Linux 容器能否弥补 IoT 的安全短板？

尽管日益增长的安全威胁，但对物联网来说，（IoT）炒作没有减弱的迹象。为了刷存在感，公司正忙于重新规划他们的物联网路线图。物联网浪潮迅速异常，比移动互联网革命更深入、更广泛。IoT 像黑洞一样，吞噬一切，包括智能手机，通常是我们通向物联网世界的窗口，有时是我们的聚集点或终端。

新的物联网处理器和嵌入式主板继续重塑其技术地图。自从 9 本月推出面向物联网的物联网 Linux 和开源硬件系列文章后，我们看到了物联网网关 “Apollo Lake” SoC 芯片 Intel Atom E3900 三星新 Artik 模块，包括用于网关并由 Linux 驱动的 64 位 Artik 7 COM 及自带 RTOS 的 Cortex-M4 Artik。 ARM 为具有 ARMv8-M 和 TrustZone 安全性的 IoT 终端发布了 Cortex-M23 和 Cortex-M33 芯片。

Artik 7

安全是这些产品的卖点。最近的攻击 Dyn 服务并在一天内摧毁了美国大部分互联网的 Mirai 基于僵尸网络 Linux 的物联网推到台前 - 当然，这种方式似乎不是很体面。 IoT 可成为设备 DDoS 同样，设备及其所有者也可能直接遭受恶意攻击。

Cortex-M33 和 -M23

Dyn 攻击事件进一步证明了这一观点，即物联网将在受控制和保护的工业环境中发展，而不是在家庭环境中。这并不是因为没有消费者级的物联网安全技术，但除非产品设计开始时以安全为目标，否则就像我们的智能家居集线器系列中的许多解决方案一样，以后考虑安全会增加成本和复杂性。

在物联网系列的最后一部分，我们将讨论两个基于未来前景的部分 Linux 的面向 Docker 这些技术被提出作为物联网安全解决方案。容器还可以帮助解决我们在物联网框架中讨论的开发复杂性和可操作性障碍的问题。

我们与 Canonical 的 Ubuntu 客户平台工程副总裁 Oliver Ries 讨论了 Ubuntu Core 和适用于 Docker 的容器式 Snaps 包管理技术。我们也有新的基础 Docker 物联网方案 ResinOS 采访了 Resin.io 首席执行官和联合创始人 Alexandros Marinos。

01

Ubuntu Core Snaps

Canonical 物联网 Snappy Ubuntu Core 版本的 Ubuntu 围绕类似容器的快照包管理机制，并提供应用商店支持。 snaps 最近自己发布了其他技术 Linux 发行版。去年 11 月 3 日，Canonical 发布了 Ubuntu Core 本版改进了白标应用商店和更新控制服务。

传统 Ubuntu（左）架构 与 Ubuntu Core 16

自动更新快照机制有助于防止未经授权的更新。 使用事务系统管理，快照可以确保更新按预期部署或根本不部署。 在 Ubuntu Core 中，使用 AppArmor 它进一步加强了安全性，所有的应用程序文件都只读于隔离岛。

LimeSDR

Ubuntu Core 是我们最近开展的开源物联网操作系统调查的一部分，现在运行于 Gumstix 主板、Erle 机器人无人机，Dell Edge 网关、Nextcloud Box、LimeSDR、Mycroft 家庭集线器，英特尔 Joule 和符合 Linaro 的 96Boards 规范的 SBC(单板计算机) 上。 Canonical 公司还与 Linaro 物联网和嵌入式（LITE）部门集团在其中 96Boards 物联网版（IE） 达成合作。最初，96Boards IE 专注于 Zephyr 驱动的 Cortex-M4 板卡，如 Seeed 的 BLE Carbon，然而，它将扩展到可以运行 Ubuntu Core 网关板卡。

“Ubuntu Core 和 snaps 具有从边缘到网关到云的相关性，Canonical 的 Ries 说。 “能够在任何主要发行版（包括 Ubuntu Server 和 Ubuntu for Cloud）运行快照包，让我们提供一致的体验。 snaps 在物联网环境中，全更新、错误修复或新功能的不断更新，这在物联网环境中非常重要。”

Nextcloud盒子

安全性和可靠性是重点，Ries 说。 “snaps 应用可以完全独立于彼此和操作系统而运行，使得两个应用程序可以安全地在单个网关上运行，”他说。 “snaps 只读和认证，可以保证代码的完整性。

Ries 还说这种技术减少了开发时间。 “snap 软件包允许开发人员向任何支持其的平台提供相同的二进制包，从而降低开发和测试成本，减少部署时间，提高更新速度。 “使用 snap 开发人员可以完全控制开发生命周期，并立即更新软件包。 snap 该包提供了所有必要的依赖项，因此开发人员可以选择定制他们使用的组件。”

02

ResinOS: 为 IoT 而生的 Docker

Resin.io 与其商业化 IoT 同名框架最近剥离了框架的基础 Yocto Linux 的 ResinOS 2.0，ResinOS 2.0 作为一个独立的开源项目运营。 Ubuntu Core 在 snap 包中运行 Docker 容器引擎，ResinOS 在主机上运行 Docker。 极致简约的 ResinOS 抽离了使用 Yocto 代码的复杂性使开发人员能够快速部署 Docker 容器。

ResinOS 2.0 架构

与基于 Linux 的 CoreOS 一样，ResinOS 集成了 systemd 可通过异构网络安全部署更新的应用程序，控制服务和网络协议栈。 但在资源有限的设备(如 ARM 与黑客板相反，CoreOS 和其他基于 Docker 的操作系统（例如基于 Red Hat 的 Project Atomic）目前只能运行 x86 更喜欢资源丰富的服务器平台。 ResinOS 可以在 20 中 Linux 包括设备运行和增长在内的设备 Raspberry Pi，BeagleBone 和Odroid-C1 等。

