cookieOptions = {...}; .家中攝影機突然說話、播放粗俗音樂,「智慧」與「安全」如何共舞? - 3S Market「全球智慧科技應用」市場資訊網

3S MARKET

3S MARKET
2019年10月7日 星期一


Nest Camera Hacker Threatens To Kidnap Baby, Scares Parents 




leiphone 作者:张栋

上週,一則關於「家中攝影機突然說話」的新聞,持續霸榜在對岸中國的微博上被熱搜(這則新聞,應該是幾個月前在美國發生的)。

家中摄像头突然说话、播放粗俗音乐,“智能”与“安全”如何共舞?

據《全球時報》報導,美國一對夫婦的 Nest 智慧家庭攝影機,突然與他們說話,無論是重啓電源,還是修改密碼都無所功用,最後聯繫營運商修改了網路 ID,才得以恢復平靜。

這並非網路攝影機,存在安全隱憂的首次消息曝光。

據 Hackread 消息,截至今年九月,研究人員在全球範圍內,發現了 15000 個私人網路攝影機,存在安全漏洞。

為 Wizcase 工作的白帽駭客 Avishai Efrat 找到了來自多家製造商的外露設備,包括 AXIS 網路攝影機、Cisco Linksys 網路攝影機、IP Camera Logo 伺服器、百萬像素網路攝影機 MOBOTIX、WebCamXP 5 和 Yawcam。

這些攝影機已經被歐洲、美洲和亞洲多個國家的家庭使用者,和企業安裝使用,在某些情況下,駭客可以對攝影機進行管理員訪問、獲取使用者資訊和獲得位置定位。

Wizcase 網路安全專家 Chase Williams 解釋說,網路攝影機製造商大量採用先進技術佔領市場,但這同時也會導致開放端口缺少認證機制。

目前,家庭攝影機對公網開放安全,導致的安全漏洞,已是全世界共同面臨的重要挑戰:

常見的攝影機漏洞,包括遠端命令執行漏洞、任意文件讀取漏洞、使用者密碼重置漏洞、未授權訪問漏洞、登錄繞過漏洞、存在隱藏後門等漏洞。

這些漏洞中的任何一個,都能給使用者帶來極大的安全風險,導致隱私資訊洩漏。比如駭客可以透過漏洞,直接獲取使用者密碼配置和截圖,甚至在不登錄的情況下,查看監控截圖。
物聯網設備安全問題需重視
一次又一次網路設備安全問題的曝光,需要引起業界的足夠重視。

以往,每個人既可以主動加入網路,也可以選擇切斷網路;但在萬物互聯時代,每一個人都無法與網路無縫分割。

未來,在 AI 等技術的助力下,物聯網將具有更加強勁的發展空間,更為寬廣的應用領域,這也意味著,物聯網將會面臨更多的網路威脅和攻擊。

目前針對物聯網的攻擊事件,主要有以下特點:

1)攻擊的影響力越來越大,如發生在 2016 年的「美國斷網」事件、「德國斷網」事件,開啓了物聯網設備,被大規模利用攻擊網路的先例;

2)被攻擊的範圍越來越寬泛,小到攻擊攝影機、心臟起搏器等,大到攻擊國家電網、核電站等,這些都成為了駭客攻擊的目標;

3)攻擊的手段越來越智慧和多樣,如 2017 年 10 月發現的大規模僵屍網路 IoTroop,該病毒已經可以智慧辨識設備的類型,並綜合利用設備的未修復漏洞,和弱口令等安全問題。

此前,較多安全研究人員,在評價物聯網設備安全問題為「三無」:無安全、無加固和無人值守。

今天,還需要加上一條:無意識

所謂無意識,則是設備的製造方、使用方、安裝方等均無安全意識,近些年由於安全事件的驅動,大型設備製造商的安全意識提高迅速,但是其他相關方的安全意識還有待提升。

此外,當前仍然還有很多無安全產品在市場上泛濫。譬如,去年對岸中國質檢總局,透過央視曝出來 80% 的智慧攝影機存在安全缺陷,這些不合格產品中,大部分是一些資質不全的小廠商生產的產品。

導致物聯網存在安全風險的原因較多,概括起來有如下原因:

家中摄像头突然说话、播放粗俗音乐,“智能”与“安全”如何共舞?

對於整個物聯網產業來說,設備的製造商、整合/安裝商、使用者、管理機構等,在物聯網安全方面所做得工作都有所欠缺,導致目前看到的物聯網中的安全問題較多。

這些安全問題概括起來主要有:

1)弱口令,這也是當前物聯網面臨的最大安全問題;

2)缺乏有效的設備升級機制,當設備發現存在漏洞時,無法做到快速有效的全面升級;

3)安全機制的設計上存在各種問題,如此前被詬病最多的物聯網設備的密碼恢復機制;

4)設備由於開發、設計等原因造成的存在安全漏洞。

面對以上問題,傳統做安全的研究人員可能認為,業界早有針對相關問題的最佳安全實踐,比如弱口令問題,就使用一機一密的強口令;如果設備不升級,那麼就讓設備自動強行升級;而對密碼恢復問題,使用者忘記密碼,只需設計一個 Reset 鍵。

其實這些做法,在之前傳統的網路系統李,確實是行之有效的實踐方法,但是這些做法到了物聯網裡面,它就可能不再適用了。

在實際落地中,大多物聯網設備都是布放在海底、高寒/高溫、核輻射等環境中,如果這些設備遺忘了密碼,如此設計一定是不合理的。

另外單一物聯網管理員,往往需要管理成千上萬的設備,如果要求這些設備每個密碼,都是不同的強密碼,這對於管理員來說絕無可能。

總結來說,整個物聯網設備數量巨大、分布十分廣泛,而且設備形態多種多樣。其實每個不同類型的設備,都應該針對不同的業務場景,做不同的安全設計,以達到最佳業務實踐。


物聯網的安全問題,與傳統網路中的安全問題的解決方法,並不能做到完全一致,有些做法甚至會有較大的差別,而不論怎麼做,其目的都是要在保證業務運轉正常的前提下,實現安全,安全必須跟業務進行緊耦合。

另外,安全是一個系統工程,要想從技術角度保護用戶隱私不被洩漏,應該遵照當前業界的最佳安全實踐、各國的法律法規等,對整個物聯網系統,進行縱深防禦設計與開發,安全覆蓋物聯網系統的設計、開發、測試、實施、使用、管理等各個環節,任何一個環節安全的缺失或不足,都會導致使用者隱私被洩漏。


AKD 寰楚專業級全系列監控設備

0 comments: