現(xiàn)在，物聯(lián)網(wǎng)設(shè)備正變得越來越多，物聯(lián)網(wǎng)已經(jīng)逐漸滲透到我們生活的各個角落。據(jù) Gartner 發(fā)布的報告顯示，2017 年全球物聯(lián)網(wǎng)設(shè)備數(shù)量約達到 84 億，而全球目前有 75 億人口，也就是說，物聯(lián)網(wǎng)設(shè)備的數(shù)量已經(jīng)超過了全球人口數(shù)。Gartner 還預(yù)測，到 2020 年，物聯(lián)網(wǎng)設(shè)備數(shù)量將達到 204 億，消費者和企業(yè)在物聯(lián)網(wǎng)硬件方面的支出總和將達到約人民幣 20.7 萬億元。這將是一個巨大的市場。

隨著物聯(lián)網(wǎng)的發(fā)展，安全問題也隨之而來，人們都認(rèn)為，應(yīng)該重視物聯(lián)網(wǎng)安全。360 企業(yè)安全研究院邀請 50 名國內(nèi)專家預(yù)測今年的安全趨勢，他們發(fā)布了《2018 中國網(wǎng)絡(luò)安全十大趨勢預(yù)測》報告，報告顯示，物聯(lián)網(wǎng)安全是其中的一大問題，隨著 IPv6、5G 等新技術(shù)助推物聯(lián)網(wǎng)的發(fā)展，物聯(lián)網(wǎng)安全威脅日趨嚴(yán)重，這個威脅或?qū)τ脩舻碾[私、資金財產(chǎn)乃至人身安全造成巨大損失。思科系統(tǒng)公司戰(zhàn)略創(chuàng)新副總裁 Pramod Chandrayan 在預(yù)測 2018 年物聯(lián)網(wǎng)發(fā)展的五大趨勢時也談及，物聯(lián)網(wǎng)安全將成為企業(yè)關(guān)注的重點，隨著更多系統(tǒng)和物聯(lián)網(wǎng)相連，和物聯(lián)網(wǎng)安全相關(guān)的網(wǎng)絡(luò)攻擊一定會進一步增加。

物聯(lián)網(wǎng)安全不被重視

然而，盡管大家意識到了物聯(lián)網(wǎng)存在安全問題，但仍然對此不夠重視，甚至連蘋果也犯過這樣的錯誤。據(jù)美國科技新聞網(wǎng)站 Engadget 去年年末的報道，一位安全研究人員 Khaos Tian 爆料指出，他發(fā)現(xiàn)了蘋果 HomeKit 平臺的一個嚴(yán)重的安全漏洞，黑客可以利用這個漏洞輕松控制用戶的家居設(shè)備，比如燈具、智能門鎖等等。安全人員把這個漏洞上報給了「蘋果產(chǎn)品安全部門」，但這個漏洞并沒有被蘋果解決，直到他把這個問題上報給了科技媒體 9to5mac，后者聯(lián)系了蘋果的公關(guān)部門，漏洞最終才得以修復(fù)。此時，距離這個漏洞被安全人員發(fā)現(xiàn)已經(jīng)過去了六個星期之久。

據(jù)媒體報道，亞馬遜的 2015 和 2016 版智能音箱在設(shè)計上存在缺陷，一個研究小組先拿掉了亞馬遜 Echo 底部的橡膠底座，然后通過外部 sd 卡入侵了設(shè)備并安裝了惡意軟件，整個過程沒有留下外觀上的痕跡。操作完成后，他們可以遠程訪問音箱，利用麥克風(fēng)竊聽用戶的隱私。這個漏洞屬于設(shè)計缺陷，無法通過軟件更新來解決。雖然必須接觸到音箱才能利用這個漏洞，影響范圍有限，但它提醒我們：制造商如果不在設(shè)備的設(shè)計和開發(fā)階段降低安全風(fēng)險，就給了黑客更多利用相應(yīng)漏洞的機會，造成很大的危害。

