搜索

[9901] 2016-03-11_解读2015年物联网安全态势，威胁攻击日益凸显

文档创建者：s7ckTeam
浏览次数：25
最后更新：2025-01-18
2016-03-11_解读2015年物联网安全态势，威胁攻击日益凸显 解 读 2 0 1 5 年 物 联 网 安 全 态 势 ， 威 胁 攻 击 日 益 凸 显 F r e e B u f   2 0 1 6 - 0 3 - 1 1 以 下 文 章 来 源 于 阿 里 聚 安 全   ， 作 者 阿 里 移 动 安 全 本 文 分 享 阿 里 巴 巴 《 2 0 1 5 互 联 网 安 全 年 报 》 系 列 之 三 《 2 0 1 5 物 联 网 安 全 年 报 》 ， 希 望 帮 助 读 者 了 解 物 联 网 安 全 的 威 胁 和 新 兴 趋 势 。 第 一 章 第 一 章   物 联 网 威 胁 攻 击 日 益 凸 显 物 联 网 威 胁 攻 击 日 益 凸 显         一 时 间 ， 我 们 日 常 使 用 的 设 备 多 出 了 智 能 的 概 念 ， 小 到 一 块 手 表 ， 大 到 一 辆 汽 车 ， 通 过 有 线 或 无 线 的 方 式 实 现 了 互 联 ， 使 得 他 们 不 只 是 具 有 传 统 的 功 能 ， 而 是 更 加 的 s m a r t 起 来 。 这 些 设 备 被 统 称 为 物 联 网 （ I n t e r n e t   o f   T h i n g s ） ， 他 们 无 处 不 在 ， 应 用 的 场 景 有 汽 车 、 医 疗 、 物 流 运 输 、 智 能 家 庭 、 娱 乐 等 领 域 。 2 0 1 5 年 ， 设 备 的 数 量 呈 持 续 增 长 趋 势 ， 据 G a r t n e r 公 司 预 测 ， 到 2 0 2 0 年 物 联 网 设 备 将 达 到 2 6 0 亿 的 规 模 。         物 联 网 利 用 多 种 如 S u b - 1 G 、 N F C 、 蓝 牙 、 W i F i 、 Z i g B e e 无 线 通 讯 技 术 ， 又 涉 及 到 硬 件 、 设 备 固 件 、 移 动 端 应 用 软 件 、 云 端 服 务 。 可 以 说 物 联 网 融 合 了 很 多 技 术 ， 而 且 形 态 各 异 ， 但 从 物 理 结 构 上 可 分 成 ： 智 能 终 端 设 备 、 手 机 移 动 端 、 云 端 这 三 部 分 。 通 过 手 机 端 下 载 移 动 应 用 ， 与 云 端 进 行 通 信 或 直 接 和 终 端 设 备 通 讯 ， 发 送 控 制 指 令 ， 再 由 云 端 转 发 控 制 指 令 给 设 备 终 端 ， 这 样 就 可 以 实 现 在 任 意 能 够 接 入 互 联 网 的 环 境 下 ， 去 控 制 一 台 在 内 网 的 智 能 设 备 ， 进 而 实 现 智 能 化 。         这 些 设 备 让 我 们 的 生 活 变 得 便 利 的 同 时 ， 也 给 黑 客 提 供 了 新 的 土 壤 ， 所 暴 露 出 的 安 全 问 题 越 来 越 多 ， 被 关 注 度 也 与 日 俱 增 。 2 0 1 5 年 公 布 了 一 系 列 高 危 漏 洞 ， 这 些 漏 洞 有 的 暴 露 用 户 隐 私 ， 有 的 影 响 用 户 财 产 ， 有 的 甚 至 对 生 命 安 全 构 成 了 威 胁 。 如 2 0 1 5 年 7 月 ， 菲 亚 特 克 莱 斯 勒 美 国 公 司 宣 布 召 回 1 4 0 万 辆 配 有 U c o n n e c t 车 载 系 统 的 汽 车 ， 黑 客 可 通 过 远 程 软 件 向 该 车 载 系 统 发 送 指 令 ， 进 行 各 种 操 作 如 减 速 、 关 闭 引 擎 、 让 刹 车 失 灵 等 ， 严 重 危 害 人 身 安 全 。 