Научная статья на тему 'Интернет вещей: проблемы безопасности'

Интернет вещей: проблемы безопасности Текст научной статьи по специальности «Компьютерные и информационные науки»

CC BY
4519
1158
i Надоели баннеры? Вы всегда можете отключить рекламу.
Ключевые слова
ИНТЕРНЕТ ВЕЩЕЙ / БЕЗОПАСНОСТЬ / АУТЕНТИФИКАЦИЯ / КОНФИДЕНЦИАЛЬНОСТЬ / УПРАВЛЕНИЕ ДОСТУПОМ / INTERNET OF THINGS / IOT / SECURITY / AUTHENTICATION / CONFIDENTIALITY / ACCESS CONTROL

Аннотация научной статьи по компьютерным и информационным наукам, автор научной работы — Леонов Алексей Викторович

Исследования в области безопасности Интернета вещей все чаще привлекают внимание научных кругов. В данном исследовании рассматриваются три ключевых требования безопасности с акцентом на системы Интернета вещей: аутентификация, конфиденциальность и управление доступом. Акцентируется внимание на вопросах безопасности, не решенных к настоящему моменту, а также рассматриваются проблемы и будущие тенденции в области Интернета вещей.

i Надоели баннеры? Вы всегда можете отключить рекламу.

Похожие темы научных работ по компьютерным и информационным наукам , автор научной работы — Леонов Алексей Викторович

iНе можете найти то, что вам нужно? Попробуйте сервис подбора литературы.
i Надоели баннеры? Вы всегда можете отключить рекламу.

The Internet of Things - security challenges

The research on security increasingly causes the attention of academia. This work analyzes in depth three key security requirements: authentication, confidentiality, and access control, with a special focus on IoT systems. And this paper is mainly underlined that security issues are not completely solved until now. In succession, different approaches recently been proposed to address security issues are discussed and analysed specifically in the world of the Internet of Things. Meanwhile, the challenges and future trends of the Internet of Things are also mentioned.

Текст научной работы на тему «Интернет вещей: проблемы безопасности»

ский научный вестник. Сер. Приборы, машины и технологии. - 2013. - № 3. - С. 278-282.

7. Определение оптимального маршрута перевозки грузов [Электронный ресурс] : электрон. учеб. пособие / Шахов В. Г., Афоничев Н. Ю. ; Омский гос. ун-т путей сообщения ; каф. «Автоматика и системы управления». - Омск : ОмГУПС, 2012. -1 электрон. опт. диск (CD-ROM).

8. Шахов, В. Г. Игровые и топологические модели информационной безопасности / В. Г. Шахов, А. В. Морозов, А. П. Тиунов, А. Н. Громов // Известия Транссиба. - 2014. -№3(19). - 158 с.

9. Шахов, В. Г. Введение в информационные системы и телекоммуникации / В. Г. Шахов. - Омск : ОмГУПС, 2001. - 87 с.

10. Заде, Л. Понятие лингвистической переменной и его применение к принятию приближенных решений / Л. Заде. -М. : Мир, 1976. - 446 с.

ГРОМОВ Андрей Николаевич, аспирант кафедры автоматики и систем управления. ТИУНОВ Артём Павлович, аспирант кафедры автоматики и систем управления.

ФОМЕНКО Мария Сергеевна, магистрант гр. 24-И института автоматики, телекоммуникаций и информационных технологий.

ШАХОВ Владимир Григорьевич, кандидат технических наук, профессор кафедры автоматики и систем управления.

Адрес для переписки: shahovvg@mail.ru

Статья поступила в редакцию 05.03.2015 г. © А. Н. Громов, А. П. Тиунов, М. С. Фоменко, В. Г. Шахов

УДК 004.7:056.5 Д. В. ЛЕОНОВ

Омский государственный технический университет

ИНТЕРНЕТ ВЕЩЕЙ: ПРОБЛЕМЫ БЕЗОПАСНОСТИ

Исследования в области безопасности Интернета вещей все чаще привлекают внимание научных кругов. В данном исследовании рассматриваются три ключевых требования безопасности с акцентом на системы Интернета вещей: аутентификация, конфиденциальность и управление доступом. Акцентируется внимание на вопросах безопасности, не решенных к настоящему моменту, а также рассматриваются проблемы и будущие тенденции в области Интернета вещей.

