计算机应用

作者：张立孝, 马垚, 杨玉丽, 于丹, 陈永乐

单位：太原理工大学 计算机科学与技术学院（大数据学院），山西 晋中 030600

关键词：物联网,软件供应链,组件识别,固件安全,命名实体识别

基金：山西省基础研究计划项目(20210302124395)

物联网（IoT）设备厂商在固件开发中通常会大量复用基于开源代码编译而成的开源组件，每个固件通常由上百个这样的组件构成。如果这些组件未能及时更新，未打上安全补丁的开源组件可能会携带着漏洞集成到固件中，进而给IoT设备埋下安全隐患。因此，识别IoT固件中的二进制组件对于确保IoT设备的安全性至关重要。针对现有方法难以大规模识别二进制组件的问题，提出一种基于命名实体识别（NER）的大规模IoT二进制组件识别方法。首先，通过固件解压提取固件内部的二进制组件；然后，通过可读字符串提取和组件执行这两个方式获取组件的语义信息；最后，利用RoBERTa-BiLSTM-CRF的NER模型识别组件名和版本号。在12个流行的IoT生产商发布的6 575个固件上的实验结果表明，所提方法获得了87.67%的F1值，可成功识别163个二进制组件。可见，该方法有效扩大了IoT固件中二进制组件的识别范围，有助于从软件供应链的角度保障固件安全。

来源：2025年第7期

《计算机应用》期刊编辑部

查看计算机应用杂志2025年第7期