物联网安全，是时候要更进一步了

现如今联网设备比以往任何时候都更安全，但这还远远不够。

层出不穷的消费电子产品、企业电话、打印机、网络设备、医疗设备以及关键基础设施的传感器和控制器都存在着“安全保护不足”的隐患，导致物联网安全危机也一直存在了很多年。到目前为止，每个行业都面临着沉重的负担，虽然新设备越来越多地配备了基本的安全保护，但这只是解决问题的最低标准。

工业控制安全公司 Dragos 的 Lesley Carhart 表示：“物联网设备对我们的生活有着广泛的影响，但人们很少考虑如何应对这些设备被滥用的情况。”

现如今物联网设备已经被大量应用到网络中，比如：国家侦察；被区块链黑客攻击；在攻击电网时被操纵。但通常情况下很难发现这些事件，也几乎无法在发生后进行调查。

制造商们越来越重视安全问题

硬件黑客通过购买不同的物联网设备，用不同的传感器和工具与设备进行物理连接，并评估这些系统如何相互配合，从而更好地了解设备并寻找缺陷。这种低层次的方法之所以有效，是因为物联网设备与一般只运行Windows、Linux或macOS的个人电脑不同，它们构建在各种不同的专有操作系统上。

因此，现阶段很难开发出一个能适配大量物联网设备的防病毒程序或全面扫描程序。

安全运营公司 Rapid7 的物联网研究主管 Deral Heiland 应用“硬件级分析”方法来开发新的物联网评估工具，他绘制了两个不同智能锁的电路布局图来检查设备主板上的芯片间通信，观察数据是如何在主设备处理器、Wi-Fi处理芯片和蓝牙低能耗芯片等组件之间流动的。

Heiland 发现了智能锁在处理芯片间通信以及将物联网设备连接到更大网络(如互联网)时，链接组件方面存在的一些弱点。通过捕捉互联芯片通信，Heiland 可以明确敏感信息认证密钥用于安全设备的情况，他希望最终能发布芯片间通信分析工具，帮助研究人员和制造商及早发现漏洞。

行业对物联网信息暴露的态度较好

网络安全公司高级研究员 Jimi Sebree 在 DerbyCon 大会上展示了 Arlo 网络摄像头在基站中修补漏洞的事项，他发现了诸如硬编码的身份验证凭证和网络错误配置等漏洞，这些漏洞可能会让攻击者控制摄像头。但他强调，披露和修复补丁发布过程进展顺利，让他对摄像头的安全性印象深刻。

Sebree 说：“就设备的实际攻击面而言， Arlo 网络摄像头处理得非常好，尽可能地将问题最小化。根据我们在这里的经验，很少有供应商会真正做出反击，整个行业对物联网信息披露的态度要好得多。”

Sebree 认为，现在面临的挑战是物联网安全发展的下一个阶段，能够对设备运行情况有更多的了解，并发现其中的漏洞。

不够安全的老一代物联网设备已达数十亿，它们嵌入基础设施导致物联网1.0的风险还需要几十年才能真正得到控制。正如 Rapid7 的 Heiland 指出，许多制造商仍然没有感到“需要改进”的压力，因为他们只是为其他品牌生产通用组件或整体设备，而不是销售自己企业的产品。

总的来说，物联网安全的发展似乎是“两步前进、一步后退”的慢过程，而如今终于要面临下一阶段的悬崖了。但是，不幸的是，它很可能会像上次“改变”一样让人望而生畏。

文章来源：WIRED

作者：Lily Hay Newman

编译：公众号“物联芯世界”（wlxsj-bw）