現(xiàn)在，物聯(lián)網(wǎng)設(shè)備正變得越來(lái)越多，物聯(lián)網(wǎng)已經(jīng)逐漸滲透到我們生活的各個(gè)角落。據(jù) Gartner 發(fā)布的報(bào)告顯示，2017 年全球物聯(lián)網(wǎng)設(shè)備數(shù)量約達(dá)到 84 億，而全球目前有 75 億人口，也就是說(shuō)，物聯(lián)網(wǎng)設(shè)備的數(shù)量已經(jīng)超過(guò)了全球人口數(shù)。Gartner 還預(yù)測(cè)，到 2020 年，物聯(lián)網(wǎng)設(shè)備數(shù)量將達(dá)到 204 億，消費(fèi)者和企業(yè)在物聯(lián)網(wǎng)硬件方面的支出總和將達(dá)到約人民幣 20.7 萬(wàn)億元。這將是一個(gè)巨大的市場(chǎng)。

隨著物聯(lián)網(wǎng)的發(fā)展，安全問(wèn)題也隨之而來(lái)，人們都認(rèn)為，應(yīng)該重視物聯(lián)網(wǎng)安全。360 企業(yè)安全研究院邀請(qǐng) 50 名國(guó)內(nèi)專家預(yù)測(cè)今年的安全趨勢(shì)，他們發(fā)布了《2018 中國(guó)網(wǎng)絡(luò)安全十大趨勢(shì)預(yù)測(cè)》報(bào)告，報(bào)告顯示，物聯(lián)網(wǎng)安全是其中的一大問(wèn)題，隨著 IPv6、5G 等新技術(shù)助推物聯(lián)網(wǎng)的發(fā)展，物聯(lián)網(wǎng)安全威脅日趨嚴(yán)重，這個(gè)威脅或?qū)?duì)用戶的隱私、資金財(cái)產(chǎn)乃至人身安全造成巨大損失。思科系統(tǒng)公司戰(zhàn)略創(chuàng)新副總裁 Pramod Chandrayan 在預(yù)測(cè) 2018 年物聯(lián)網(wǎng)發(fā)展的五大趨勢(shì)時(shí)也談及，物聯(lián)網(wǎng)安全將成為企業(yè)關(guān)注的重點(diǎn)，隨著更多系統(tǒng)和物聯(lián)網(wǎng)相連，和物聯(lián)網(wǎng)安全相關(guān)的網(wǎng)絡(luò)攻擊一定會(huì)進(jìn)一步增加。

物聯(lián)網(wǎng)安全不被重視

然而，盡管大家意識(shí)到了物聯(lián)網(wǎng)存在安全問(wèn)題，但仍然對(duì)此不夠重視，甚至連蘋果也犯過(guò)這樣的錯(cuò)誤。據(jù)美國(guó)科技新聞網(wǎng)站 Engadget 去年年末的報(bào)道，一位安全研究人員 Khaos Tian 爆料指出，他發(fā)現(xiàn)了蘋果 HomeKit 平臺(tái)的一個(gè)嚴(yán)重的安全漏洞，黑客可以利用這個(gè)漏洞輕松控制用戶的家居設(shè)備，比如燈具、智能門鎖等等。安全人員把這個(gè)漏洞上報(bào)給了「蘋果產(chǎn)品安全部門」，但這個(gè)漏洞并沒(méi)有被蘋果解決，直到他把這個(gè)問(wèn)題上報(bào)給了科技媒體 9to5mac，后者聯(lián)系了蘋果的公關(guān)部門，漏洞最終才得以修復(fù)。此時(shí)，距離這個(gè)漏洞被安全人員發(fā)現(xiàn)已經(jīng)過(guò)去了六個(gè)星期之久。

