智能硬件安全漏洞頻出 物聯網安全如何保障？

　　附一張2015年3月份后廠村附近已經被共享的WiFi熱點分布圖，相信今年隨著更多互聯網公司入駐，后廠村的共享WiFi熱點又更加壯觀了。

　　工控物聯網事關國家安全

　　家用物聯網設備，或者所謂智能硬件設備的安全性，之所有大家開始關注，是因為消費級市場開始增長，與個人的關系越來越密切。但消費級智能產品的安全性只是冰山一角，更重要的、甚至涉及國計民生的，是工業物聯網的安全性。

　　匡恩網絡首席戰略官孫一桉曾參與網信辦及公安部對全國工業系統基礎設施網絡安全檢查。孫一桉稱，檢查中這些單位的安全狀況可以用“觸目驚心”來形容。孫一桉稱，在2014年的一次檢查中，可以說“你想到的問題他們有，你想不到的他們也有，跟我們生活息息相關的幾樣東西也有，像燃氣、電、水，因為水和燃氣現在很多時候都是智能化的，以后都有無線控制，而無線是公開，誰都可以攻入并破壞。”

　　即便如此，進入公眾視野的工控物聯網安全事件也少得可憐。因為國內很多企業并不愿意對外披露這種事件，這也造成國內對這種工控領域的網絡安全事件感知幾乎為零。迄今為止，對外報道的絕大多數還是國外的網絡安全事件。

　　數據顯示，工控網絡安全事件在近幾年呈現穩步增長的趨勢，2015年被ICS-CERT(美國工控系統網絡應急響應小組)收錄的攻擊事件達到295件。其中，2016年4月底，德國貢德雷明根核電站B機組一臺電腦的操作系統中發現了病毒。2016年1月底，以色列國家電網遭受大規模網絡攻擊。2016年1月，烏克蘭最大的機場遭受網絡攻擊。2015年12月，黑客入侵烏克蘭電網，造成多個地區停電，在嚴冬季度導致約140萬個家庭無電可用。2014年底，韓國核電站遭黑客攻擊致使文件資料外泄。2010年9月，伊朗約3萬個網絡終端感染“震網”病毒，病毒給伊朗布什爾核電站造成嚴重影響，并導致放射性物質泄漏。

　　由于涉及國計民生，工控網絡安全領域正在成為反恐的新戰場。

　　據了解，2016年3月，美國國防部長卡特首次承認，美國使用網絡手段攻擊了敘利亞ISIS組織。在2015年5月，美國商務部提交了新的出口限制禁令，將未公開的軟件漏洞代碼視為潛在武器。同時，美國還公布了《瓦森納協定》修改草案，其中涉及把限制黑客技術放入全球武器貿易的條約，新規則規定美國企業或個人向境外廠商報告漏洞情況是一種出口行為，需預先申請政府許可，否則將被視為非法。之前烏克蘭、伊朗、韓國等國家基礎設施受到的攻擊，也被認為背后有別的國家支持有關。據孫一桉透露，僅西門子某工業設備上的一個漏洞，在黑產鏈上的交易價格就高達幾十萬歐元。

　協同合作是物聯網安全的出路?

　　黑客老鷹(萬濤)的公司專門搭建了一個別墅級智能硬件專區。在這里可以深度體驗國內外的智能硬件產品，當然也可以研究智能硬件的安全性，并給廠商提供相關安全建議。有一天，黑客老鷹發現他掛在公網上的一個Broadlink插座突然被關機了。這也說明，Broadlink的這款插座，已經被黑客破解。單一的事件有時不能說明問題，但Broadlink的數據顯示，僅2015年，其WiFi智能模塊的出貨量就超過500萬片，其服務超過200家企業，包括家電、電工以及智能硬件行業，真實聯網設備超過8百萬臺。與之規模相當，另一家模塊廠商慶科，2015年出貨量也有500萬片，超過300多家國內廠商使用了其模塊。今年上半年其出貨量呈現明顯增長勢頭，半年的時間出貨量就達300萬片，國內300多家設備廠商的支持。

　　當某個品牌WiFi模塊的安全漏洞被黑客大規模利用后，破壞的用戶數量足夠龐大，這種消費級的安全問題就會上升到國家戰略安全層面。還好，Broadlink表示，那個漏洞后來已經被修補。為了增強模塊的安全性，Broadlink同時也與360、Geekpwn、烏云等在安全領域有所合作。

　　5月份，360發布了一個《國內智能家庭攝像頭安全狀況評估報告》，報告顯示，國內市場上近80%的攝像頭存在安全設計缺陷，黑客只要稍加操作，就可以將用戶的家庭隱私生活同步放到網上直播。

　　在今年的ISC互聯網安全大會上，浙江大學徐文淵教授與360汽車安全實驗室也展示了利用環境感知，欺騙自動駕駛汽車的案例。通過攻擊自動駕駛汽車上的超聲波傳感器、毫米波雷達、前置高清攝像頭，造成自動駕駛系統判斷上的錯誤。攻擊成功之后，汽車前面的障礙物能夠對傳感器隱身，或者讓傳感器認為汽車前面有“障礙物”，造成汽車緊急剎車等等，這些攻擊手段如果用于實際，對人身安全會產生嚴重威脅。

　　奇虎360總裁兼360企業安全集團CEO齊向東表示，這一個個的真實案例說明，物聯網現在幾乎所有方面都有迫切需要解決的安全問題。任何事物發展一開始都或多或少存在一些缺陷，現階段企業做的基本是把電子產品聯到網上，很多還沒有考慮到安全的問題。隨著越來越多設備聯網，要不斷教育用戶在有相關的安全意識，用戶的需求才是推動物聯網整體向前發展的源動力。目前國內有些安全團隊在做一些智能硬件的安全測試及公開破解演示，也是為了吸引眼球并教育公眾，推動整個行業在安全方面不斷完善。齊向東認為，在萬物互聯的時候，原來傳統的安全防邊界搞隔離的路子，已經無法適應現在的要求。因此需要用大數據的方法來解決萬物互聯時代的安全問題。

　　齊向東表示，現在已經是數據驅動安全。能不能找到網絡攻擊者就取決于我們是否擁有全面的數據。在網絡安全方面，如果單一地來看自己網絡里面的數據，可能發現80%的問題，但是沒有辦法徹底根除網絡攻擊者，因為另外剩下的20%數據不在自己的網絡里，可能在其他企業的網絡里，也可能在政府部門，也可能在國外的某個機構的數據里。這時候就需要協同和聯動。通過數據的協同聯動，能夠拿到更多的情報和數據，才能解決真正的安全問題。齊向東稱，能拿到更多的數據，才能真正解決安全問題，所有未來的網絡安全趨勢，技術的發展方向也是來源于此。

　　安全圈里流行著這樣一句略帶調侃的話：世界上只有兩種人，一種是知道自己被黑了的，另外一種是被黑了還不知道的。也就是說，幾乎人人都會遇到網絡安全問題。值得欣慰的是，隨著國家層面的推進，在國計民生領域，全國各地各部委和企業積極響應，針對全國關鍵信息基礎設施網絡安全保護開展的全局性、基礎性工作。在消費級領域，國內外的安全公司也在通過教育和協同聯動，保護用戶的設備和個人信息安全。

　　如果你在購買智能硬件設備前，能夠再多問商家一句其在設備安全方面做了哪些投入，相信也能提升整個物聯網行業的安全水平。