Ключевые слова: Интернет вещей, безопасность, аутентификация, конфиденциальность, управление доступом.

Введение. Интернет вещей (Internet of Things, IoT) — это концепция и парадигма, которая рассматривает повсеместно распространяющееся присутствие различных физических объектов («вещей») в окружающей среде. Термин «Интернет вещей» определен как динамическая глобальная сетевая инфраструктура с возможностью самонастройки на основе стандартных и совместимых протоколов связи, где физические и виртуальные «вещи» имеют идентификаторы, физические атрибуты, используют интеллектуальные интерфейсы и интегрируется в информационную сеть [1].

В течение последнего десятилетия Интернет вещей проникал в нашу жизнь тихо и постепенно, прежде всего благодаря наличию систем беспроводной связи (например, RFID, Wi-Fi, 4G, IEEE 802.15.x), которые все чаще используются в качестве движущей силы для развития технологии интеллектуального контроля и управления приложениями [2].

Концепция IoT включает в себя множество различных технологий, услуг, стандартов и воспринимается как краеугольный камень на рынке информационно-коммуникационных технологий (ИКТ) по крайней мере на ближайшие десять лет.

С логической точки зрения, система IoT может быть представлена как совокупность совместно взаимодействующих интеллектуальных устройств. С технической точки зрения, IoT может использовать различные пути обработки данных, коммуникации, технологии и методологии, основываясь на их

целевом предназначении. Например, система 1оТ может использовать возможности беспроводной сенсорной сети (ШБЫ), которая собирает экологически значимую информацию об окружающей среде [3].

Высокий уровень неоднородности в сочетании с широкой гаммой систем 1оТ, как ожидается, увеличит число угроз безопасности владельцев устройств, которые все чаще используются для взаимодействия людей, машин и вещей в любой вариации. Традиционные меры обеспечения безопасности и соблюдения конфиденциальности не могут быть применены к технологиям 1оТ, в частности, из-за их ограниченной вычислительной мощности. Кроме того, большое количество подключенных устройств порождает проблему масштабируемости. В то же время для достижения признания со стороны пользователей необходимо в обязательном порядке обеспечить соблюдение безопасности, конфиденциальность и модели доверия, подходящие для контекста 1оТ [4 — 6]. Для предотвращения несанкционированного доступа пользователей (то есть людей и устройств) к системе должны использоваться механизмы аутентификации и авторизации, гарантирована безопасность, конфиденциальность и целостность персональных данных. Относительно персональных данных пользователей и информации должны обеспечиваться защита и конфиденциальность, прежде всего потому, что устройства имеют к ней доступ и способны ей управлять (например, сведения о привычках пользователей). Наконец, доверие

(надёжность, англ. Trust) — это основная проблема, поскольку IoT-среда характеризуется различными типами устройств, которые должны обрабатывать данные в соответствии с потребностями и правами пользователей.

Обратим внимание, что адаптация и самовосстановление играют ключевую роль в IoT инфраструктурах, которые должны быть в состоянии противостоять неожиданным изменениям в окружающей среде. Соответственно, к вопросам конфиденциальности и безопасности следует относиться с высокой степенью гибкости. Наряду с традиционными решениями для обеспечения безопасности необходимо использование специальных механизмов, встроенных в сами устройства с целью оперативного диагностики, изоляции и профилактики нарушений [7].

Аутентификация и конфиденциальность. Что

касается аутентификации, подход, представленный в [8], предусматривает использование настраиваемого пользователем механизма инкапсуляции, а именно протокол прикладного уровня для IoT под названием — «интеллектуальная служба обеспечения безопасности» (англ. Intelligent Service Security Application Protocol). Он сочетает в себе кросс-платформенные связи с шифрованием, подписью и аутентификацией для повышения эффективности разработки приложений IoT путем создания системы защищенной связи между различными вещами.

В работе [9] представлена первая полностью реализованная двусторонняя схема проверки подлинности для IoT на основе существующих стандартов, в частности, протокол датаграмм безопасности транспортного уровня (англ. Datagram Transport Layer Security, DTLS), который располагается между транспортным и прикладным уровнями. Эта схема основана на криптографическом алгоритме RSA и предназначена для IPv6 с использованием стандарта 6LoWPANs (англ. IPv6 over Low power Wireless Personal Area Networks) [10]. Анализ результатов, основанных на реальных системах IoT, показывает, что такая архитектура обеспечивает целостность сообщения, конфиденциальность, энергоэффективность, низкие значения задержки пакетов и нагрузки на память.

