無線通訊中 TLS 開銷的自適應優化：關鍵基礎設施應用

Centrala begrepp

本文旨在探討如何針對關鍵基礎設施中資源受限的無線通訊環境，動態調整 TLS 參數以優化其效能，並提出一個基於預先計算的設定檔選擇最佳 TLS 配置的方案。

Sammanfattning

研究目標：
本研究旨在探討如何針對關鍵基礎設施中資源受限的無線通訊環境，動態調整傳輸層安全性協定 (TLS) 參數以優化其效能。
研究方法：

全面測量 TLS 開銷： 建立一個全面的測量環境，涵蓋各種 TLS 配置、演算法和參數，以深入了解 TLS 開銷在不同條件下的變化。
設計自適應 TLS 優化方案： 提出一個基於預先計算的設定檔選擇最佳 TLS 配置的方案，該方案可根據當前的資源和安全約束動態調整 TLS 參數。
實際案例驗證： 以一個監控和控制分散式能源系統的關鍵基礎設施網路為例，展示 TLS 優化方案在實際應用中的效益。

主要發現：

TLS 開銷受具體配置和參數影響顯著，存在優化空間。
透過預先計算和選擇最佳 TLS 設定檔，可以有效降低 TLS 開銷，提升無線通訊效率。
在 450 MHz LTE-M 網路環境下，TLS 握手過程會顯著增加端到端連接時間，而採用後量子安全機制會進一步加劇延遲。

主要結論：

針對關鍵基礎設施無線通訊環境，動態調整 TLS 參數以優化其效能至關重要。
基於預先計算的設定檔選擇最佳 TLS 配置的方案，為實現 TLS 開銷自適應優化提供了一種可行方案。
未來研究可進一步探討其他優化方向，例如握手時機和會話恢復機制的利用。

研究意義：
本研究為提升關鍵基礎設施無線通訊安全性與效率提供了新的思路和方法，對於保障關鍵基礎設施安全運營具有重要意義。
研究限制與未來方向：

本研究目前主要關注 TLS 頻寬開銷，未來將進一步研究其他維度的開銷，例如計算開銷和能耗。
未來將在更真實的網路環境中進行更全面的測試和評估，以驗證所提方案的有效性和可靠性。

Statistik

在 450 MHz LTE-M 網路中，使用 TLS 1.3 P256 進行通訊時，端到端連接時間相較於僅使用 TCP 增加了約 1000 毫秒。
使用 TLS 1.3 RSA 進行通訊時，端到端連接時間相較於僅使用 TCP 增加了約 2000 毫秒。
使用 TLS 1.2 RSA 進行通訊時，端到端連接時間相較於僅使用 TCP 增加了約 2500 毫秒。
使用 TLS 1.3 後量子安全機制進行通訊時，端到端連接時間相較於僅使用 TCP 增加了約 3500 毫秒。

Viktiga insikter från

Adaptive Optimization of TLS Overhead for Wireless Communication in Critical Infrastructure

by Jörn... på arxiv.org 11-05-2024

https://arxiv.org/pdf/2411.01971.pdf

Djupare frågor

除了 TLS 參數調整外，還有哪些方法可以提升關鍵基礎設施無線通訊的安全性？

除了調整 TLS 參數，還有許多方法可以提升關鍵基礎設施無線通訊的安全性，以下列舉幾項重要措施：
1. 網路層級安全強化：

採用專用網路： 盡可能使用專用網路，例如專用 LTE 或 5G 網路切片，與公共網路隔離，降低攻擊面。
強健的身份驗證和授權： 使用強健的認證機制，例如雙因素認證或基於憑證的身份驗證，確保只有授權設備才能連接網路。
網路分段： 將網路劃分為多個安全區域，限制設備之間的橫向移動，防止攻擊擴散。
入侵偵測和防護系統（IDS/IPS）： 部署 IDS/IPS 系統，監控網路流量，識別並阻止惡意活動。
2. 設備層級安全強化：

安全啟動和韌體更新： 確保設備使用安全的啟動程序和韌體更新機制，防止惡意軟體植入。
最小化攻擊面： 關閉不必要的服務和端口，最小化設備的攻擊面。
設備身份驗證和完整性驗證： 使用設備身份驗證和完整性驗證機制，確保只有授權且未被篡改的設備才能連接網路。
3. 資料保護：

資料加密： 對敏感資料進行加密，即使資料被竊取，也能防止未經授權的訪問。
資料完整性驗證： 使用訊息鑑別碼（MAC）或數位簽章等技術，確保資料在傳輸過程中未被篡改。
4. 安全監控和事件響應：