2 0 1 5 年 8 月 的 黑 帽 大 会 和 世 界 黑 客 大 会 上 ， 包 括 汽 车 在 内 的 各 种 智 能 设 备 都 被 爆 出 安 全 漏 洞 ， 黑 客 利 用 安 全 漏 洞 可 以 控 制 智 能 手 机 、 汽 车 、 交 通 红 绿 灯 ， 甚 至 搭 载 有 智 能 狙 击 镜 的 高 级 狙 击 步 枪 ， 让 人 惊 叹 不 已 。 因 为 物 联 网 设 备 数 量 和 互 联 的 特 性 ， 一 个 小 问 题 ， 其 影 响 和 严 重 程 度 就 会 被 放 大 到 几 十 倍 ， 甚 至 更 多 。         根 据 阿 里 移 动 安 全 团 队 对 物 联 网 安 全 性 的 调 查 ， 以 及 对 设 备 如 物 联 网 汽 车 的 中 控 显 示 、 智 能 路 由 器 、 网 络 摄 像 头 、 智 能 开 关 、 家 庭 网 关 、 门 锁 、 家 用 告 警 器 等 的 分 析 ， 发 现 一 些 共 有 的 安 全 问 题 ， 以 作 学 习 和 思 考 。 阿 里 聚 安 全 阿 里 聚 安 全   . 阿 里 聚 安 全 是 一 个 移 动 安 全 开 放 平 台 ， 凝 聚 阿 里 巴 巴 多 年 来 在 无 线 业 务 安 全 防 御 的 成 功 经 验 和 技 术 成 果 ， 并 面 向 开 发 者 和 企 业 提 供 恶 意 代 码 检 测 、 漏 洞 扫 描 、 仿 冒 应 用 检 测 、 应 用 加 固 、 安 全 组 件 等 服 务 ， 一 站 式 解 决 应 用 的 安 全 问 题 。
图 1   物 联 网 安 全 隐 患 第 二 章 第 二 章   物 联 网 安 全 问 题 物 联 网 安 全 问 题 1 . 1   8 0 % 的 设 备 暴 露 硬 件 调 试 接 口 ， 易 被 黑 客 利 用 的 设 备 暴 露 硬 件 调 试 接 口 ， 易 被 黑 客 利 用         硬 件 接 口 ， 例 如 J T A G 、 S W I D 、 U A R T ， 用 于 设 备 制 造 商 在 设 计 时 的 前 期 调 试 ， 生 产 时 的 程 序 烧 录 ， 以 及 诊 断 测 试 的 目 的 。 我 们 发 现 8 0 % 的 设 备 的 硬 件 上 都 保 留 了 调 试 接 口 ， 攻 击 者 通 过 这 些 接 口 获 取 到 大 量 实 现 上 的 细 节 信 息 。 例 如 设 备 与 云 端 和 移 动 应 用 软 件 的 通 讯 协 议 、 信 息 完 整 性 校 验 的 算 法 、 加 密 过 程 中 所 使 用 的 秘 钥 ， 再 利 用 对 这 些 信 息 的 理 解 ， 远 程 影 响 更 多 同 类 型 的 设 备 。 图 2   暴 露 调 试 接 口 的 硬 件 示 例 1 . 2   9 0 % 固 件 上 的 安 全 隐 患 严 重 威 胁 物 联 网 安 全 固 件 上 的 安 全 隐 患 严 重 威 胁 物 联 网 安 全         1 .   9 0 % 以 上 的 固 件 升 级 更 新 机 制 实 现 不 安 全 以 上 的 固 件 升 级 更 新 机 制 实 现 不 安 全           固 件 升 级 的 问 题 包 括 ： 升 级 包 的 来 源 是 否 安 全 、 升 级 包 下 载 传 输 是 否 安 全 、 升 级 文 件 是 否 存 在 敏 感 数 据 、 执 行 升 级 操 作 是 否 进 行 完 整 性 检 查 、 是 否 对 升 级 包 的 版 本 进 行 检 查 、 升 级 包 的 内 容 是 否 进 行 加 密 处 理 。 这 些 问 题 都 会 影 响 到 攻 击 者 是 否 可 获 得 固 件 、 解 压 、 分 析 并 进 行 篡 改 ， 最 终 烧 录 到 设 备 上 导 致 持 续 性 影 响 。