Относительно конфиденциальности и целостности в [11] приведен анализ того, как существующие системы управления ключами могут быть применены в контексте IoT. Это позволяет классифицировать протоколы систем управления ключами (англ. Key Management System, KMS) по четырем основным категориям: структура пула ключей, математическая база, механизм взаимодействия и структура открытого ключа. В работе [12] авторы утверждают, что большинство протоколов KMS не подходят для IoT. Однако протоколы KMS пригодны для сценариев, в которых вычислительные мощности являются довольно низкими по сравнению с использованием криптографии с открытым ключом (англ. Public Key Cryptography, РКС). Но для таких схем необходимо введение нескольких контрмер для управления устройством аутентификации и во избежание MITM-атаки (англ. Man In The Middle).

Более практичный подход [13] предлагает модель передачи со схемами шифрования подписи, в которой рассматриваются требования безопасности IoT (т.е. анонимность, надежность и устойчивость к атакам) посредством ONS-запросов (англ. Object Naming Service). Однако, с точки зрения устойчивости к атакам, результаты модели передачи данных являются

очень слабыми в связи с использованием шифрования на базе «точка —точка» (англ. hop-by-hop).

По-прежнему отсутствует уникальное и четко определенное решение, которое может гарантировать конфиденциальность в IoT. В этом контексте много усилий было приложено для WSN (англ. WSN — Wireless Sensor Network) [14, 15], но, несмотря на это, возникает несколько вопросов:

— Являются ли предложения для WSN легко адаптируемыми к среде IoT, учитывая как неоднородность устройств, так и различия в области применения?

— Как и на каком сетевом уровне осуществляется аутентификация?

— Реально ли использовать традиционные механизмы безопасности (например, алгоритмы шифрования) или лучше начать с новых решений?

— Как обрабатывать разные ключи?

— Какой вид распределения ключевого механизма является наиболее подходящим?

— Как обеспечить непрерывный механизм проверки целостности для того, чтобы сделать систему более устойчивой к атакам злоумышленников?

Совсем недавно началась работа по решению этих вопросов. Например, протокол аутентификации для IoT, представленный в [16], использует легкий метод шифрования, основанный на операции XOR.

В рамках WSN аутентификация пользователя и схема согласования ключа для гетерогенных беспроводных сенсорных сетей также предложена, например, в [17]. Это решение позволяет удаленному пользователю безопасно договориться о сеансовом ключе с сенсорным узлом с помощью протокола распределения ключей. Таким образом, он обеспечивает взаимную аутентификацию между пользователями, сенсорными узлами и шлюзовыми узлами (англ. gateway node, GWN). Для того чтобы применить такую схему для архитектуры с ограниченными ресурсами, используются только простые хэш и XOR вычисления.

Метод проверки подлинности и контроль доступа, представленный в [18], направлен на создание ключа сеанса с применением эллиптической криптографии (англ. Elliptic Curve Cryptography, ECC). Кроме того, предложен механизм защиты данных в облачных хранилищах, основанный на сочетании «классической» проблемы Диффи — Хеллмана и проблемы дискретного логарифмирования в группе точек эллиптической кривой. Отмечается, что протокол, основанный на эллиптических кривых, имеет небольшой размер ключа без ущерба криптостой-кости, что делает эллиптическую криптографию привлекательной для использования в тех областях, где существуют проблемы из-за ограничения памяти и вычислительных мощностей.

Контроль доступа. Управление доступом относится к разрешениям в области использования ресурсов, предназначенных для различных субъектов в сети IoT. В [19] определены два субъекта: владельцы данных и сборщики данных. Пользователи и вещи, как держатели данных, должны позволять передавать только сведения, которые необходимы для выполнения конкретной задачи. В то же время сборщики данных должны уметь идентифицировать или подтвердить подлинность (аутентифицировать) пользователей вещей как законных владельцев данных, от которых она собирается.

В IoT мы имеем дело с обработкой потоковых, а не дискретных данных, как в традиционных системах. Основные проблемы в этом контексте отно-

сятся к производительности и временным ограничениям. В частности, поток данных интенсивнее, чем в традиционных системах управления базами данных (СУБД). Несколько работ посвящено этим аспектам.