物聯(lián)網(wǎng)漏洞不是在這一兩年來才出現(xiàn)的新鮮事。早在 2014 年，便有研究人員發(fā)現(xiàn)，國內(nèi)某知名廠商所生產(chǎn)的錄像機(DVR)由于弱密碼感染了病毒，被黑客用來挖礦和發(fā)動網(wǎng)絡(luò)攻擊。梆梆安全發(fā)布的《物聯(lián)網(wǎng)智能終端信息安全白皮書》對物聯(lián)網(wǎng)智能終端的安全現(xiàn)狀進行了分析，梆梆安全認(rèn)為，物聯(lián)網(wǎng)智能終端存在各種漏洞和后門是目前的現(xiàn)狀之一。據(jù)《連線》雜志報道，黑客入侵了存在安全漏洞的 Sonos 和 Bose 智能音箱，并遙控音箱發(fā)出各種聲音，這讓一個用戶受到了很大的驚嚇。據(jù) Sonos 發(fā)言人表示，這是因為智能音箱使用了錯誤的網(wǎng)絡(luò)配置，使得用戶的設(shè)備可能暴露在公共網(wǎng)絡(luò)中。

但這僅僅是冰山一角，在網(wǎng)絡(luò)中，還有很多種辦法能入侵物聯(lián)網(wǎng)設(shè)備，甚至窺探你的隱私。有一個名為「Shodan」的搜索引擎，它和百度不同，搜出來的不是頁面，而是網(wǎng)絡(luò)中的設(shè)備，如攝像頭、智能家居設(shè)備、工控設(shè)備等。

 

 

?圖 / Shodan 搜索引擎

其中，很多設(shè)備直接連接到了互聯(lián)網(wǎng)上，而且連用戶名和密碼都沒有修改。

 

 

圖 / Shodan 搜索引擎中一個設(shè)備的介紹

據(jù)網(wǎng)友親測，使用默認(rèn)的用戶名和密碼，很容易便登錄了一臺路由器。筆者要這樣做也能很容易實現(xiàn)，但出于對法律法規(guī)的尊重，并沒有這樣做。如果黑客登錄這臺路由器并加入了惡意代碼，后果不堪設(shè)想。

物聯(lián)網(wǎng)智能終端設(shè)備一旦被黑客利用，后果不堪設(shè)想。如果攝像頭被黑客控制，那么，你很有可能「被直播」;如果你的智能音箱被控制，你很有可能被監(jiān)聽;如果你的智能鎖被黑客控制，黑客通過 IP 精準(zhǔn)定位服務(wù)就能判斷你家的大致范圍，這個后果不用說大家也知道了。

這還僅僅是單個設(shè)備被黑客控制造成的后果，黑客還能利用被控制的物聯(lián)網(wǎng)設(shè)備組成僵尸網(wǎng)絡(luò)。2015 年 12 月，IT 安全公司 SEC Consult 公司發(fā)布報告指出，上百萬臺物聯(lián)網(wǎng)設(shè)備可能因使用相同的密鑰而被黑客攻擊，也就是說，黑客只要能遠程登錄一臺設(shè)備，就能用相同或相似的方法登錄數(shù)百萬臺來自不同廠商的不同設(shè)備(攝像頭)。

這份報告的觀點在一年后成為了現(xiàn)實，北京時間 2016 年 10 月 21 日 19:10 左右，美國域名解析服務(wù)商 Dyn Inc. 的服務(wù)器造到了大規(guī)模的拒絕服務(wù)攻擊(DDoS)，這是史上最嚴(yán)重的 DDOS 攻擊，它導(dǎo)致 Twitter、亞馬遜、Shopify、Airbnb、PayPal 等數(shù)百家知名網(wǎng)站無法訪問。這次攻擊的來源主要是物聯(lián)網(wǎng)設(shè)備，這些設(shè)備存在弱口令漏洞，從而被攻擊者利用插入惡意代碼，進而引發(fā)了這場美國大斷網(wǎng)。這個惡意程序名為「Mirai」，幕后的真兇只是三個年輕人，他們最初的目的是想要攻擊「我的世界(Minecraft)」游戲的服務(wù)器，這能讓他們在游戲中開外掛。

如今，「Mirai」的代碼早已被作者共享到了網(wǎng)絡(luò)，這導(dǎo)致了無數(shù)變種流行開來。Check Point 近期發(fā)現(xiàn)，「Mirai」的變種程序利用華為家庭路由器 HG532 中的一個 0day 漏洞(沒有補丁的漏洞)進行傳播。這個漏洞雖已被華為修復(fù)，但這個事件可以證明，「Mirai」仍未消亡，一旦像上個事件那樣再度蔓延開來，后果必將讓人難以承受。

