惠普：最熱門10款智能家居設備有250個漏洞
責編：admin ｜2014-08-04 15:42:49據科技博客Re/code報道，不少人為前景一片光明的物聯網而感到興奮，黑客們想必亦然。惠普的一項研究發現，惠普的Fortify應用程序安全部門對市面上最熱門的10款消費級物聯網產品進行了研究分析，發現它們有250種安全漏洞，也就是說每款產品平均25種。
不過，惠普并沒有具體指出涉及哪些產品，只是泛泛地說：它們來自“電視、網絡攝像頭、家用恒溫器、遠程電源插座、灑水車控制器、多設備控制中樞器、門鎖、家庭警報器、磅秤和車庫開門器的制造商”。
這些設備通常都是運行Linux操作系統的精簡版本，所以它們會有很多常見于運行Linux的服務器或者計算機的基本安全漏洞。問題在于，設備制造商并沒有像對待傳統計算機那樣花功夫去加強安全保護。
惠普副總裁兼Fortify部門總經理邁克·阿米斯特德（Mike Armistead）指出，該行業的現狀是，制造商們普遍匆忙將它們的產品推出市場，而沒有很努力地去給設備提供防范基本攻擊的能力。
該問題的危害性可能會大大放大，因為一旦一款設備遭攻擊，設備間重合的漏洞會致使攻擊向其它設備蔓延。這并非危言聳聽，歷史上發生過那樣的黑客攻擊，其中破壞性最大的事件之一是超過7000萬人信息失竊的Target事件。在該事件中，黑客是通過攻擊用于控制和維護公司門店采暖通風系統的系統來盜取數據。
惠普的智能家居設備研究報告指出：
有8款設備對設備本身或者相應網站要求的密碼強度低于“1234”。
有7款設備在與互聯網或者本地網絡進行通訊的時候沒有進行加密，這意味著任何數據的傳送都“不設防，暢行無阻”，不管那些數據敏感機密與否。
有6款設備界面存在安全漏洞，容易受到持續的跨站點腳本攻擊，默認登陸認證信息脆弱，或者“暢行無阻地”傳輸像密碼這樣的登陸認證信息。
有6款設備在軟件升級下載期間沒有加密。這尤其令人擔憂，因為不法分子可以借此偽造軟件更新，對設備重新編程，從而為所欲為地控制設備。想想如果聯網的網絡攝像頭或者車庫開門器出現這種問題，會是怎樣的后果吧。
10款設備中有9款至少收集過某種個人信息：郵箱地址、家庭住址、姓名和出生日期。
惠普Fortify研究人員以往常的方式來進行此次研究：他們讓那些智能家居設備接受Fortify on Demand服務的檢測，該服務會對軟件的已知和潛在安全問題進行測試。
那物聯網市場會有多大呢？市場研究公司Gartner估計，到2020年，個人智能家居設備總裝機量將上漲至260億。
正如阿米斯特德所指出的，“對于黑客來說，那是巨大的新攻擊目標。”