限 时 特 惠： 本站每日持续更新海量各大内部创业教程，一年会员只需98元，全站资源免费下载 点击查看详情
站 长 微 信： muyang-0410
海尔针对智能家居的安全性主要提供安全物联模块以及安全的平台接入能力，包括身份认证、通信加密、控制授权、数据保护等安全保障措施。
GE项目安全改进工作分析-云平台
开发
1、用户安全系统增加图片验证码机制、弱口令识别和密码复杂度判断控制，增加用户名密码传输加密机制。改进的生成方式，进行随机化处理。增加允许用户删除自己信息的功能。
2、实施正式安全项目的安全功能，实现平台访问的 双向认证。改进签名和完整性校验算法，用替换MD5
3、对外接口增加对输入数据的检验，包括长度、格式、范围、边界、取值、防XSS攻击等。优化所有调用的返回信息，避免不适当的信息暴露。
4、使用TLS1.2以上的安全协议，禁用http、SSLv1、v2、v3等不安全协议。
5、建立统一的日志和审计系统。
6、设备信息标识Key需要随机数据，目前用Mac不符合要求海尔智能家居，需要模块提供随机标识的方案。
7、用户隐私信息和使用信息存储在物理分离的区域。优化存储设计架构，建立单独的用户隐私信息数据库。用户隐私信息存储需要加密。增加存储读写加解密流程。系统操作避免收集和记录更多的用户隐私信息，目前仅有用户名、密码和邮箱。
8、云平台所有的机密信息存放于一个访问受控的区域。改进存储架构，实现保密存取。
9、云端建立细粒度角色及其策略管理机制。基于家庭模型的绑定、分享和控制机制。
10、基于海外产品的特殊需求进行的修订开发，如多语言、时差、区域信息等等。
测试
1、建立机制自动监控云平台通用安全问题。（如警告一年内未做管理安全凭证更新、记录每次防火墙规则变化、入侵检测报警、入侵防御报警等）
2、定期进行第三方安全渗透测试。就发现的风险问题进行整改。
3、采用最新OWSP Top 10安全风险进行安全性验证。
运维
1、启用云服务运营商提供的管理双因素认证功能。如微软Azure的语音认证。
2、对所使用的操作系统、系统组件和开源软件进行排查海尔智能家居，关闭后台管理、调试等后门。
3、开发、测试、生产环境隔离，并用不同的凭证进行接入控制。移植目前平台的环境管理方式。
4、云端应用需要分别隔离。采用虚拟化架构部署。
5、建立定时自动（手动）更新云访问凭证的机制（例如：用户或管理员的数据库访问凭证）
6、建立自动（手动）的日常（至少每周一次）的操作系统和软件包的补丁机制。
7、部署负载均衡技术和CDN防护抵御DDoS攻击。部署基线管理机制、性能和负载测试告警机制。
8、增强服务可用性监测、增加流量、性能阈值监控机制。
9、服务端采用正式CA证书。
管理
1、 SVN版本管理，记录产品生产部署前所有的代码和架构变更。
2、第三方供应商管理，增加安全评估和安全需求
3、使用成熟的符合工业标准，经安全优化的库（如、Java ）。整理系统组件库，进行版本管理。
4、梳理技术实现所对应的RFC规格和相关协议标准。
限 时 特 惠： 本站每日持续更新海量各大内部创业教程，一年会员只需98元，全站资源免费下载 点击查看详情
站 长 微 信： muyang-0410
