物聯(lián)網(wǎng)安全之殤：設(shè)備制造商安全意識極度匱乏

　　近日，安全公司Rapid7在對9個嬰兒監(jiān)視器進行測試之后，發(fā)現(xiàn)其中8個在測試中存在初級的安全問題。這充分表明了當前的物聯(lián)網(wǎng)設(shè)備制造商在安全方面仍有很大的成長空間，也就是說，在安全方面他們還需要很長的時間去探索。

　　隨著當前越來越多的消費設(shè)備接入到互聯(lián)網(wǎng)中，越來越多的由于設(shè)計缺陷而導(dǎo)致的安全漏洞也不斷浮出，這不但使得這些設(shè)備極易受到攻擊，并且，實際情況表明針對此類設(shè)備的攻擊已經(jīng)越來越多。

　　例如，在上文所提到的Rapid7對9個嬰兒監(jiān)視器的測試中，Rapid7便發(fā)現(xiàn)了10個嚴重的漏洞,其中有5個是供應(yīng)商所留下的后門。具體來說，設(shè)備制造公司在設(shè)備中創(chuàng)建了一個計分卡的安全設(shè)計,但只需要鍵入一個“d”便可使任意人進入該設(shè)備。

　　而在Rapid7全球服務(wù)的高級安全顧問Mark Stanislav看來，沒有一個供應(yīng)商會在其產(chǎn)品所采取的安全措施方面做宣傳,或者說這樣的情況是極為少見的。而作為一個約從50美元到250美元價格不等的設(shè)備而言，這樣的標價幾乎與安全性沒有任何的聯(lián)系。 “作為一個消費者，要想知道你所購買的商品是不是安全的，這是非常困難的。” Mark Stanislav說道：“不幸的是,從物聯(lián)網(wǎng)的安全現(xiàn)狀來看，目前的情況并不值得我們樂觀”。

　　連接設(shè)備,也被稱為物聯(lián)網(wǎng),正越來越受到安全研究人員的關(guān)注。而通常情況下，安全研究人員都會從其中發(fā)現(xiàn)重大安全漏洞。今年2月,惠普公司的安全部門便發(fā)現(xiàn),物聯(lián)網(wǎng)安全系統(tǒng)存在明顯的漏洞,當用戶未使用設(shè)備時同樣會面臨被攻擊的風(fēng)險。而在去年,賽門鐵克和Rapid7也發(fā)布了類似的研究,發(fā)現(xiàn)在眾多的物聯(lián)網(wǎng)設(shè)備中都存在安全漏洞。

　　在最新的研究中,Rapid7分析了來自8個不同供應(yīng)商的9個不同的運作模式的嬰兒監(jiān)視器，并發(fā)現(xiàn)其中存在的重大漏洞可能允許攻擊者訪問監(jiān)視器或通過代碼操作讓設(shè)備實際運行。在這些設(shè)備中，服務(wù)器支持了一個在設(shè)備使用中可預(yù)見的url,攻擊者可以很容易地進入并修改其他賬戶持有人的信息。這一設(shè)計方式在實時訪問視頻時也同樣會導(dǎo)致第二個可被攻擊之處，因為供應(yīng)商是將實時視頻服務(wù)托管在公共網(wǎng)絡(luò)上的。第三個漏洞發(fā)生在服務(wù)支持相對較差的情況下,當用戶在與親朋好友分享視頻時,可導(dǎo)致視頻流被攻擊者任意訪問。

　　Rapid7為所測試的設(shè)備是否具有安全特性進行了評比打分,這些安全特性包括：設(shè)備的本地和網(wǎng)絡(luò)通信是否使用了SSL加密、設(shè)備是否存在任何潛在的后門、是否隱藏賬戶或已知的漏洞等等。在滿分為100分的情況下,測試結(jié)果表明有8個設(shè)備分數(shù)在0到50之間，未通過安全測試。而唯一勉強算是通過測試的設(shè)備也只有64分。

　　“比分的結(jié)果比更多的工程實踐更加能夠表明，物聯(lián)網(wǎng)安全的決定性的因素還是在于產(chǎn)品的設(shè)計階段和實現(xiàn)階段。” Mark Stanislav說道。