В [20] внимание сосредоточено на уровне, ответственном за получение и хранение информации. Большое количество узлов авторизованных пользователей использует широкий спектр различных типов данных соответствующих уровням конфиденциальности и безопасности. Поэтому в работе представлена иерархическая схема управления доступом для этого уровня. Схема учитывает ограниченную вычислительную мощность и емкость устройства хранения. Каждому пользователю и/ или узлу дается только один ключ; другие необходимые ключи получены с помощью детерминированного алгоритма деривации ключа (англ. deterministic key derivation algorithm), повышая уровень безопасности (так как обмен ключей ограничен) и сокращая затраты на хранение для множества узлов.

В [21] разработана архитектура безопасности, которая направлена на обеспечение целостности и конфиденциальности данных. Механизм основан на алгоритме FT-RC4 (является расширением RC4), который представляет собой потоковый шифр.

Статья [22] фокусируется на повышении производительности и масштабируемости СУБД. Подход, который устраняет проблему аутентификации внешних потоков данных с использованием непрерывной проверки подлинности в потоках данных (англ. Continuous Authentication on Data Streams, CADS), можно найти, например, в [23]. В этих работах предполагается наличие поставщика услуг, который собирает данные от одного или нескольких владельцев вместе с информацией аутентификации и при этом одновременно обрабатывает запросы множества клиентов. Поставщик услуг возвращает клиентам результаты запросов, а также информацию о проверке, что позволяет им проверить подлинность и полноту полученных результатов на основе информации аутентификации, предоставленной владельцем данных.

В публикации [24] внимание также фокусируется на аутсорсинге данных. В частности, из-за большого количества потоковых данных компании могут не приобретать ресурсы, необходимые для развертывания систем управления потоками данных (англ. Data Stream Management Systems, DSMS). Предлагается делегировать хранение и обработку потока специализированному третьему лицу с сильной инфраструктурой DSMS. Появляется вопрос доверия: третье лицо может действовать злонамеренно, например, с целью увеличения своей прибыли. Решение заключается в том, чтобы принять метод для аутентификации потока так, чтобы клиенты могли проверить целостность и актуальность полученных от сервера данных. При этом метод должен удовлетворять требованиям IoT устройств, характеризующихся ограниченными ресурсами с точки зрения энергопотребления, вычислительной мощности и ЗУ.

Главными проблемами, связанными с контролем доступа в сценарии IoT, являются следующие вопросы:

— Как гарантировать права доступа в среде, в которой не только пользователи, но и вещи могут взаимодействовать с системой?

— Какой подход использования наиболее эффективен: централизованный, распределенный или полураспределенный для управления масштабируемой IoT архитектурой?

— Как обрабатывать огромный объем передаваемых данных (т. е. в виде потока данных)?

Что касается идентификации, одним из главных изменений сегодня является увеличение мобильности портативных и мощных беспроводных устройств. Для решения этой проблемы требуется доработать архитектуру в части правил именования, адресации, кроме того необходимо развитие определенной структуры управления данными для IoT. Лишь в единичных работах предлагается решение этой проблемы. Без ответа остаются следующие проблемные аспекты:

— для управления контролем доступа IoT система может осуществлять регистрацию пользователей и вещей, для чего необходимо наличие соответствующего полномочного органа для выдачи удостоверений или сертификатов;

— пользователи/вещи должны иметь возможность предоставить учетные данные/сертификаты системе IoT для того, чтобы взаимодействовать с другими авторизованными/разрешенными устройствами;

— определение конкретных ролей и функций в рамках IoT для управления процессами авторизации.

Что касается затронутых вопросов, несколько новых решений недавно были предложены. В [25] представлена схема авторизации для устройств с ограниченными ресурсами, которая сочетает в себе технологии физически неклонируемых функций (англ. Physical Unclonable Functions, PUFS) со встроенным модулем идентификации абонента (англ. Subscriber Identity Module, eSIM). Первая обеспечивает недорогие, безопасные секретные ключи с защитой от взлома для M2M (англ. MACHINE-to-MACHINE) устройств. Вторая обеспечивает мобильную связь, гарантирующую масштабируемость, совместимость и соответствие протоколам безопасности.

