搜索

[17323] 2016-06-21_智能产品安全：如何避免成为“跑得最慢的羊”？

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2016-06-21_智能产品安全：如何避免成为“跑得最慢的羊”？ 智 能 产 品 安 全 ： 如 何 避 免 成 为 “ 跑 得 最 慢 的 羊 ” ？ 原 创   极 棒   G e e k P w n   2 0 1 6 - 0 6 - 2 1 为 了 发 现 隐 藏 在 茫 茫 人 海 中 的 极 客 高 手 ， 为 了 让 更 多 的 智 能 硬 件 漏 洞 更 早 被 发 现 ， 为 了 让 用 户 得 到 更 安 全 的 产 为 了 发 现 隐 藏 在 茫 茫 人 海 中 的 极 客 高 手 ， 为 了 让 更 多 的 智 能 硬 件 漏 洞 更 早 被 发 现 ， 为 了 让 用 户 得 到 更 安 全 的 产 品 ， 品 ， G e e k P w n （ 极 棒 ） 嘉 年 华 将 在 （ 极 棒 ） 嘉 年 华 将 在 2 0 1 6 年 年 1 0 月 月 2 4 日 如 期 举 办 。 日 如 期 举 办 。   昨 天 （ 6 月 2 0 日 ） ， 主 办 方 K E E N 与 众 多 极 棒 的 好 朋 友 在 北 京 一 起 畅 谈 了 “ 智 能 安 全 中 的 攻 与 防 ” 。   极 棒 总 评 委 、 腾 讯 玄 武 实 验 室 负 责 人 于 旸 （ t o m b k e e p e r ， 以 下 简 称 T K ） ， 极 棒 名 人 堂 选 手 、 长 亭 科 技 安 全 研 究 员 赵 汉 青 ， 碁 震 （ K E E N ） 安 全 服 务 总 监 吕 礼 胜 分 别 围 绕 智 能 硬 件 攻 击 面 、 漏 洞 挖 掘 及 利 用 和 凝 聚 实 战 经 验 的 极 棒 特 训 营 进 行 了 演 讲 ； “ 京 东 安 全 第 一 人 ” J S R C 负 责 人 李 学 庆 以 及 小 米 首 席 安 全 官 陈 洋 也 分 享 了 各 自 在 安 全 领 域 的 实 践 。   虽 然 是 闭 门 会 议 ， 小 编 还 是 整 理 点 干 货 亮 点 和 大 家 分 享 ！   大 牛 蛙 谈 极 棒 生 态 圈 大 牛 蛙 谈 极 棒 生 态 圈  
首 个 登 场 是 碁 震 （ K E E N ） 创 始 人 兼 C E O 、 G e e k P w n 发 起 和 创 办 人 王 琦 （ 人 称 ： 大 牛 蛙 ） 进 行 了 “ 极 棒 智 能 安 全 生 态 圈 ” 的 开 场 演 讲 。   大 牛 蛙 从 “ 生 态 圈 ” 出 发 ， 讲 起 物 种 进 化 这 一 个 漫 长 的 过 程 ， 而 就 在 人 类 诞 生 后 ， 技 术 以 前 所 未 有 的 速 度 增 长 ， 史 无 前 例 的 加 速 使 得 “ 奇 点 ” 正 无 限 逼 近 我 们 。 人 类 智 能 与 人 类 技 术 让 人 机 文 明 超 越 人 脑 的 限 制 。 目 前 能 对 话 、 会 下 棋 的 A I ， 其 实 是 在 代 替 人 类 去 思 考 。 过 去 的 物 种 灭 绝 或 许 是 天 灾 ， 而 未 来 人 类 则 很 有 死 在 自 己 手 里 。   正 如 阿 瑟 · C 克 拉 克 的 第 三 定 律 ： 任 何 一 项 足 够 先 进 的 技 术 和 魔 术 之 间 ， 我 们 无 法 作 出 区 分 。   这 也 是 极 棒 在 诞 生 之 初 的 想 法 ， 几 位 创 办 人 一 起 就 黑 客 界 的 奇 思 妙 想 侃 侃 而 谈 ， 让 智 能 音 响 变 成 摄 像 头 、 让 智 能 马 桶 跟 随 音 乐 起 舞 … … 极 棒 为 寻 找 新 思 维 而 生 。   回 到 分 享 会 的 主 题 ， 极 棒 走 过 三 届 之 后 ， 有 超 过 百 枚 的 漏 洞 暴 露 了 智 能 硬 件 企 业 会 犯 错 的 地 方 ， 而 企 业 从 这 些 的 “ 失 足 ” 中 又 能 学 习 哪 些 经 验 ？ T K 谈 攻 击 面 谈 攻 击 面  