為什么物聯(lián)網(wǎng)智能終端設(shè)備有這么多的問題?極客公園根據(jù)梆梆安全發(fā)布的白皮書總結(jié)了幾點原因：

一是成本問題，部分生產(chǎn)商為了節(jié)省成本，使用通用、開源的操作系統(tǒng)，或未經(jīng)過安全檢測的第三方組件，這很可能會引入漏洞;同樣是基于成本考慮，大多數(shù)物聯(lián)網(wǎng)設(shè)備不會保護調(diào)試接口，這給了攻擊者趁虛而入的機會。

二是很多廠商缺乏安全意識和安全能力，在開發(fā)物聯(lián)網(wǎng)智能設(shè)備時沒有做好安全考慮，導(dǎo)致軟硬件安全漏洞的產(chǎn)生。同時，很多設(shè)備也缺乏軟件安全更新機制，或機制不安全，導(dǎo)致漏洞無法被修復(fù)，造成惡劣的后果。

三是身份認(rèn)證和授權(quán)機制薄弱。物聯(lián)網(wǎng)智能終端設(shè)備規(guī)模很大，相互協(xié)同工作的設(shè)備可能屬于不同供應(yīng)商，這導(dǎo)致終端之間的身份認(rèn)證很難實現(xiàn)。此外，大量的設(shè)備還在使用弱密碼，這讓黑客可以很容易控制設(shè)備。

那么，我們應(yīng)該怎么辦?

作為用戶，我們能做的其實不多。梆梆安全向用戶提出了幾點建議：一是要選擇好的品牌，不要貪小失大;二是要第一時間拒絕默認(rèn)密碼，要第一時間修改;三是不要把設(shè)備暴露在公網(wǎng)上;四是能更新固件就更新，不要糾結(jié);五是不使用設(shè)備時隨手關(guān)閉電源;六是在使用設(shè)備時盡量保護自己的隱私。

保護物聯(lián)網(wǎng)智能設(shè)備的安全不僅僅依靠個人的努力，更是企業(yè)的責(zé)任，很多企業(yè)在為之努力。去年 6 月，360 公司倡導(dǎo)建立「智能硬件產(chǎn)業(yè)安全聯(lián)盟」，自發(fā)起時便吸引了十余家公司的加入，涵蓋 OEM 廠商、芯片商、硬件方案商、硬件產(chǎn)品商等多個行業(yè)環(huán)節(jié)，幫助行業(yè)各環(huán)節(jié)提升產(chǎn)品安全能力。今年 1 月 8 日，梆梆安全也和北航達成戰(zhàn)略合作，它們聯(lián)合成立了移動及物聯(lián)網(wǎng)安全聯(lián)合實驗室，目的是培養(yǎng)網(wǎng)絡(luò)安全人才以及研究重大課題。

其實，企業(yè)在設(shè)計物聯(lián)網(wǎng)智能設(shè)備時多考慮一下安全因素就會起到不錯的效果。監(jiān)控產(chǎn)品供應(yīng)商和解決方案服務(wù)商大華通過一些列的安全策略保護了用戶的安全，以上文中提到的弱密碼為例，大華的設(shè)備在出廠狀態(tài)下不存在任何保留賬戶，當(dāng)用戶第一次使用設(shè)備時，需要創(chuàng)建一個自己的賬戶，并添加高強度的密碼，此外，大華的物聯(lián)網(wǎng)設(shè)備還有密碼防爆破等一系列的安全策略。

智能鎖是對安全性要求比較高的一類產(chǎn)品，曾獲得雷軍順為資本的投資云柚智能鎖創(chuàng)始人呂坡向極客公園介紹了他們產(chǎn)品安全性上的亮點。如果有人進行了開鎖，用戶會收到提醒，世界上沒有絕對的安全，哪怕這把鎖因為各種因素情況被打開了，及時提醒是保護用戶安全的最后一道防線。

再比如，對信息安全要求較為全面的智能家居、智能車載系統(tǒng)方面，人工智能公司驀然認(rèn)知也做了很多嘗試。其負(fù)責(zé)人向極客公園介紹了在安全設(shè)計上的一個亮點。在智能家居方案中，支付行為是一個很敏感的行為，首先，他們會通過人工智能分析用戶的行為是否異常，假如一個早睡早起的人凌晨三點買東西，明顯是異常;其次，他們還會通過聲紋識別、圖像識別的方式進行共同配合，確認(rèn)用戶的身份，以降低風(fēng)險。

隨著物聯(lián)網(wǎng)設(shè)備的不斷增多，安全問題已經(jīng)是一個不可忽視的問題。希望在未來，我們購買的設(shè)備，不會成為監(jiān)視我們的工具，同時也希望，安全人員在和黑客斗爭的過程中，最終會勝利。