Групповая передача (англ. Multicast) рассмотрена в [26], где используется общий секретный ключ, обозначенный как групповой, общий для нескольких конечных точек обмена данными. Такие ключи управляются и распространяются на основе централизованного подхода. Заметим, что такой механизм снижает накладные расходы (количество вычислительных ресурсов) и сетевой трафик из-за изменений состава в группах, вызванных пользовательскими соединениями, как это происходит в IoT. Такой протокол может быть применен в двух соответствующих сценариях: 1) безопасная агрегация данных в IoT и 2) коммуникация в автомобильных одноранговых сетях VANETs (англ. Vehicle-to-Vehicle, V2V).

Заключение. Распространение услуг IoT требует чтобы были гарантированы безопасность и конфиденциальность. Проведенный обзор публикаций и работ наглядно демонстрирует, насколько много остается нерешенных проблем, проливает свет на направления исследований в области безопасности IoT. До сих пор не сформулирована единая концепция относительно требований безопасности и конфиденциальности в такой разнородной среде с применением различных технологий и стандартов связи. Подходящие решения необходимо разработать и реализовать. Они должны быть независимыми от платформ и позволять гарантировать контроль доступа и конфиденциальность пользователей и вещей, надежность среди устройств и пользователей, соблюдение определенных политик безопасности

и конфиденциальности. Требуется проведение научно-исследовательской работы по направлению обеспечения безопасности IoT в мобильных устройствах, которое получает все более широкое распространение сегодня. Много усилий было (и еще будет) приложено мировым научным сообществом для решения существующих нерешенных задач. При этом в процессе работы появится множество новых вопросов, с которыми только предстоит столкнуться. Данная статья будет полезна в выборе дальнейших направлений исследований и поспособствует массовому развертыванию систем IoT в реальном мире.

Библиографический список

1. Internet of Things Global Standards Initiative [Электронный ресурс]. — Режим доступа : http://www.itu.int/en/ITU-T/gsi/ iot/Pages/default.aspx (дата обращения: 05.02.2015).

2. Алгулиев, Р. Ш. Интернет вещей / Р. Ш. Алгулиев, Р. Ш. Махмудов // Информационное общество. — 2013. — № 3. — C. 42-48.

3. L. A. Grieco, M. B. Alaya, T. Monteil, K. K. Drira, Architecting information centric ETSI-M2M systems, in: IEEE PerCom, 2014.

4. R. H. Weber, Internet of things - new security and privacy challenges, Comput. Law Secur. Rev, Jan. 2010, Vol. 26, № 1, рр. 23-30.

5. H. Feng, W. Fu, Study of recent development about privacy and security of the internet of things, in: 2010 : International Conference on Web Information Systems and Mining (WISM), Sanya, 2010, pp. 91-95.

6. R. Roman, J. Zhou, J. Lopez, On the features and challenges of security and privacy in distributed internet of things, Comput. Networks, 2013, Vol. 57, № 10, рр. 2266-2279.

7. S. Babar, A. Stango, N. Prasad, J. Sen, R. Prasad, Proposed embedded security framework for internet of things (iot), in: 2011 : 2nd International Conference on Wireless Communication, Vehicular Technology, Information Theory and Aerospace and Electronic Systems Technology (VITAE), Chennai, India, 2011, pp. 1-5.

8. Y. Zhao, Research on data security technology in internet of things, in: 2013 : 2nd International Conference on Mechatronics and Control Engineering (ICMCE), Dalian, China, 2013, pp. 17521755.

9. T. Kothmayr, C. Schmitt, W. Hu, M. Brunig, G. Carle, Dtls based security and two-way authentication for the internet of things, Ad Hoc Networks, 2013, Vol. 11. № 8, pp. 2710-2723.

10. M. Palattella, N. Accettura, X. Vilajosana, T. Watteyne, L. Grieco, G. Boggia, M. Dohler, Standardized protocol stack for the internet of (important) things, IEEE Commun. Surv. Tutorials, 2013, Vol. 15, № 3, pp. 1389-1406.

11. R. Roman, C. Alcaraz, J. Lopez, N. Sklavos, Key management systems for sensor networks in the context of the internet of things, Comput. Electrical Eng., 2011, Vol. 37, № 2, pp. 147-159.

