Hacking your Home: How safe is the Internet of Things?
駭客入侵您的家：物聯網的安全性如何？
從舒適到災難：智慧家庭的風險
我們真的要讓全世界的駭客連結到我們的廚房、空調，以及其他家用設備嗎？尤其是我們的門鎖？
 |
| https://www.youtube.com/watch?v=Ea46KpwXAMc |
當原本應該為生活，帶來舒適便利的東西，頓時變成一場災難，該怎麼辦？
時間發生在 2015 年 4 月，美國華盛頓的一對夫妻，陷入了一個令人寢食難安的狀況。好一陣子，他們的三歲兒子一直在抱怨，有個隱形人會在晚上出來跟他講話。一開始，他們還一直叫小孩不要亂講，直到有一天他們真的聽到陌生人的聲音，從他們兒子房間裡，所安裝的嬰兒監視器中傳出。
那個聲音說：「小朋友，快起來，你爸爸在找你。」
更令他們毛骨悚然的是，他們發現該設備的攝影鏡頭，竟然還會跟著他們移動，那鬼魂般的聲音接著說：「看看是誰來了。」
這只是眾多家庭物聯網（IoT ，Internet of Thing）設備遭駭的恐怖故事之一。
家庭物聯網設備的設計，都是以功能為優先考慮，其次才想到安全
人們應該要能安心地使用智能設備，但今日的現況並非如此。今日家庭物聯網設備的設計，都是以功能為優先考慮，其次才想到安全。因此，當這些酷炫設備上市時，經常暗藏一些消費者在購買當下，考慮不到的安全風險。這不禁讓人懷疑，消費者是否真有辦法在興沖沖地，將這些設備帶回家之前，仔細想清楚它們的好處與風險。
黑客將知道屋主是否在家，或者他們監視的對象，是否正在前往某處。當然，這些是較極端的情況，但卻一點也不誇張。
嬰兒監視器直播隱私
首先是隱私的問題。許多物聯網設備都具備錄影和錄音的功能，或者會將影音數據傳送至雲端處理。萬一駭客有辦法攔截這些內容，那就能看到並聽到屋內的狀況。再回頭看看前述嬰兒監視器的案例，由於駭客找到了設備的軟體漏洞，因此就能將這些原本讓家長隨時關心兒童狀況的設備，變成現成的監視器材。
語音助理蒙上監聽陰影
某些物聯網設備 （如自動化語音助理） 會隨時等候用戶下達語音指令，然後將語音內容傳送至雲端處理，並在幾秒之內做出回應。過去已發生許多關於這類設備傳送過多語音數據的爭議。
一篇報導指出，三星電視隱私條款，出現以下這段模稜兩可的敘述，認為三星電視會替廣告商收集資料：
「請注意使用語音辨識時，如果你說的話，含有個人或是敏感數據，這些資訊將會被截取，而且傳送給第三方。」
事後三星發出聲明稿，解釋他們不會侵犯使用者的隱私，也修改了隱私權條款。
正常來說，語音助理只有在聽到某個關鍵的「喚醒字眼」才會啓動。例如，要喚醒 Amazon Echo 這個家庭助理，就要對它說：「Alexa」。Amazon 向客戶保證，該設備只會將它被喚醒之後的語音內容傳送至雲端，完成使用者要求之後就會停止。該公司還提供了，關閉隨時收聽語音內容的功能，這一點用戶應該好好善用。
穿戴式設備忠實記錄用戶的行蹤， 可能將危及人身安全
有一些穿戴式設備 （如健身手環） 可以忠實記錄用戶的行蹤。因此，萬一這類數據落入不肖之徒手中，很可能將危及人身安全。駭客將知道屋主是否在家，或者他們監視的對象，是否正在前往某處。當然，這些是較極端的情況，但卻一點也不誇張。