據(jù)媒體報(bào)道，亞馬遜的 2015 和 2016 版智能音箱在設(shè)計(jì)上存在缺陷，一個(gè)研究小組先拿掉了亞馬遜 Echo 底部的橡膠底座，然后通過(guò)外部 sd 卡入侵了設(shè)備并安裝了惡意軟件，整個(gè)過(guò)程沒(méi)有留下外觀上的痕跡。操作完成后，他們可以遠(yuǎn)程訪問(wèn)音箱，利用麥克風(fēng)竊聽用戶的隱私。這個(gè)漏洞屬于設(shè)計(jì)缺陷，無(wú)法通過(guò)軟件更新來(lái)解決。雖然必須接觸到音箱才能利用這個(gè)漏洞，影響范圍有限，但它提醒我們：制造商如果不在設(shè)備的設(shè)計(jì)和開發(fā)階段降低安全風(fēng)險(xiǎn)，就給了黑客更多利用相應(yīng)漏洞的機(jī)會(huì)，造成很大的危害。

物聯(lián)網(wǎng)漏洞不是在這一兩年來(lái)才出現(xiàn)的新鮮事。早在 2014 年，便有研究人員發(fā)現(xiàn)，國(guó)內(nèi)某知名廠商所生產(chǎn)的錄像機(jī)(DVR)由于弱密碼感染了病毒，被黑客用來(lái)挖礦和發(fā)動(dòng)網(wǎng)絡(luò)攻擊。梆梆安全發(fā)布的《物聯(lián)網(wǎng)智能終端信息安全白皮書》對(duì)物聯(lián)網(wǎng)智能終端的安全現(xiàn)狀進(jìn)行了分析，梆梆安全認(rèn)為，物聯(lián)網(wǎng)智能終端存在各種漏洞和后門是目前的現(xiàn)狀之一。據(jù)《連線》雜志報(bào)道，黑客入侵了存在安全漏洞的 Sonos 和 Bose 智能音箱，并遙控音箱發(fā)出各種聲音，這讓一個(gè)用戶受到了很大的驚嚇。據(jù) Sonos 發(fā)言人表示，這是因?yàn)橹悄芤粝涫褂昧隋e(cuò)誤的網(wǎng)絡(luò)配置，使得用戶的設(shè)備可能暴露在公共網(wǎng)絡(luò)中。

但這僅僅是冰山一角，在網(wǎng)絡(luò)中，還有很多種辦法能入侵物聯(lián)網(wǎng)設(shè)備，甚至窺探你的隱私。有一個(gè)名為「Shodan」的搜索引擎，它和百度不同，搜出來(lái)的不是頁(yè)面，而是網(wǎng)絡(luò)中的設(shè)備，如攝像頭、智能家居設(shè)備、工控設(shè)備等。

 

 

?圖 / Shodan 搜索引擎

其中，很多設(shè)備直接連接到了互聯(lián)網(wǎng)上，而且連用戶名和密碼都沒(méi)有修改。

 

 

圖 / Shodan 搜索引擎中一個(gè)設(shè)備的介紹

據(jù)網(wǎng)友親測(cè)，使用默認(rèn)的用戶名和密碼，很容易便登錄了一臺(tái)路由器。筆者要這樣做也能很容易實(shí)現(xiàn)，但出于對(duì)法律法規(guī)的尊重，并沒(méi)有這樣做。如果黑客登錄這臺(tái)路由器并加入了惡意代碼，后果不堪設(shè)想。

物聯(lián)網(wǎng)智能終端設(shè)備一旦被黑客利用，后果不堪設(shè)想。如果攝像頭被黑客控制，那么，你很有可能「被直播」;如果你的智能音箱被控制，你很有可能被監(jiān)聽;如果你的智能鎖被黑客控制，黑客通過(guò) IP 精準(zhǔn)定位服務(wù)就能判斷你家的大致范圍，這個(gè)后果不用說(shuō)大家也知道了。

