WiFi如果存在重大安全漏洞，幾乎能影響所有無線設(shè)備。人民視覺
如今，我們的生活越來越智能，萬物互聯(lián)時代悄然來臨，小至路由器、智能音箱、冰箱，大到汽車、工業(yè)設(shè)備，越來越多的物品都接入了互聯(lián)網(wǎng)。然而，迅猛發(fā)展的物聯(lián)網(wǎng)(是指物物相連的互聯(lián)網(wǎng)，即以互聯(lián)網(wǎng)為基礎(chǔ)，用戶端延伸和擴展到了任何物品與物品之間)在給人們帶來便利的同時，安全隱患也如影相隨，成為物聯(lián)網(wǎng)產(chǎn)業(yè)發(fā)展的一個痛點。
不久前，《2017物聯(lián)網(wǎng)安全年報》(以下簡稱《年報》)由北京神州綠盟信息安全科技股份有限公司(以下簡稱“綠盟科技”)發(fā)布，顯示了我國物聯(lián)網(wǎng)安全的現(xiàn)狀、特點以及面臨的主要安全風(fēng)險。
安全隱患知多少
一臺設(shè)備被感染成為“僵尸主機”，就會“傳染”其他設(shè)備，組成大規(guī)模的物聯(lián)網(wǎng)“僵尸網(wǎng)絡(luò)”
現(xiàn)在路由器成了很多家庭的“標(biāo)配”，大多數(shù)路由器通過IPv4地址單向連接互聯(lián)網(wǎng)，外部網(wǎng)絡(luò)無法反過來主動訪問。但以路由器為代表的物聯(lián)網(wǎng)設(shè)備數(shù)量眾多，還有大量路由器不能被完全屏蔽，存在被外面“看見”的風(fēng)險?！赌陥蟆凤@示，目前具有安全風(fēng)險的物聯(lián)網(wǎng)設(shè)備中，路由器和視頻監(jiān)控設(shè)備暴露在互聯(lián)網(wǎng)上的數(shù)量最多。比如，國內(nèi)暴露在互聯(lián)網(wǎng)上的路由器就超過1000萬臺。這些暴露出來的設(shè)備，一旦存在漏洞，就有被攻擊的風(fēng)險。
綠盟科技物聯(lián)網(wǎng)安全實驗室研究員張星說，近年來許多新型智能設(shè)備接入互聯(lián)網(wǎng)，但安全風(fēng)險仍然集中在相對傳統(tǒng)、應(yīng)用比較成熟的設(shè)備上，它們也是感染惡意代碼的主要物聯(lián)網(wǎng)設(shè)備。
《年報》還監(jiān)測到，一些數(shù)量較少的物聯(lián)網(wǎng)設(shè)備也存在安全隱患。比如，商用車的遠(yuǎn)程通信統(tǒng)一網(wǎng)關(guān)、網(wǎng)絡(luò)恒溫器等可能面臨遠(yuǎn)程登錄無密碼保護(hù)、設(shè)備停產(chǎn)缺乏安全維護(hù)等風(fēng)險。不單是硬件，《年報》指出，物聯(lián)網(wǎng)一些常用的操作系統(tǒng)同樣存在不同程度的安全問題。
很多物聯(lián)網(wǎng)設(shè)備通過云端連通，而長時間連接云服務(wù)，安全隱患將會增加。
“現(xiàn)實中，很多物聯(lián)網(wǎng)設(shè)備工作場景不得不長期和‘云’連接。伴隨著物聯(lián)網(wǎng)應(yīng)用的深入，云服務(wù)將更加普遍。我們監(jiān)測到，一些攻擊者已經(jīng)把目光從網(wǎng)頁和郵件等傳統(tǒng)服務(wù)轉(zhuǎn)向新興的物聯(lián)網(wǎng)服務(wù)。” 綠盟科技首席架構(gòu)師楊傳安說，大數(shù)據(jù)時代，網(wǎng)絡(luò)攻擊的目的性更強，攻擊的技術(shù)手段增多、技術(shù)更高、更隱蔽，黑客可能為了利益，而對物聯(lián)網(wǎng)云服務(wù)實施攻擊。
楊傳安認(rèn)為，物聯(lián)網(wǎng)由多種設(shè)備組成，互聯(lián)互通的環(huán)境使得安全風(fēng)險快速擴散和傳播。因此，要從整體全局考慮安全防護(hù)。某個物聯(lián)網(wǎng)設(shè)備存在安全隱患，并不只影響單個設(shè)備，還可能引發(fā)系統(tǒng)性的安全事件。