表 1   部 分 厂 商 固 件 上 安 全 隐 患 的 对 比         2 .   固 件 对 通 讯 数 据 的 安 全 检 查 不 完 整 固 件 对 通 讯 数 据 的 安 全 检 查 不 完 整         虽 然 通 讯 协 议 中 定 义 了 序 号 、 校 验 值 ， 但 固 件 在 实 现 时 没 有 进 行 校 验 和 检 查 ， 或 检 查 的 方 式 过 于 简 单 ， 可 被 攻 击 者 轻 易 绕 过 。 例 如 汽 车 钥 匙 系 统 中 使 用 了 K E E L O Q 滚 码 ， 钥 匙 每 发 送 一 次 命 令 后 ， 内 部 的 序 号 会 增 加 ， 汽 车 E C U 本 应 检 测 正 确 的 序 号 才 认 为 有 效 。 但 因 为 车 厂 在 实 现 上 的 问 题 ， 容 易 导 致 此 类 危 害 。 如 比 亚 迪 某 些 车 型 在 连 续 发 送 两 条 命 令 （ A 和 B ） 后 ， 序 号 会 被 重 置 到 A ， 如 果 捕 获 到 连 续 2 次 解 锁 车 门 的 命 令 信 号 ， 就 可 以 实 现 无 限 次 开 车 门 。 类 似 的 问 题 在 沃 尔 沃 、 别 克 君 威 等 部 分 型 号 的 车 辆 中 得 到 验 证 。         3 .   大 量 厂 商 的 固 件 存 在 包 括 密 钥 等 敏 感 信 息 大 量 厂 商 的 固 件 存 在 包 括 密 钥 等 敏 感 信 息         敏 感 信 息 泄 露 无 论 在 应 用 层 还 是 系 统 层 ， 都 是 一 个 普 遍 存 在 的 安 全 隐 患 。 多 数 物 联 网 固 件 中 信 息 存 放 过 于 简 单 （ 不 经 过 任 何 计 算 或 明 文 ） ， 通 过 对 多 个 厂 商 的 固 件 进 行 分 析 ， 对 获 取 到 的 密 码 H A S H 进 行 破 解 ， 发 现 很 多 弱 口 令 如 ：   a d m i n ,   p a s s ,   l o g o u t ， h e l p m e 等 。 多 个 厂 商 在 固 件 中 不 但 包 含 自 签 名 的 H T T P S 证 书 ， 且 由 于 不 正 确 的 版 本 发 布 管 理 和 设 计 缺 陷 ， 一 些 厂 商 还 包 含 私 钥 。 S E C C o n s u l t 在 本 年 度 调 查 中 发 现 来 自 5 0 个 厂 商 的 超 过 9 0 0 款 产 品 中 存 在 硬 编 码 密 钥 重 用 问 题 ， 其 中 受 影 响 的 厂 商 如 下 ： 图 3   存 在 硬 编 码 密 钥 重 用 问 题 的 5 0 家 厂 商         4 .   固 件 中 保 留 的 调 试 命 令 接 口 固 件 中 保 留 的 调 试 命 令 接 口 物 联 网 固 件 中 调 试 命 令 多 用 于 工 厂 测 试 以 及 开 发 调 试 ， 例 如 预 留 后 门 、 启 动 r o o t s h e l l 进 行 排 错 ， 虽 然 在 移 动 端 应 用 软 件 中 不 会 使 用 ， 但 攻 击 者 在 理 解 协 议 的 基 础 上 ， 可 封 装 出 对 应 的 调 用 接 口 ， 远 程 操 作 设 备 ， 例 如 可 对 设 备 恢 复 出 厂 配 置 进 行 拒 绝 服 务 攻 击 ， 或 者 窃 取 设 备 上 保 存 的 用 户 敏 感 数 据 。 通 过 研 究 ， 发 现 多 数 设 备 存 在 如 下 共 性 问 题 ： a )       调 试 接 口 服 务 访 问 没 有 正 确 限 制 ： 多 数 设 备 运 行 H T T P 服 务 、 A D B 服 务 、 T e l n e t 服 务 ， 并 没 有 正 确 限 制 访 问 ， 即 可 通 过 远 程 L A N 或 I n t e r n e t 访 问 。 b )       调 试 接 口 服 务 没 有 正 确 进 行 验 证 ： 使 用 简 单 的 p a s s w o r d 或 空 密 码 ， 可 简 单 绕 过 验 证 服 务 ， 达 到 未 授 权 访 问 的 目 的 。                 调 试 接 口 服 务 允 许 执 行 任 意 代 码 ： 该 接 口 提 供 高 权 限 的 任 意 代 码 执 行 功 能 ， 通 过 漏 洞 或 设 计 权 限 ， 攻 击 者 访 问 该 接 口 服 务 后 就 可 以 完 全 控 制 设 备 。