上 周 W i n d o w s 历 史 上 影 响 最 广 泛 的 漏 洞 — — B a d T u n n e l 漏 洞 补 丁 发 布 ， 发 现 者 T K 通 过 “ 把 一 些 潜 在 安 全 问 题 组 合 在 一 起 变 成 现 实 可 利 用 漏 洞 ” 。   在 “ 智 能 硬 件 的 攻 击 面 ” 议 题 中 ， T K 如 是 说 ： 判 断 一 个 人 在 技 术 上 能 走 多 深 ， 有 一 个 很 重 要 的 指 标 就 是 对 攻 击 面 的 理 判 断 一 个 人 在 技 术 上 能 走 多 深 ， 有 一 个 很 重 要 的 指 标 就 是 对 攻 击 面 的 理 解 。 解 。   攻 击 面 包 含 很 多 内 容 。 大 家 常 说 的 信 道 ， 不 论 广 义 的 还 是 狭 义 的 ， 同 时 也 都 是 潜 在 的 攻 击 面 。 每 多 一 个 信 道 就 会 多 一 个 攻 击 面 。 而 防 御 中 很 重 要 的 一 点 就 是 ： 把 攻 击 面 最 小 化 。   T K 介 绍 了 O W A S P 智 能 安 全 的 九 点 攻 击 面 ， 并 称 “ 每 个 点 都 可 以 展 开 成 一 棵 树 ” 。 然 后 T K 落 脚 到 云 、 管 、 端 这 三 个 方 面 。 结 合 前 两 届 极 棒 比 赛 情 况 ， 有 选 手 通 过 云 进 行 的 攻 击 ， 而 非 直 接 攻 击 设 备 。   最 后 T K 总 结 对 于 这 一 领 域 的 企 业 而 言 ， 由 于 行 业 整 体 还 处 于 初 级 阶 段 ， 安 全 预 算 通 常 不 多 ， 这 时 应 该 把 资 源 花 在 刀 刃 上 ， 先 做 “ 最 容 易 的 、 最 见 效 的 、 最 能 降 低 风 险 最 容 易 的 、 最 见 效 的 、 最 能 降 低 风 险 ” 的 部 分 ， 如 主 芯 片 选 B G A 封 装 而 非 T Q F P 封 装 即 可 增 加 一 点 硬 件 逆 向 的 难 度 、 保 护 好 固 件 、 设 计 更 安 全 的 远 程 客 户 支 持 方 式 ， 以 及 优 先 把 安 全 能 力 用 在 W e b 管 理 界 面 等 最 容 易 被 盯 上 的 地 方 。   长 亭 赛 棍 长 亭 赛 棍 “ 李 易 峰 李 易 峰 ”  
赵 汉 青 在 极 棒 澳 门 站 的 比 赛 上 和 队 友 杨 坤 一 举 破 解 了 1 1 款 智 能 硬 件 产 品 。 他 分 别 以 被 长 亭 科 技 P W N 掉 的 智 能 摄 像 头 为 实 例 ， 解 包 固 件 、 从 串 行 接 口 获 得 r o o t 、 发 现 串 行 端 口 、 攻 击 面 ， 进 行 逆 向 工 程 之 后 ， 直 到 用 E X P 将 设 备 搞 定 。 至 于 黑 客 是 如 何 找 个 漏 洞 的 ？ 别 说 话 ， 看 高 清 大 图 ！
6 1 8 一 役 之 后 一 役 之 后 . . . 京 东 安 全 应 急 响 应 中 心   J S R C   负 责 人 李 学 庆 在 经 历 了 6 1 8 之 后 身 现 “ 极 智 汇 ” 。 李 学 庆 介 绍 了 京 东 安 全 体 系 建 设 发 展 走 过 的 种 种 。 五 年 前 的 安 全 部 从 无 到 有 ， 在 信 息 安 全 体 系 框 架 中 围 绕 S D L + 进 行 了 从 响 应 、 监 控 、 评 估 、 设 计 、 需 求 、 培 训 、 改 进 到 发 布 的 循 环 。   京 东 通 过 开 发 多 种 安 全 产 品 、 建 立 J S R C ， 提 高 无 线 安 全 指 数 ， 对 于 敏 感 数 据 加 强 监 控 . . . . . . 安 全 不 仅 是 安 全 部 门 的 事 ， 企 业 内 的 每 个 人 都 可 能 成 为 “ 攻 击 面 ” 。 因 此 ， 所 有 的 京 东 同 事 都 学 会 “ 安 全 地 工 作 ” 也 是 李 学 庆 的 职 责 之 一 。 最 后 ， 他 提 到 “ 未 来 畅 想 ” ： 服 务 （ A P I 、 网 关 、 验 证 码 、 函 数 、 S a a S 立 体 监 控 ） 、 感 知 （ 威 胁 情 报 、 大 数 据 、 溯 源 、 行 为 感 知 ） 、 专 业 （ 人 才 培 养 、 定 向 性 、 L a b 、 综 合 能 力 ） 。 “ 今 天 我 不 代 表 小 米 今 天 我 不 代 表 小 米 ”