12. W. Du, J. Deng, Y. Han, P. Varshney, J. Katz, A. Khalili, A pairwise key predistribution scheme for wireless sensor networks, ACM Trans. Inf. Syst. Secur. (TISSEC), 2005, Vol. 8, № 2, pp. 228-258.

13. Z.-Q. Wu, Y.-W. Zhou, J.-F. Ma, A security transmission model for internet of things, Jisuanji Xuebao/Chin. J. Comput., 2011, Vol. 34, № 8, pp. 1351-1364.

14. Sabrina Sicari, Alessandra Rizzardi, Luigi Alfredo Grieco, Alberto Coen-Porisini, Security, Privacy & Trust in Internet of Things: the road ahead, Computer Networks (Elsevier), 2015, Vol. 76, pp. 146-164.

15. Богданов, И. А. Анализ особенностей обеспечений сетевой безопасности во всепроникающих сенсорных сетях / И. А. Богданов, А. Е. Кучерявый // Информационные технологии и телекоммуникации. — 2013. — № 2 (2). — C. 4-12.

16. J.-Y. Lee, W.-C. Lin, Y.-H.Huang, A lightweight authentication protocol for internet of things, in: 2014 : International Symposium on Next-Generation Electronics (ISNE), Kwei-Shan, 2014, pp. 1—2.

17. M. Turkanovi, B. Brumen, M. Holbl, A novel user authentication and key agreement scheme for heterogeneous ad hoc wireless sensor networks, based on the internet of things notion, Ad Hoc Networks, 2014, Vol. 20, pp. 96 — 112.

18. N. Ye, Y. Zhu, R.-C. b. Wang, R. Malekian, Q.-M. Lin, An efficient authentication and access control scheme for perception layer of internet of things, Appl. Math. Inf. Sci., 2014, Vol. 8, № 4, pp. 1617 — 1624.

19. A. Alcaide, E. Palomar, J. Montero-Castillo, A. Ribagorda, Anonymous authentication for privacy-preserving iot targetdriven applications, Comput. Secur., 2013, Vol. 37, pp. 111 — 123.

20. J. Ma, Y. Guo, J. Ma, J. Xiong, T. Zhang, A hierarchical access control scheme for perceptual layer of iot, Jisuanji Yanjiu yu Fazhan, Comput. Res. Dev., 2013, Vol. 50, № 6, pp. 1267 — 1275.

21. M. Ali, M. ElTabakh, C. Nita-Rotaru, FT-RC4: A Robust Security Mechanism for Data Stream Systems, Tech. Rep. TR-05-024, Purdue University, Nov. 2005, pp. 1 — 10.

22. M. A. Hammad, M. J. Franklin, W. Aref, A. K. Elmagarmid, Scheduling for shared window joins over data streams, in : Proceedings of the 29th International Conference on Very Large Data Bases (VLDB), Berlin, Germany, 2003, pp. 297 — 308.

23. S. Papadopoulos, Y. Yang, D. Papadias, Continuous authentication on relational data streams, VLDB Journal, 2010, Vol. 19, № 1, pp. 161 — 180.

24. S. Papadopoulos, G. Cormode, A. Deligiannakis, M. Garo-falakis, Lightweight authentication of linear algebraic queries on data streams, in : Proceedings of the 2013 ACM SIGMOD International Conference on Management of Data (SIGMOD), New York, USA, 2013, pp. 881—892.

25. A. Cherkaoui, L. Bossuet, L. Seitz, G. Selander, R. Bor-gaonkar, New paradigms for access control in constrained environments, in: 2014 : 9th International Symposium on Reconfigurable and Communication-Centric Systems-on-Chip (ReCoSoC), Montpellier, 2014, pp. 1 — 4.

26. L. Veltri, S. Cirani, S. Busanelli, G. Ferrari, A novel batch-based group key management protocol applied to the internet of things, Ad Hoc Networks, 2013, Vol. 11, № 8, pp. 2724 — 2737.

ЛЕОНОВ Алексей Викторович, начальник сектора 1^егпе^технологий Центра телекоммуникаций и вычислительной техники; соискатель по кафедре средств связи и информационной безопасности. Адрес для переписки: kot@omgtu.ru

Статья поступила в редакцию 28.03.2015 г. © А. В. Леонов

i Надоели баннеры? Вы всегда можете отключить рекламу.