智慧鎖頭廠商終止服務，要開鎖得到設備電池耗盡
除此之外，還有產品壽命的問題，這一點經常被忽略。許多物聯網設備的功能，都必須仰賴廠商在雲端的服務。萬一哪天廠商忽然倒閉了，或者被其他廠商給併購，那麼設備將變成孤兒。日本有一個叫做「246」的智慧型鎖頭，就發生這樣的情況。該鎖頭可以透過智慧手機應用 app 來上鎖和開鎖。
但由於該設備背後的服務已終止，因此使用者現在已無法開鎖，除非等到設備電池耗盡，但根據廠商的說法，電池大約可撐 180 天左右。使用者若想退款，則必須親自將鎖頭送到該公司辦理。
另一個例子是 Revolv，這是一個智慧家庭中樞設備，幾年前被 Nest 公司併購之後便停止運作。此設備扮演的，是家庭指揮中心的角色，它可讓用戶透過應用程序，來操作其他智慧型家電。然而由於 Nest 公司決定終止該項服務，因此許多設備用戶，現在手上只剩下一台外型超酷，但卻毫無用處的設備。
電力中斷時，智慧門鎖會把你所在門外嗎？
物聯網的風險，可大致歸諸為內部與外部兩大因素。內部因素是物聯網廠商或家庭用戶能夠掌控的因素，而外部因素則否。
外部因素包括氣象或電力中斷。例如當颱風來襲造成斷電時，家用設備會發生什麼狀況？智慧門鎖是否將卡在上鎖的狀態？若是，那使用者豈不是被鎖在門外無法回進門？當電力恢復時，設備會重設嗎？
駭客可能關閉消防警報、玩弄智慧燈泡，甚至刻意造成家用智慧設備故障
其他的外部因素還有駭客攻擊，例如前述家庭遭到監視的案例。駭客可利用設備的漏洞來蒐集數據，進一步掌握有關其監視對象的資訊。這些數據可能被用來加害或恐嚇受害者。
不僅如此，歹徒還可能發動一些中間人攻擊，刻意發送惡意的指令給設備，例如：關閉消防警報、玩弄智慧型燈泡，甚至刻意造成家用智慧型設備故障。當惡意攻擊開始進入家庭時，原本應該為生活帶來舒適便利的東西，將頓時變成一場災。
物聯網生態體系牽涉的每一個環節，都可能增加安全風險，此處僅列出幾項環節供你參考。
▲環境： 電力中斷、天災
▲政治社會因素
▲駭客：中間人攻擊、資料與隱私外洩
▲製造商：韌體更新頻率 、設備技術支持
▲家庭用戶 ： 家庭網路設定、密碼管理
最容易讓歹徒潛入智慧家庭的，是錯誤的家用無線網絡設定：如，未變更設備的默認密碼。
然而，不幸中的大幸，這類攻擊通常需要花費相當大的時間和精力，來規劃和執行 （至少目前如此）。因為，有別於一般電腦大多採用相當普遍的操作系統，物聯網設備的操作系統相當多元化。
針對特定物聯網設備，所開發的攻擊手法，並無法輕易套用至不同廠商的產品。此外，有時駭客必須先購買並研究，其所要攻擊的物聯網設備，才能開發出針對該設備的攻擊。
也正因如此，人們其實不必害怕使用智慧型設備，但需要學會當個聰明的使用者。
許多危險，其實是來自於家庭物聯網系統的設不當設定，其中最容易讓歹徒潛入的智慧家庭，是錯誤的家用無線網路設定。例如，使用者若未變更設備的默認密碼，駭客便可輕易進入設備。
物聯網產品製造商，若不適時更新韌體，也會讓使用者陷入危險
此外，物聯網產品製造商若不適時更新韌體，也會讓使用者陷入危險。因為這將使得網路上，許多家庭的設備都含有漏洞。廠商將源代碼公開，從技術角度而言並非壞事，因為研究人員可以借此測驗設備的安全性，但駭客同樣也可從這些程式代碼當中，找到漏洞。
0 comments:
張貼留言