陈 洋 从 智 能 产 品 的 安 全 风 险 谈 起 ， 他 举 例 一 款 自 用 的 扫 地 机 器 人 ， 它 极 为 智 能 ： 路 线 规 划 、 导 航 地 图 、 防 跌 防 撞 、 自 动 回 充 等 方 便 快 捷 的 功 能 。   但 它 同 时 还 有 摄 像 头 可 以 拍 摄 、 麦 克 风 收 音 、 W i F i 进 行 远 程 控 制 、 操 作 系 统 也 存 在 巨 大 被 r o o t 的 风 险 … . . 家 里 出 现 这 样 一 个 “ 间 谍 ” 还 是 一 件 挺 恐 怖 的 事 情 ！   因 此 不 难 看 出 智 能 硬 件 厂 商 都 要 面 对 这 样 一 个 问 题 ： 如 何 在 安 全 和 功 能 方 面 进 行 平 衡 ？ 在 几 乎 所 有 智 能 设 备 都 存 在 弱 点 在 几 乎 所 有 智 能 设 备 都 存 在 弱 点 的 时 候 ， 如 何 的 时 候 ， 如 何 避 免 成 为 攻 击 者 眼 中 避 免 成 为 攻 击 者 眼 中 “ 跑 得 最 慢 的 羊 跑 得 最 慢 的 羊 ” ？ ？   结 合 小 米 自 身 安 全 管 理 经 验 ， 在 实 际 操 作 中 ， 把 智 能 硬 件 当 做 开 源 系 统 、 开 源 代 码 去 思 考 ， 才 能 正 视 可 能 存 在 的 安 全 风 险 。 这 也 吻 合 了 小 米 “ 为 发 烧 而 生 ” 的 理 念 。 极 棒 特 训 营 ： 让 智 能 产 品 更 安 全 极 棒 特 训 营 ： 让 智 能 产 品 更 安 全
来 自 碁 震 （ K E E N ） 安 全 服 务 总 监 吕 礼 胜 带 大 家 回 顾 了 历 届 极 棒 比 赛 中 ， 身 边 各 种 的 智 能 设 备 均 因 存 在 各 种 安 全 漏 洞 问 题 而 被 选 手 攻 破 ， 轻 则 导 致 用 户 隐 私 泄 露 ， 重 则 可 能 危 及 财 产 或 人 身 安 全 。 众 多 智 能 软 硬 件 被 攻 破 ， 从 表 象 上 来 看 ， 直 接 的 原 因 是 这 些 软 硬 件 存 在 安 全 漏 洞 。 而 究 其 根 源 ， 导 致 安 全 漏 洞 产 生 的 根 本 原 因 ， 则 是 这 些 智 能 产 品 安 全 研 发 能 力 发 展 的 水 平 安 全 研 发 能 力 发 展 的 水 平 远 远 低 于 智 能 技 术 和 智 能 产 业 的 发 展 。 没 有 好 的 安 全 工 程 经 验 做 指 导 、 缺 少 有 安 全 经 验 的 研 发 力 量 、 对 新 的 攻 击 方 法 和 思 路 知 之 甚 少 … … 都 是 过 去 或 现 在 企 业 正 在 经 历 的 坑 。 而 从 已 经 犯 过 的 错 误 中 吸 取 经 验 是 避 免 安 全 问 题 的 一 条 捷 径 。 而 从 已 经 犯 过 的 错 误 中 吸 取 经 验 是 避 免 安 全 问 题 的 一 条 捷 径 。 极 棒 安 全 开 发 特 训 营 课 程 ， 以 安 全 开 发 生 命 周 期 为 纲 ， 深 入 详 细 讲 解 大 量 从 未 曝 光 的 最 前 沿 、 最 鲜 活 、 最 真 实 的 极 棒 以 安 全 开 发 生 命 周 期 为 纲 ， 深 入 详 细 讲 解 大 量 从 未 曝 光 的 最 前 沿 、 最 鲜 活 、 最 真 实 的 极 棒 破 解 案 例 破 解 案 例 ， 帮 助 开 发 人 员 提 升 安 全 能 力 、 掌 握 安 全 知 识 、 减 少 产 品 安 全 问 题 ， 帮 助 厂 商 提 高 信 息 安 全 研 发 和 管 理 水 平 。 最 后 G e e k P w n 另 一 位 评 委 万 涛 （ 老 鹰 ） 同 是 对 智 能 硬 件 研 究 颇 丰 ， 他 介 绍 了 从 评 委 角 度 对 于 极 棒 选 手 的 期 待 ： 智 能 硬 件 越 来 越 多 ， 也 希 望 大 家 思 路 放 开 ， 毕 竟 极 棒 不 只 是 个 重 视 安 全 技 术 的 平 台 ， 更 是 一 个 进 行 展 示 和 互 动 的 嘉 年 华 。
O n e   M o r e   T h i n g O n e   M o r e   T h i n g G e e k P w n   1 0 2 4 选 手 报 名 通 道 已 经 正 式 开 启 ， 了 解 更 多 活 动 详 情 可 以 登 录 2 0 1 6 . g e e k p w n . o r g 官 网 。 > > > > 这 是 一 封 来 自 极 棒 这 是 一 封 来 自 极 棒 1 0 2 4 嘉 年 华 的 邀 请 函 嘉 年 华 的 邀 请 函 最 后 感 谢 极 棒 智 能 安 全 生 态 圈 战 略 合 作 伙 伴 ： 腾 讯 安 全 、 京 东 智 能 、 小 米 、 华 为 。 一 键 了 解 “ 极 棒 特 训 营 ” 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理