這還僅僅是單個(gè)設(shè)備被黑客控制造成的后果，黑客還能利用被控制的物聯(lián)網(wǎng)設(shè)備組成僵尸網(wǎng)絡(luò)。2015 年 12 月，IT 安全公司 SEC Consult 公司發(fā)布報(bào)告指出，上百萬(wàn)臺(tái)物聯(lián)網(wǎng)設(shè)備可能因使用相同的密鑰而被黑客攻擊，也就是說(shuō)，黑客只要能遠(yuǎn)程登錄一臺(tái)設(shè)備，就能用相同或相似的方法登錄數(shù)百萬(wàn)臺(tái)來(lái)自不同廠商的不同設(shè)備(攝像頭)。

這份報(bào)告的觀點(diǎn)在一年后成為了現(xiàn)實(shí)，北京時(shí)間 2016 年 10 月 21 日 19:10 左右，美國(guó)域名解析服務(wù)商 Dyn Inc. 的服務(wù)器造到了大規(guī)模的拒絕服務(wù)攻擊(DDoS)，這是史上最嚴(yán)重的 DDOS 攻擊，它導(dǎo)致 Twitter、亞馬遜、Shopify、Airbnb、PayPal 等數(shù)百家知名網(wǎng)站無(wú)法訪問(wèn)。這次攻擊的來(lái)源主要是物聯(lián)網(wǎng)設(shè)備，這些設(shè)備存在弱口令漏洞，從而被攻擊者利用插入惡意代碼，進(jìn)而引發(fā)了這場(chǎng)美國(guó)大斷網(wǎng)。這個(gè)惡意程序名為「Mirai」，幕后的真兇只是三個(gè)年輕人，他們最初的目的是想要攻擊「我的世界(Minecraft)」游戲的服務(wù)器，這能讓他們?cè)谟螒蛑虚_外掛。

如今，「Mirai」的代碼早已被作者共享到了網(wǎng)絡(luò)，這導(dǎo)致了無(wú)數(shù)變種流行開來(lái)。Check Point 近期發(fā)現(xiàn)，「Mirai」的變種程序利用華為家庭路由器 HG532 中的一個(gè) 0day 漏洞(沒(méi)有補(bǔ)丁的漏洞)進(jìn)行傳播。這個(gè)漏洞雖已被華為修復(fù)，但這個(gè)事件可以證明，「Mirai」仍未消亡，一旦像上個(gè)事件那樣再度蔓延開來(lái)，后果必將讓人難以承受。

為什么物聯(lián)網(wǎng)智能終端設(shè)備有這么多的問(wèn)題?極客公園根據(jù)梆梆安全發(fā)布的白皮書總結(jié)了幾點(diǎn)原因：

一是成本問(wèn)題，部分生產(chǎn)商為了節(jié)省成本，使用通用、開源的操作系統(tǒng)，或未經(jīng)過(guò)安全檢測(cè)的第三方組件，這很可能會(huì)引入漏洞;同樣是基于成本考慮，大多數(shù)物聯(lián)網(wǎng)設(shè)備不會(huì)保護(hù)調(diào)試接口，這給了攻擊者趁虛而入的機(jī)會(huì)。

二是很多廠商缺乏安全意識(shí)和安全能力，在開發(fā)物聯(lián)網(wǎng)智能設(shè)備時(shí)沒(méi)有做好安全考慮，導(dǎo)致軟硬件安全漏洞的產(chǎn)生。同時(shí)，很多設(shè)備也缺乏軟件安全更新機(jī)制，或機(jī)制不安全，導(dǎo)致漏洞無(wú)法被修復(fù)，造成惡劣的后果。

三是身份認(rèn)證和授權(quán)機(jī)制薄弱。物聯(lián)網(wǎng)智能終端設(shè)備規(guī)模很大，相互協(xié)同工作的設(shè)備可能屬于不同供應(yīng)商，這導(dǎo)致終端之間的身份認(rèn)證很難實(shí)現(xiàn)。此外，大量的設(shè)備還在使用弱密碼，這讓黑客可以很容易控制設(shè)備。

那么，我們應(yīng)該怎么辦?

