繼Mirai 僵尸網絡攻擊后，物聯網的安全狀況好轉了嗎？
責編：gltian ｜2018-04-23 11:34:18
隨著大量聯網設備涌入我們的數字化生活中，物聯網安全成為?2018 RSA?安全大會上的中心話題也不足為奇。不過雖然本周大會上發表了無數關于物聯網漏洞的內容，但并未給出一個明確的解決方案。
賽門鐵克公司產品管理高級主管?John Cook?表示，目前物聯網設備制造的情況就像是淘金熱……所有人都想匆忙撈一把。實際上我們看到的都是放出言論但并未進一步考慮安全問題。
市場研究公司?IDC?指出，物聯網智能家庭設備的市場潛力十分誘人，消費者物聯網支出將在2018年達到620億美元，將成為第四大行業。然而，其中很多設備并未或很少將安全性考慮在內。
2016年爆發的由30萬易受攻擊的物聯網設備組建而成的?Mirai?僵尸網絡攻擊表明，缺乏物聯網安全會帶來多么大的影響。
安全狀況幾無改變
然而，自此之后，聯網智能家庭設備的安全性幾乎并未改觀。ESET?公司的全球安全布道者?Tony Anscombe?在花費數月時間測試了12款物聯網設備如智能秤、可穿戴設備等候證明了這一點。他從測試中發現了很多安全問題，如以明文形式存儲密碼、加密問題等。他在?RSA?大會上指出，測試發現了未加密的固件更新、未加密的攝像機視頻流、明文形式的通信和服務器以及未受保護的密碼存儲等，而且還發現了隱私策略問題。
例如，一款連接在智能手機上追蹤體重變化并收集身體脂肪和?BMI?信息的諾基亞健康人體+體重秤被指易受中間人攻擊，黑客能夠攔截固件更新并訪問這些數據。
隱私問題提上日程
物聯網安全在過去幾年來一直為人詬病，而物聯網設備隱私也是?RSA?大會上頻頻提及的痛點，尤其是隨著語音助手設備如亞馬遜?Echo?和?Google Home?的崛起之后更是如此。
Ansombe?指出，物聯網設備存在的其中一個可能并非屬于漏洞的問題是，我們可能在過度分享數據。
在物聯網體重秤的案例中，體重秤可以連接至亞馬遜?Alexa，那么數據中就會存儲體重秤和用戶之間的各種交互，而這是網絡犯罪分子夢寐以求的事情。
安全需要廠商和消費者的共同努力
盡管物聯網設備中存在多種安全問題，但仍然需要物聯網設備廠商和終端用戶聯合采取保護措施。
物聯網設備廠商將安全視作比小型低功耗聯網設備所需的其它因素更昂貴的替代品。例如，Fitbit?公司的安全高級主管?Marc Bown?指出，很多聯網設備廠商寧愿使用低功耗價格低廉的芯片也不會選擇那些安全性高的芯片。他指出，廠商以加密換取更低功耗的芯片、更低的價格、存儲空間和電池壽命。
另外一個問題是，物聯網設備使用了如此多的組件，包括處理器、云和網絡服務、設備和應用等，導致廠商在面對安全問題是會在不同方面掙扎選擇。他強調稱，系統的每個部分都是重要的，因為漏洞可存在于應用和平臺、設備、傳感器和云中。
很多設備廠商在升級物聯網設備安全方面能采取的第一步是了解設備的使用方式，并且在創建威脅模型時應用這種理解。Bown?指出構建威脅模型十分重要，廠商需要考慮設備如何保護自身的所有情況。
Cook?表示，設備廠商重視安全最終需要終端用戶來推動，但要求更好的安全性并不一定來自消費者。他指出，安全尚未是優先考慮因素……目前還不存在這樣一種情況：你會感到個人化的痛苦，就像你已經發現盜賊一樣。廠商需要確保更新安全而且不給用戶留下任何選擇。
Anscombe?指出，用戶可認識到通過聯網設備尤其是語音助手傳遞了多少私人數據實施自我保護。他表示，只在不涉及個人問題的清下使用虛擬的個人助手，但如果你使用了?Google Home?這樣的助手就要當心了，不要在社交媒體或社交網絡上共享個人數據。