集中式安全資訊和事件管理（SIEM）： 使用 SIEM 系統收集和分析安全事件，及時發現和應對安全威脅。
建立事件響應計劃： 制定事件響應計劃，明確應對安全事件的流程和責任，最大程度地減少損失。
5. 其他安全措施：

定期安全評估： 定期進行安全評估，識別潛在的安全風險，並採取相應的措施。
安全意識培訓： 對員工進行安全意識培訓，提高他們對安全威脅的認識，並教導他們如何安全地使用網路和設備。

如果關鍵基礎設施網路環境無法支持動態調整 TLS 參數，該如何應對 TLS 開銷帶來的挑戰？

如果關鍵基礎設施網路環境無法支持動態調整 TLS 參數，可以考慮以下方法來應對 TLS 開銷帶來的挑戰：
1. 選擇輕量級的 TLS 配置：

使用 TLS 1.3： TLS 1.3 相比於舊版本，握手過程更精簡，可以減少延遲和頻寬消耗。
選擇合適的密碼套件： 選擇運算量較小的密碼套件，例如使用橢圓曲線密碼學（ECC）代替 RSA，可以降低設備的運算負擔。
禁用不必要的功能： 根據實際需求，禁用不必要的功能，例如客戶端證書驗證，可以減少 TLS 握手過程的訊息交換次數。
2. 優化網路環境：

提升網路頻寬： 如果可能，提升網路頻寬可以有效降低 TLS 開銷帶來的影響。
降低網路延遲： 優化網路拓撲結構，減少網路延遲，可以改善 TLS 握手過程的效率。
3. 其他優化措施：

使用會話恢復機制： TLS 的會話恢復機制可以讓客戶端和伺服器在後續連線中複用之前的會話參數，避免重複進行完整的 TLS 握手過程，從而減少開銷。
使用 TLS 代理伺服器： 在資源受限的設備和外部網路之間部署 TLS 代理伺服器，可以將 TLS 握手過程的運算負擔轉移到代理伺服器上，減輕設備的負擔。
4. 考慮替代方案：

使用輕量級的通訊協定： 對於某些應用場景，可以考慮使用 MQTT 或 CoAP 等輕量級的通訊協定，這些協定通常比 TLS 的開銷更小。
使用應用層級安全機制： 如果無法使用 TLS，可以考慮在應用層級實現安全機制，例如使用應用層級加密和身份驗證。
需要注意的是，選擇應對 TLS 開銷挑戰的方法需要根據具體的網路環境和應用需求進行綜合考慮，在安全性和性能之間找到平衡點。

在物聯網時代，如何平衡安全需求和資源限制，以實現可持續發展？

在物聯網時代，要實現可持續發展，必須在安全需求和資源限制之間取得平衡。以下是一些建議：
1. 採用分層安全策略：

識別關鍵資產： 並非所有物聯網設備和資料都具有相同的價值。將資源集中在保護最關鍵的資產上，例如控制系統和敏感資料。
分層防禦： 在設備、網路和應用程式層級實施安全控制措施，即使一層防禦被突破，也能阻止攻擊者進一步入侵。
2. 選擇合適的安全技術：

輕量級加密演算法： 採用輕量級加密演算法，例如 ECC 和 AES，可以在不顯著影響性能的情況下提供足夠的安全性。
輕量級通訊協定： 使用 MQTT 或 CoAP 等輕量級通訊協定，可以減少頻寬消耗和設備負擔。
邊緣運算： 將安全功能移至網路邊緣，例如使用邊緣閘道器進行資料加密和身份驗證，可以減輕資源受限設備的負擔。
3. 標準化和互通性：

採用開放標準： 使用開放的安全標準，例如 TLS 和 DTLS，可以確保不同廠商的設備和系統之間的互通性。
參與標準制定： 積極參與安全標準的制定，推動制定更適合物聯網環境的標準。
4. 安全生命週期管理：

安全設計： 在物聯網系統的設計階段就考慮安全性，而不是在部署後再進行修補。
安全更新： 建立安全的韌體和軟體更新機制，及時修補漏洞。
設備報廢： 制定安全的設備報廢流程，確保敏感資料被清除。
5. 合作與創新：

產業合作： 加強產業合作，共享安全威脅情報和最佳實務。
學術研究： 支持學術界進行物聯網安全研究，開發更安全、更高效的技術。
通過採取這些措施，我們可以構建物聯網生態系統，在滿足安全需求的同時，最大限度地減少資源消耗，實現可持續發展。