表 2   部 分 厂 商 固 件 中 保 留 调 试 命 令 接 口 的 安 全 隐 患 对 比         5 .   设 备 和 云 端 、 移 动 应 用 端 通 讯 时 的 安 全 问 题 设 备 和 云 端 、 移 动 应 用 端 通 讯 时 的 安 全 问 题 通 讯 链 路 的 安 全 篡 改 或 者 监 听 ， 可 导 致 劫 持 、 敏 感 信 息 泄 露 及 未 授 权 访 问 。 设 备 和 云 端 、 移 动 应 用 端 通 讯 时 的 安 全 基 本 问 题 如 下 ： a )     设 备 到 服 务 没 有 使 用 正 确 验 证 ： 设 备 没 有 在 整 个 通 信 会 话 过 程 使 用 验 证 凭 据 或 者 唯 一 标 识 符 ， 允 许 攻 击 者 未 授 权 访 问 。 b )     设 备 到 服 务 端 没 有 对 中 间 人 攻 击 进 行 保 护 ： 通 过 M I T M 攻 击 ， 攻 击 者 可 以 在 设 备 和 服 务 端 之 间 获 取 和 修 改 通 信 。 c )     信 道 无 加 密 ： 设 备 和 云 端 以 及 移 动 应 用 端 通 信 传 输 时 ， 控 制 命 令 和 采 集 的 数 据 没 有 加 密 ， 攻 击 者 通 过 监 听 获 取 敏 感 数 据 。 存 在 重 放 攻 击 ： 设 备 没 有 重 放 保 护 ， 允 许 攻 击 者 重 用 之 前 截 获 的 消 息 ， 实 现 未 授 权 访 问 以 及 执 行 恶 意 操 作 。 表 3   部 分 厂 商 设 备 和 云 端 、 移 动 端 通 讯 时 的 安 全 隐 患 对 比 1 . 3   9 4 % 传 统 传 统 W e b 安 全 漏 洞 同 样 影 响 物 联 网 云 端 安 全 漏 洞 同 样 影 响 物 联 网 云 端 W e b 接 口 接 口   通 过 对 部 分 物 联 网 厂 商 后 台 接 口 的 扫 描 检 测 ， 传 统 W e b 安 全 中 的 问 题 同 样 存 在 于 物 联 网 云 端 W e b 接 口 ， 跨 站 脚 本 、 文 件 修 改 、 命 令 执 行 及 S Q L 注 入 继 续 是 W e b 接 口 的 重 要 安 全 漏 洞 ： 图 4   物 联 网 云 端 W E B 接 口 中 的 安 全 漏 洞 1 . 4   位 置 与 时 空 安 全 会 对 用 户 造 成 物 理 性 的 攻 击 危 害 位 置 与 时 空 安 全 会 对 用 户 造 成 物 理 性 的 攻 击 危 害
        智 能 设 备 更 加 依 赖 于 时 间 信 息 和 位 置 信 息 ， 来 实 现 设 备 的 功 能 特 性 。 常 见 的 时 间 与 位 置 的 获 得 方 法 ， 主 要 是 依 赖 于 以 下 几 种 方 式 ： 1 .     G N S S   系 统 。 如   G P S 、 北 斗 、 G L O N A S S   等 。 G N S S 系 统 在 定 位 的 同 时 ， 也 对 终 端 完 成 了 授 时 过 程 。 2 .     W i F i   辅 助 定 位 。 由 于   G N S S   系 统 的 信 号 极 弱 ， 在 室 内 信 号 强 度 便 不 足 以 提 供 定 位 所 需 。 因 此 ， 大 部 分 的 位 置 信 息 提 供 商 都 提 供 了 基 于   W i F i   特 征 的 辅 助 定 位 功 能 ， 基 于   W i F i   的   S S I D   和   B S S I D   进 行 定 位 。 3 .     通 信 基 站 的 标 识 信 息 。 通 信 基 站 中 的 特 征 标 识 如   L A C   和   C e l l I D   信 息 可 以 被 用 于 终 端 进 行 快 速 定 位 。 