物联网与移动互联下的数码安全新挑战

　　去年十一，我原以为能躺三天，结果被物联网设备的漏洞追着锤——家里那台智能摄像头突然开始自己转，手机APP显示“离线”，可摄像头红灯还在闪，明显是被人远程控制了。我第一反应是路由器被黑，冲过去拔电源，结果发现路由器管理界面根本进不去，显示“连接超时”——后来才知道，攻击者直接绕过路由器，从摄像头固件漏洞打进来的。那天下雨，我蹲在客厅地上拔了三次插头，最后一次手滑，直接把摄像头底座摔裂了，塑料碎片崩到茶几上，老婆在厨房喊“你又搞什么”，我举着半截摄像头说“这玩意儿成精了”。

　　最离谱的是，我查日志发现攻击者用的是移动设备IP——不是传统PC，而是手机或平板。这说明什么？移动互联让攻击门槛暴跌啊！以前要搞渗透得有台电脑，现在随便下个漏洞利用工具，连初中生都能在地铁上刷漏洞。我原以为物联网设备安全靠厂商更新，结果问了客服，对方说“我们只管硬件，软件是第三方开发的”——合着摄像头里的操作系统是外包的，漏洞补丁？“等下次固件升级吧，具体时间不确定”。

文章配图，仅供参考

　　上周跟老张吃饭，他吐槽公司新装的智能门锁被员工用手机刷了——不是指纹或密码，是直接通过蓝牙漏洞远程解锁。那员工离职前留了后门，现在谁进谁出都没记录。老张说“我查监控，发现清洁阿姨早上六点进过办公室，可她根本没指纹”——后来发现是离职员工用手机远程开的锁，蓝牙信号从楼下停车场穿墙进来的。这事儿最绝的是，门锁厂商说“这是移动互联的便利性，不是漏洞”——便利你妹啊！便利到能让前员工随便进公司，这叫安全设计失败！

　　我原以为物联网安全是“设备+网络”的事，结果发现根本是“人+设备+网络+移动端”的复合问题。移动互联让攻击面从“固定终端”变成“移动终端+设备”，防御难度指数级上升。比如以前防黑客，盯着服务器和PC就行；现在得防手机、平板、智能手表，甚至车载系统——这些设备可能被植马，变成攻击跳板。我上周测了个智能手环，发现它能通过蓝牙接收恶意指令，控制附近的其他设备——比如让智能灯泡闪烁，或者让智能插座断电。这要是被恶意利用，能搞出多少幺蛾子？

　　跟运维部吵架那次更搞笑——他们说“物联网设备安全该由安全部管”，我说“你们部署的时候没做隔离，所有设备都在内网，被攻破是迟早的事”；他们回“移动设备我们管不了，员工自带设备上班，我们怎么查？”——最后扯到考核，领导说“先保证业务上线，安全以后再说”。我气得拍桌子：“以后再说？等设备被黑，数据泄露，客户告我们的时候，再说就晚了！”可没用，业务部门说“客户要智能，要互联，我们不给就丢单子”——安全在KPI面前，连个屁都不是。

　　但话说回来，这行业也在“优胜劣汰”。那些不重视安全的厂商，迟早被市场淘汰——去年有家做智能摄像头的公司，因为漏洞被黑，客户数据泄露，股价跌了六成，现在还在打官司；另一家及时补漏洞、做安全认证的，反而接了更多订单。移动互联和物联网是把双刃剑，用好了是便利，用不好就是灾难。安全不是“有没有”的问题，是“早做晚做”的问题——等攻击来了再做，黄花菜都凉了。

　　现在我最头疼的是，怎么跟非技术部门解释“移动互联下的物联网安全不是一个人的事”。他们总觉得“安全部能搞定一切”，可实际上，安全得从设计开始，贯穿研发、部署、运维全流程。上周给产品部培训，我举了个例子：智能音箱被黑，可能因为移动端APP漏洞，也可能因为云端服务没加密，还可能因为设备固件有后门——这三个环节，哪个是安全部能单独控制的？他们听得直点头，可转头还是说“先按原计划上线，安全测试放二期”——我还能说什么？只能默默把漏洞报告又加厚了二十页，万一出事，至少能证明“我提醒过”。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!