。但对于应用程序商店中的应用程序来说，这不是一个可行的解决方案，不是吗？

服务器是否有其他方法来验证消息是否真的来自合法的应用程序？也许一种方法不如TPM强，但取决于要保护的数据的值，它仍然可以接受吗？

Answer 1

软件本身就是可以复制的，因为所有那些试图阻止软件拷贝出来的人都发现了这一点。饼干比你花更多的时间，他们只需要找到一个剥削。

如果你说的是应用商店，那么你有五个主要选择：

• 信任您的用户，并保持您的软件简单和健壮。
  • 我推荐这个。

• 选择应用程序商店，其验证机制您相信是“足够好”，并使用这些。
  • 次优

• 卖掉一个认证器( dongle)的硬件，然后免费提供应用程序，因为没有dongle/认证器，它就一文不值。
  • 例如，一个Yubico FIDO，或试图找到一个蓝牙智能卡读卡器。
  • 或者使用一个已经可用的，就像你提到的TPM。
    • 如果您这样做了，那么在您的需求中要明确和明显；包括我在内的许多客户都禁用TPM。

• 把大量的时间和精力花在这样的解决方案上，这样的解决方案在最终的中不会起什么作用。
  • 然后更多地与那些经常出差、经常切换设备等仍然希望你的应用程序正常工作的客户打交道。

• 制作你自己的应用程序商店，把每一张卡绑定到一个帐户上，并做一次每次服务或一次一次的费用，这样就用完了。
  • 再一次，与那些账户被盗的愤怒客户打交道(也许是因为他们使用了一个糟糕的密码)，并因此支付了他们没有收到的服务。
    • 还有信用卡公司向你收费。