图 5   伪 造 的 G P S 信 号 被 A n d r o i d 设 备 接 收 ， 伪 造 的 G P S 信 号 干 扰 A p p l e   W a t c h 的 时 间         这 几 种 位 置 时 空 信 息 获 取 方 式 的 实 现 上 ， 目 前 仍 处 于 关 注 其 功 能 完 整 性 及 有 效 性 的 阶 段 ， 对 于 安 全 方 面 的 考 虑 较 少 。 近 期 业 界 发 布 了 不 少 关 于 位 置 时 空 安 全 的 研 究 。 例 如 在 B l a c k H a t   E u r o p e   2 0 1 5 安 全 大 会 中 ， 来 自 赫 尔 辛 基 大 学 的 安 全 研 究 者 演 示 了 在 L T E   环 境 下 ， 从 基 站 的 广 播 信 息 中 嗅 探 到 用 户 的 地 理 位 置 。 该 团 队 在 大 会 中 也 展 示 了 两 种 位 置 时 间 的 欺 骗 攻 击 方 式 :   利 用 软 件 无 线 电 设 备 实 施   G P S   位 置 时 间 欺 骗 ， 和 基 于 普 通 计 算 机 无 线 网 卡   W i F i   辅 助 定 位 系 统 的 位 置 欺 骗 ， i P h o n e 和 A p p l e   W a t c h 均 受 影 响 。         特 别 地 ， 我 们 发 现 基 于 W i F i 的 位 置 欺 骗 比 G P S 欺 骗 更 容 易 被 攻 击 者 利 用 ， 攻 击 者 甚 至 都 不 需 要 使 用 任 何 特 殊 的 硬 件 设 备 ， 只 需 要 一 部 普 通 的 笔 记 本 电 脑 ， 即 可 对 市 面 上 常 见 的 地 图 类 应 用 进 行 攻 击 。 这 将 会 给 地 图 位 置 信 息 提 供 商 带 来 较 大 的 安 全 挑 战 ， 例 如 应 对 位 置 数 据 采 集 过 程 中 的 防 投 毒 技 术 。 同 时 ， 随 着 室 内 定 位 技 术 的 逐 渐 成 熟 ， 室 内 定 位 基 站 大 规 模 部 署 之 后 ， 如 何 应 对 一 脉 相 承 的 位 置 安 全 问 题 ， 也 将 是 接 下 来 物 联 网 安 全 技 术 的 一 个 挑 战 。 1 . 5   通 信 系 统 及 其 基 础 设 施 安 全 性 长 期 不 够 重 视 通 信 系 统 及 其 基 础 设 施 安 全 性 长 期 不 够 重 视         通 信 系 统 及 其 基 础 设 施 是 物 联 网 的 基 石 与 骨 干 ， 但 在 万 物 互 联 的 时 代 里 ， 通 信 系 统 及 其 业 务 的 安 全 性 长 期 没 有 得 到 重 视 ， 间 接 危 害 物 联 网 设 备 的 安 全 。 2 0 1 5 年 披 露 了 多 起 涉 及 到 通 信 系 统 的 安 全 漏 洞 ， 相 信 之 后 对 通 信 系 统 和 基 础 设 施 的 攻 击 会 持 续 增 加 。   1 .     运 营 商 业 务 短 信 系 统 安 全 运 营 商 业 务 短 信 系 统 安 全         2 0 1 5 年 1 2 月 出 现 的 一 种 利 用 运 营 商 短 信 业 务 平 台 实 现 远 程 换 卡 的 诈 骗 手 法 。 据 报 道 ， “ 诈 骗 短 信 的 特 色 是 发 送 以   H K   开 头 的 一 串 指 令 ， 后 面 的 数 字 代 表 的 是 新 的   S I M   卡 卡 号 ， 当 用 户 根 据 短 信 提 醒 ， 回 复 退 订 指 令 至   1 0 0 8 6   后 ， 手 机 卡 就 可 能 落 入 犯 罪 分 子 手 里 ， 致 使 银 行 卡 、 或 支 付 账 户 资 金 被 盗 。 ” 目 前 在 运 营 商 的 业 务 受 理 系 统 中 ， 除 可 通 过 短 信 办 理 业 务 外 ， 还 有 电 话 拨 号 信 令 办 理 ， 这 些 业 务 受 理 系 统 大 部 分 是 从 有 线 电 话 时 代 继 承 下 来 的 ， 有 很 多 遗 留 问 题 。 