作為用戶，我們能做的其實(shí)不多。梆梆安全向用戶提出了幾點(diǎn)建議：一是要選擇好的品牌，不要貪小失大;二是要第一時(shí)間拒絕默認(rèn)密碼，要第一時(shí)間修改;三是不要把設(shè)備暴露在公網(wǎng)上;四是能更新固件就更新，不要糾結(jié);五是不使用設(shè)備時(shí)隨手關(guān)閉電源;六是在使用設(shè)備時(shí)盡量保護(hù)自己的隱私。

保護(hù)物聯(lián)網(wǎng)智能設(shè)備的安全不僅僅依靠個(gè)人的努力，更是企業(yè)的責(zé)任，很多企業(yè)在為之努力。去年 6 月，360 公司倡導(dǎo)建立「智能硬件產(chǎn)業(yè)安全聯(lián)盟」，自發(fā)起時(shí)便吸引了十余家公司的加入，涵蓋 OEM 廠商、芯片商、硬件方案商、硬件產(chǎn)品商等多個(gè)行業(yè)環(huán)節(jié)，幫助行業(yè)各環(huán)節(jié)提升產(chǎn)品安全能力。今年 1 月 8 日，梆梆安全也和北航達(dá)成戰(zhàn)略合作，它們聯(lián)合成立了移動(dòng)及物聯(lián)網(wǎng)安全聯(lián)合實(shí)驗(yàn)室，目的是培養(yǎng)網(wǎng)絡(luò)安全人才以及研究重大課題。

其實(shí)，企業(yè)在設(shè)計(jì)物聯(lián)網(wǎng)智能設(shè)備時(shí)多考慮一下安全因素就會(huì)起到不錯(cuò)的效果。監(jiān)控產(chǎn)品供應(yīng)商和解決方案服務(wù)商大華通過(guò)一些列的安全策略保護(hù)了用戶的安全，以上文中提到的弱密碼為例，大華的設(shè)備在出廠狀態(tài)下不存在任何保留賬戶，當(dāng)用戶第一次使用設(shè)備時(shí)，需要?jiǎng)?chuàng)建一個(gè)自己的賬戶，并添加高強(qiáng)度的密碼，此外，大華的物聯(lián)網(wǎng)設(shè)備還有密碼防爆破等一系列的安全策略。

智能鎖是對(duì)安全性要求比較高的一類產(chǎn)品，曾獲得雷軍順為資本的投資云柚智能鎖創(chuàng)始人呂坡向極客公園介紹了他們產(chǎn)品安全性上的亮點(diǎn)。如果有人進(jìn)行了開鎖，用戶會(huì)收到提醒，世界上沒(méi)有絕對(duì)的安全，哪怕這把鎖因?yàn)楦鞣N因素情況被打開了，及時(shí)提醒是保護(hù)用戶安全的最后一道防線。

再比如，對(duì)信息安全要求較為全面的智能家居、智能車載系統(tǒng)方面，人工智能公司驀然認(rèn)知也做了很多嘗試。其負(fù)責(zé)人向極客公園介紹了在安全設(shè)計(jì)上的一個(gè)亮點(diǎn)。在智能家居方案中，支付行為是一個(gè)很敏感的行為，首先，他們會(huì)通過(guò)人工智能分析用戶的行為是否異常，假如一個(gè)早睡早起的人凌晨三點(diǎn)買東西，明顯是異常;其次，他們還會(huì)通過(guò)聲紋識(shí)別、圖像識(shí)別的方式進(jìn)行共同配合，確認(rèn)用戶的身份，以降低風(fēng)險(xiǎn)。

隨著物聯(lián)網(wǎng)設(shè)備的不斷增多，安全問(wèn)題已經(jīng)是一個(gè)不可忽視的問(wèn)題。希望在未來(lái)，我們購(gòu)買的設(shè)備，不會(huì)成為監(jiān)視我們的工具，同時(shí)也希望，安全人員在和黑客斗爭(zhēng)的過(guò)程中，最終會(huì)勝利。