比如，某些設(shè)備中存在的弱口令、已知漏洞等風(fēng)險，可能被惡意代碼感染成為“僵尸主機”。一方面，這些被感染的設(shè)備會“傳染”其他設(shè)備，組成大規(guī)模的物聯(lián)網(wǎng)“僵尸網(wǎng)絡(luò)”;另一方面，它們接受并執(zhí)行來自控制服務(wù)器的指令后，一旦發(fā)動大規(guī)模DDoS(分布式拒絕服務(wù))攻擊，將會對互聯(lián)網(wǎng)基礎(chǔ)設(shè)施造成嚴(yán)重的破壞。
對物聯(lián)網(wǎng)安全重視不夠
當(dāng)前不少物聯(lián)網(wǎng)設(shè)備生產(chǎn)廠商側(cè)重追求新功能，對安全重視不足
物聯(lián)網(wǎng)正加速融入人們的生產(chǎn)生活。知名IT咨詢機構(gòu)高德納咨詢公司(Gartner)預(yù)測，2015年至2020年，物聯(lián)網(wǎng)終端年均復(fù)合增長率將達(dá)到33%，安裝基數(shù)將達(dá)到204億臺，其中2/3為消費者應(yīng)用。
哈爾濱工業(yè)大學(xué)計算機學(xué)院教授張偉哲介紹，當(dāng)前主流的物聯(lián)網(wǎng)管理模式有直連模式、網(wǎng)關(guān)模式和云模式。直連模式是指管理端與終端之間不經(jīng)過其他節(jié)點直接相連，這種模式一般用于近距離通信，例如無線藍(lán)牙、WiFi熱點等;網(wǎng)關(guān)模式主要用于家庭和企業(yè)局域網(wǎng)，一般用于近距離管理多個終端;云模式是指用戶通過云服務(wù)管理各種設(shè)備，其特點是突破了設(shè)備管理的地理區(qū)域限制，比如智能家居和工業(yè)云服務(wù)。
“不論在哪種模式下，目前都難以完全杜絕安全隱患。作為一種新技術(shù)，物聯(lián)網(wǎng)的行業(yè)標(biāo)準(zhǔn)以及相關(guān)管理剛剛起步，但物聯(lián)網(wǎng)基數(shù)大、擴散快、技術(shù)門檻低，已經(jīng)成為互聯(lián)網(wǎng)上不得不重視的安全問題。”張偉哲說。
2017年8月，浙江某地警方破獲一個犯罪團(tuán)伙，在網(wǎng)上制作和傳播家庭攝像頭破解入侵軟件。查獲被破解入侵家庭攝像頭IP近萬個，涉及浙江、云南、江西等多個省份。安全專家表示，一旦攻擊者獲得遠(yuǎn)程控制權(quán)限，即便是小小的攝像頭也能夠成為泄露用戶隱私的元兇。
360無線電安全研究院負(fù)責(zé)人楊卿表示，不少物聯(lián)網(wǎng)設(shè)備需要依賴WiFi、藍(lán)牙、GPS衛(wèi)星導(dǎo)航等無線電通信技術(shù)，一旦某個通信協(xié)議出現(xiàn)漏洞，將會引發(fā)大量安全問題及安全事故。比如，惡意WiFi熱點可能設(shè)置釣魚網(wǎng)站，攝像頭、麥克風(fēng)可能泄露人們隱私等。
《年報》認(rèn)為，物聯(lián)網(wǎng)安全問題突出，反映了當(dāng)前不少物聯(lián)網(wǎng)設(shè)備生產(chǎn)廠商對安全重視不足。“物聯(lián)網(wǎng)設(shè)備常見脆弱點有硬件接口暴露、弱口令、信息泄露、未授權(quán)訪問等，這些安全問題技術(shù)水平并不高，如果有安全團(tuán)隊協(xié)助做工作，是可以防患于未然的。”楊傳安說。他認(rèn)為，對一些設(shè)備生產(chǎn)廠商來說，往往側(cè)重追求新功能而忽略安全性。物聯(lián)網(wǎng)設(shè)備基數(shù)龐大，加上安全防護(hù)脆弱，物聯(lián)網(wǎng)威脅將逐漸成為互聯(lián)網(wǎng)的常態(tài)。
