図8にもあるように、セキュアなIoTには以下5つのポイントがある。
- デバイスのファームウェアとセキュアブート
- サーバとの通信
- インターフェースのセキュリティ
- API制御の適用
- 通信の中断やなりすまし対策を含む堅牢性
セキュアブートは、各段階で次のプロセスを起動する前に認証することで意図したファームウェアをデバイスが実行していることを保証する。また、広範囲にわたって導入されている多数のIoTデバイスの大量アップロードには、無線ネットワークを経由してアップデートする“OTA（Over the Air）アップデート”が便利だが、脆弱な攻撃対象領域を作り出すことにもなるので、すべてのファームウェアをインストール前に検証する必要がある。適切な実装では、問題がある場合にバックトラッキングできるよう、以前に認証されたイメージのバックアップが作成される。
通信層またはトランスポート層では、デバイスがサーバで自身を認証できる必要がある。交換するすべてのデータを暗号化し、「中間者」攻撃の可能性を排除する必要もある。セキュアなキー管理は、セッションごとでも、これを可能にする。
見落とされがちだが、デバイスの機能にアクセスするために定義されるAPIの脆弱性にも対策が必要だ。通常、ハッカーは十分に時間をかけてオープンAPIを探し出し、有料サービスへのアクセスも含め、デバイスの機能との関係性を探索することができるので、この点は侮れない。開発者は独自のテストやシステム構成のために非公開APIを持つことがあるので、すべてのAPIに使用するのと同じ正式な認証と承認のプロセスを使用してこれらのAPIも保護する必要があるだろう。
IoTデバイス保護の5つのポイントは、デバイスがGNSSから正確な位置情報を入手できなくしてしまう通信の中断やなりすましに着面したときなどの堅牢性だ。報告された情報が正確ではないことを検出し、ユーザーまたはIoTネットワーク運営者に状況を報告できる設計でなくてはならない。