2 .     通 信 基 站 设 备 安 全 通 信 基 站 设 备 安 全         2 0 1 5 年 第 一 季 度 ， 国 内 运 营 商 某 型 家 庭 基 站 被 发 现 了 多 枚 重 大 漏 洞 ， 可 导 致 用 户 的 短 信 、 通 话 、 数 据 流 量 被 窃 听 。 恶 意 攻 击 者 可 以 在 免 费 申 领 一 台 设 备 之 后 ， 迅 速 地 将 其 改 造 成 伪 基 站 短 信 群 发 器 和 流 量 嗅 探 器 ， 影 响 公 众 的 通 信 安 全 。 传 统 通 信 厂 商 以 物 理 隔 离 为 主 的 安 全 策 略 ， 在 通 信 网 核 心 设 备 I P 化 的 趋 势 下 ， 面 临 着 较 大 的 挑 战 。 3 .     V o L T E 业 务 漏 洞 成 为 另 一 个 攻 击 平 台 业 务 漏 洞 成 为 另 一 个 攻 击 平 台         运 营 商 正 在 大 力 推 进 部 署 的 高 清 语 音 V o L T E 业 务 ， 给 用 户 带 来 了 更 好 的 通 话 体 验 ， 更 短 的 接 通 时 间 ， 同 时 逐 步 替 换 掉 原 有 的 短 信
业 务 。 但 是 V o L T E 业 务 背 后 所 依 赖 的 S I P 协 议 ， 给 安 全 研 究 者 们 提 供 了 又 一 个 新 的 攻 击 面 。 韩 国 K A I S T 研 究 团 队 在 2 0 1 5 年 1 0 月 发 布 了 他 们 对 于 当 地 V o L T E 业 务 的 分 析 报 告 ， 找 到 了 当 地 运 营 商 的 V o L T E 业 务 漏 洞 。 4 .     4 G L T E 安 全 性 还 待 考 验 安 全 性 还 待 考 验         虽 然 4 G 业 务 相 对 于 2 G 在 安 全 方 面 有 了 较 大 的 提 升 ， 伪 基 站 在 4 G 业 务 中 基 本 得 到 了 杜 绝 ， 但 是 L T E 的 信 令 中 ， 仍 然 存 在 着 一 些 没 有 被 考 虑 到 的 安 全 风 险 。 例 如 在 今 年 1 1 月 位 于 荷 兰 举 办 的 B l a c k h a t 大 会 中 ， 来 自 赫 尔 辛 基 大 学 的 研 究 团 队 ， 演 示 了 如 何 使 用 L T E 的 信 令 泄 漏 出 来 的 信 息 ， 对 小 区 范 围 内 的 用 户 进 行 跟 踪 。 5 .     U S I M 卡 安 全 密 钥 可 提 取 卡 安 全 密 钥 可 提 取         目 前 已 经 有 团 队 可 以 实 现 对 于 4 G   U S I M 卡 的 密 钥 进 行 提 取 。 4 G   U S I M 卡 在 当 前 的 互 联 网 生 活 中 ， 处 于 较 为 重 要 的 安 全 中 心 的 位 置 上 ， 一 旦 U S I M 卡 的 安 全 被 攻 破 ， 将 会 给 支 付 、 通 信 、 账 号 体 系 带 来 巨 大 的 冲 击 。 第 三 章 第 三 章   物 联 网 安 全 未 来 发 展 趋 势 物 联 网 安 全 未 来 发 展 趋 势 1 .   物 联 网 的 业 务 安 全 会 成 为 新 的 安 全 威 胁 方 向 物 联 网 的 业 务 安 全 会 成 为 新 的 安 全 威 胁 方 向         人 类 对 世 界 的 了 解 ， 会 随 着 智 能 设 备 和 传 感 器 的 互 联 不 断 延 伸 和 增 长 ， 而 相 应 的 其 业 务 和 数 据 也 会 不 断 增 加 。 根 据 调 查 ， 9 0 % 的 数 据 从 未 被 分 析 或 采 取 任 何 安 全 措 施 。 毫 无 疑 问 ， 利 益 最 大 化 的 黑 客 会 把 目 标 瞄 准 新 的 战 场 ， 即 物 联 网 设 备 上 的 业 务 安 全 。         