3S Market「全球智慧科技應用」市場資訊網: ．物聯網設備如果少了網路安全設計會如何？

Botnet / DDoS Attack - Norse Live Footage - Nov 29 [1080p]

Home8雲端系統四大專利：安全性、省電簡易、雲端通報

來源：物聯網在線

「殭屍網路」是指，利用一系列的連網裝置執行惡意軟體，讓外來組織或人員，得以在裝置主人不知情的情況下，使用這些裝置…

當提及安全特性時，許多物聯網(IoT)裝置開發人員仍然表示，不願意採取保護措施。有些開發人員甚至理直氣壯地指出：「駭客從這種裝置中，得不到什麼有價值的東西!」但是，如果少了網路安全設計，您的裝置很可能被迫加入「殭屍部隊」(zombie army)，即所謂的「botnet」殭屍網路。

如果您還沒有聽說過，「殭屍網路」是指利用一系列的連網裝置執行惡意軟體，讓外來組織或人員，得以在裝置主人不知情的情況下使用這些裝置。

在特定情形下，濫用這些裝置的人員，可以使這些連網裝置透過因特網聯機接受和傳送訊息。由於裝置用戶永遠看不到這些訊息(訊息的傳送目標是第四方)，因此這種劫持操作可以無限期地進行，而不至於被發現。

雖然濫用者(也就是殭屍牧人)可能對於單台裝置興趣缺缺，但攻擊一系列裝置可能就很有用了。

殭屍網路最常見的兩種用途，是分布式阻斷服務(DDoS)攻擊和垃圾郵件傳播。DDoS攻擊是在短時間內，將大量訊息發送至一台特定的電腦，如網路伺服器。其目標是利用超出這台電腦處理能力的訊息量，使這台電腦當機，導致其服務速度變慢，或甚至使其上運作的軟體崩潰。

垃圾郵件傳播，則允許殭屍牧人發送無法追溯來源的電子郵件訊息，從而實現網路釣魚式攻擊(phishing)，或行使其它騙術而不至於被逮到。

傳統的殭屍網路徵用對象，是缺乏安全性的家庭網路路由器和個人電腦(PC)。但隨著安全性低甚，至沒有安全性可言的物聯網裝置佈署，及其數量持續增加，殭屍牧人開始改變徵用目標。根據資安網站Dark Reading最近發表的調查報告，揭露了一個基於BASHLITE惡意軟體系列的殭屍網路，該網路中的殭屍超過了100萬個，其中96%是物聯網裝置。

如果不設法提高下一代物聯網裝置的安全性，這種殭屍部隊只可能越來越龐大。

但正如許多開發人員所聲稱的，問題就在於：「安全的代價太昂貴了!」確實，許多傳統的安全機制和算法，需要的運算資源超出小型物聯網裝置，所能承受的範圍。

另外，這些機制和算法並不能有效地簡化，以因應資源的限制。雖然在設計中增加安全性似乎很昂貴，但想想缺少安全性要付出的代價吧！

許多公司已經為此導致產品賣不出去、信譽受損，有時還不得不啓動數百萬美元的召回，原因就在於他們的物聯網設計缺乏安全性。如果殭屍牧人在您毫無保護的設計基礎上，建構和釋放殭屍網路，那麼每個人都得付出代價。

很快地，成本可能不再是個問題了。市場上開始推出許多解決方案，只要花不到1美元的價格，就能在基於微控制器(MCU)的設計中解決安全問題。

目前還有許多人，在為資源受限的物聯網裝置定義，和開發軟體安全方法。例如Eclipse已著手進行一項項目，為小型設計中建置的數據報傳輸層安全性(DTLS)創建C庫，並稱之為TInydtls。美國國家標準與技術研究所(NIST)也在制訂一項計劃，用於聚集輕量級加密算法，並為其進行標準化。

綜上所述，計劃打造新款物聯網裝置的開發人員，至少不能再輕視安全性問題了，現在必須開始像考慮每個設計，折衷因素一樣認真地思考這個問題。

最理想的是確保在設計規格中，達到一定程度的安全性，並為項目預留適當的預算，即使它並非完全加密方案。至少在設計時必須提供一些保護，而不能讓產品輕易地變成殭屍。