“我们认为 Linux 容器对嵌入式系统比对云更重要。Resin.io 的 Marinos 说。 在云中，容器代表了之前过程的优化，但在嵌入式中，它们代表了迟到的通用虚拟化。

BeagleBone Black

应用于物联网时，完整的企业级虚拟机具有直接访问硬件的性能缺陷，Marinos 说。像 OSGi 和 Android 的Dalvik 这种移动设备虚拟机可用于 IoT，但它们依赖 Java 还有其他限制。

使用企业开发人员 Docker 这似乎很自然，但你如何说服嵌入式黑客转向新的范式呢？ “Marinos 解释说，”ResinOS 不是收集云技术的所有实践经验，而是优化嵌入式。此外，他说容器比典型的物联网技术更能容忍故障。 如果有软件缺陷，主机操作系统可以继续正常工作，甚至保持连接。要恢复，您可以重新启动容器或推送更新。更新设备而不重新启动设备的能力进一步消除了由故障引起的问题。”

据 Marinos 其他好处来自于与云技术的一致性，如更广泛的开发人员。该容器提供了跨数据中心和边缘的统一范式，以及将技术、工作流、基础设施甚至应用程序转移到边缘（终端）的方式。

Marinos 其他技术正在增强容器的固有安全优势。 “随着 Docker 社区自然会转移和应用于促进镜像签名和验证的实现 ResinOS，”他说。 “当 Linux 当内核得到加强以提高容器安全性，或获得更好地管理容器消耗的资源时，也会产生类似的好处。

容器也适用于开源 IoT 框架，Marinos 说。 “Linux 容器很容易与几乎各种协议、应用程序、语言和库相结合。Marinos 说。 “Resin.io 参加了 AllSeen 联盟，我们和使用 IoTivity 和 Thread的 合作伙伴合作。

03

IoT力量：智能网关和智能终端

Marinos 和 Canonical 的 Ries 对物联网未来的发展趋势有一致的看法。 首先，物联网的最初概念(基于物联网) MCU 端点直接与云通信处理)正在迅速被雾化计算架构所取代。这需要更智能的网关，而不仅仅是 ZigBee 和 WiFi 聚合和转换数据之间的功能更多。

其次，网关和智能边缘设备越来越多地运行多个应用程序。 第三，这些设备将提供板载分析，这反映在最新的智能家居集线器上。 最后，富媒体将很快成为物联网组合的一部分。

最新设备网关： Eurtech 的 ReliaGate 20-26

最新设备网关: Advantech 的 UBC-221

“智能网关正在接管最初为云服务设计的许多处理和控制功能，”Marinos 说。 “因此，我们看到对容器化的推动力在增加，可以在 IoT 设备中使用类似云工作流程来部署与功能和安全相关的优化。去中心化是由移动数据紧缩、不断发展的法律框架和各种物理限制等因素驱动的。”

Ubuntu Core 等平台正在使“可用于网关的软件爆炸式增长”，Canonical 的 Ries 说。 “在单个设备上运行多个应用程序的能力吸引了众多单一功能设备的用户，以及现在可以产生持续的软件收入的设备所有者。”

两种 IoT 网关: MyOmega MYNXG IC2 Controller

两种 IoT 网关: TechNexion 的 LS1021A-IoT Gateway

不仅是网关 - 终端也变得更聪明。 “阅读大量的物联网新闻报道，你得到的印象是所有终端都运行在微控制器上，”Marinos 说。 “但是我们对大量的 Linux 终端，如数字标牌，无人机和工业机械等直接执行任务，而不是作为操作中介（数据转发）感到惊讶。我们称之为影子 IoT。”

Canonical 的 Ries 同意，对简约技术的专注使他们忽视了新兴物联网领域。 “轻量化的概念在一个发展速度与物联网一样快的行业中初现端倪，”Ries 说。 “今天的高级消费硬件可以持续为终端供电数月。”

虽然大多数物联网设备将保持轻量和“无头”（一种配置方式，比如物联网设备缺少显示器，键盘等），它们装备有如加速度计和温度传感器这样的传感器并通过低速率的数据流通信，但是许多较新的物联网应用已经使用富媒体。 “媒体输入/输出只是另一种类型的外设，”Marinos 说。 “总是存在多个容器竞争有限资源的问题，但它与传感器或蓝牙竞争天线资源没有太大区别。”

Ries 看到了工业和家庭网关中“提高边缘智能”的趋势。 “我们看到人工智能、机器学习、计算机视觉和上下文意识的大幅上升，”Ries 说。 “为什么要在云中运行面部检测软件，如果相同的软件可以在边缘设备运行而又没有网络延迟和带宽及计算成本呢？“

当我们在这个物联网系列的开篇故事中探索时，我们发现存在与安全相关的物联网问题，例如隐私丧失和生活在监视文化中的权衡。还有一些问题如把个人决策交给可能由他人操控的 AI 裁定。这些不会被容器，快照或任何其他技术完全解决。

如果 AWS Alexa 可以处理生活琐事，而我们专注在要事上，也许我们会更快乐。或许有一个方法来平衡隐私和效用，现在，我们仍在探索，如此甚好。

英文 | Can Linux containers save IoT from a security meltdown? 

作者 | Eric Brown 译者：firstadream 校对：wxy 

译文出自 | Linux 中国

CSDN物联网开发

by CSDN物联网小组

传递物联网资讯及干货

长按二维码关注