物 联 网 各 种 业 务 上 产 生 的 数 据 如 个 人 识 别 信 息 ， 医 疗 记 录 ， 用 户 账 户 数 据 ， O 2 O 业 务 交 易 信 息 等 将 对 生 活 、 工 作 、 娱 乐 、 甚 至 个 体 产 生 极 大 的 关 联 和 影 响 。 但 设 备 在 接 入 、 传 输 、 存 储 等 各 环 节 缺 少 正 常 的 安 全 防 控 ， 甚 至 缺 乏 基 本 的 安 全 考 虑 。         网 络 安 全 领 域 很 多 典 型 防 控 措 施 如 分 隔 、 域 、 安 全 服 务 最 小 化 等 已 经 不 能 完 全 适 应 物 联 网 带 来 的 安 全 新 挑 战 ， 对 有 价 值 的 业 务 的 精 确 管 控 和 持 续 防 护 ， 才 是 确 保 企 业 和 用 户 安 全 的 关 键 因 素 。 2 .   W e b   o f   T h i n g s （ （ W o T ） 安 全 将 是 物 联 网 技 术 趋 势 的 重 要 一 环 ） 安 全 将 是 物 联 网 技 术 趋 势 的 重 要 一 环         物 联 网 的 发 展 将 聚 焦 在 A d v a n c e d S e n s o r   F u s i o n 与 P h y s i c a l - W o r l d   W e b 层 面 ， 这 二 个 层 面 简 单 来 说 ， 就 是 W o T 。 根 据 维 基 百 科 上 的 定 义 ， W o T 是 物 联 网 的 A p p l i c a t i o n   L a y e r ， 并 且 是 使 用 W e b   技 术 来 打 造 A p p l i c a t i o n 。 简 单 来 说 物 联 网 +   W e b - e n a b l e d t e c h n o l o g i e s 就 是 W o T 。 对 W o T 来 说 就 是 以 U R L 来 表 示 物 联 网 装 置 ： 图 6   移 动 设 备 上 使 用 W e b 前 端 通 过 云 中 转 来 访 问 设 备         而 基 于 W e b 的 传 统 安 全 攻 击 手 段 ， 如 S Q L   i n j e c t i o n ,   X S S ,   C o m m a n d   E x e c 等 都 会 在 W o T 上 继 续 存 在 ， 并 由 于 防 护 机 制 的 薄 弱 ， 更 容 易 受 到 攻 击 ， 显 而 易 见 W o T 的 安 全 防 护 需 要 成 为 物 联 网 安 全 中 的 重 要 一 环 。
3 .   加 密 算 法 的 硬 件 化 加 密 算 法 的 硬 件 化         加 密 是 保 证 通 讯 不 被 篡 改 的 关 键 ， 将 加 密 算 法 固 化 在 一 个 专 用 的 芯 片 或 使 用 芯 片 内 部 的 专 用 控 制 器 ， 这 种 方 式 可 有 效 避 免 因 为 通 过 软 件 计 算 而 导 致 的 K e y 泄 露 。 加 上 硬 件 成 本 越 来 越 低 ， 以 及 芯 片 厂 商 在 设 计 芯 片 时 本 身 的 安 全 性 考 虑 ， 这 样 的 趋 势 后 续 会 明 显 起 来 。 而 设 备 厂 商 是 否 可 以 让 这 些 新 技 术 无 缝 融 合 到 产 品 中 ， 也 是 产 品 是 否 安 全 的 关 键 。 4 .   认 证 的 标 准 化 认 证 的 标 准 化         专 用 的 、 安 全 的 认 证 协 议 会 逐 渐 取 代 目 前 仅 从 功 能 实 现 考 虑 的 简 单 协 议 ， 相 信 安 全 性 会 得 到 整 体 提 升 。 点 击 下 方 “ 阅 读 原 文 阅 读 原 文 ” ， 下 载 p d f 版 《 2 0 1 5 物 联 网 安 全 年 报 》 。 ↓   ↓   ↓ 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理