張星說，無論是升級、配置還是補丁維護(hù)等，物聯(lián)網(wǎng)行業(yè)都非常薄弱。當(dāng)前對物聯(lián)網(wǎng)的攻擊手段與傳統(tǒng)的手段并無不同，只是它們在物聯(lián)網(wǎng)領(lǐng)域找到了發(fā)揮空間。比如，網(wǎng)絡(luò)嗅探、遠(yuǎn)程代碼執(zhí)行、中間人攻擊等，都是傳統(tǒng)攻擊手段在物聯(lián)網(wǎng)場景中的應(yīng)用。
物聯(lián)網(wǎng)安全如何防控
大流量攻擊在未來將成為常態(tài)，每個物聯(lián)網(wǎng)參與方都應(yīng)針對性地部署防護(hù)措施
楊傳安說，在大數(shù)據(jù)時代，任何一點安全風(fēng)險都可能被放大，造成個人信息泄露、財產(chǎn)損失甚至人身安全等問題，給人們生活和社會運行帶來影響。
“物聯(lián)網(wǎng)的安全威脅遠(yuǎn)未見頂，物聯(lián)網(wǎng)應(yīng)用的最終追求是萬物互聯(lián)，實現(xiàn)信息共享，并通過搭建高度自動化和智能化的系統(tǒng)，為人們的日常生活提供便利。隨著物聯(lián)網(wǎng)在社會生活中的普及，應(yīng)用場景不斷豐富，安全風(fēng)險也將隨之增加。”楊傳安說。
《年報》認(rèn)為，物聯(lián)網(wǎng)的DDoS大流量攻擊在未來將成為常態(tài)。這是因為物聯(lián)網(wǎng)設(shè)備增多帶來規(guī)模效應(yīng)，最直接的負(fù)面影響就是攻擊者發(fā)起DDoS攻擊應(yīng)用將變得更加容易。安全專家表示，從實施的難度、運營的成本、風(fēng)險與收益來看，DDoS攻擊是一種有效的攻擊形式，在相當(dāng)長的時間內(nèi)，仍將是一種常見的攻擊方式。
《年報》分析，當(dāng)前，物聯(lián)網(wǎng)應(yīng)用還較新，在監(jiān)管機構(gòu)出臺相關(guān)法律法規(guī)前，廠商缺少動力將安全置于整個產(chǎn)業(yè)鏈中。
“從當(dāng)下的市場環(huán)境看，廠商強調(diào)智能化的功能設(shè)計，求新求快是物聯(lián)網(wǎng)行業(yè)中的主流，安全反倒是可有可無的選項，這讓物聯(lián)網(wǎng)環(huán)境更加具有脆弱性。”楊傳安說。
綠盟科技物聯(lián)網(wǎng)安全解決方案總監(jiān)劉弘利說，應(yīng)對物聯(lián)網(wǎng)安全問題，涉及物聯(lián)網(wǎng)設(shè)備提供商、物聯(lián)網(wǎng)平臺提供商、網(wǎng)絡(luò)提供商和普通用戶等多個參與方，每個環(huán)節(jié)、每個參與者都應(yīng)有所作為。
劉弘利建議，不同的物聯(lián)網(wǎng)參與方可根據(jù)自身特點，有針對性地部署防護(hù)措施：物聯(lián)網(wǎng)設(shè)備提供商要保障終端安全，引入安全開發(fā)流程提升終端安全性，并在產(chǎn)品上市前進(jìn)行安全評估;物聯(lián)網(wǎng)平臺提供商應(yīng)重點關(guān)注平臺安全和設(shè)備、移動端與自身的連接是否安全。因為在平臺安全中，物聯(lián)網(wǎng)終端數(shù)據(jù)大多包含隱私信息，數(shù)據(jù)安全變得尤為重要。
“無論是家庭還是企業(yè)用戶，都應(yīng)把安全作為一個重要的關(guān)注點。選購產(chǎn)品時優(yōu)先考慮采用有安全網(wǎng)關(guān)的產(chǎn)品。”劉弘利說。他還建議，用戶在購買智能產(chǎn)品后，應(yīng)該盡可能修改初始口令以及弱口令，加固用戶名和密碼的安全性。同時，修改默認(rèn)端口為不常用端口，增大端口開放協(xié)議被探測的難度，并及時升級設(shè)備固件。
責(zé)任編輯：
