|
嵌入式軟件工程師在線培訓(xùn)_別讓物聯(lián)網(wǎng)裝置成為安全信息的漏洞!,
安全性在傳統(tǒng)企業(yè)網(wǎng)路上就已經(jīng)很難管理,現(xiàn)在又加上了各種大大(例如汽車)小。ɡ缇W(wǎng)路攝影機(jī)、嬰兒監(jiān)視器)的物聯(lián)網(wǎng)(IoT)裝置,而且打造這些裝置的廠商幾乎沒(méi)有網(wǎng)路安全意識(shí)。
連網(wǎng)裝置應(yīng)用領(lǐng)域從中央監(jiān)控系統(tǒng)(SCADA-systems)到消費(fèi)性電子產(chǎn)品,隨著研究人員陸續(xù)公開(kāi)重大缺陷,這些裝置的安全漏洞也在過(guò)去一年成為聚光燈焦點(diǎn)。有些受影響的產(chǎn)業(yè)第一次是透過(guò)所謂的“白帽”駭客,發(fā)現(xiàn)在汽車、心律調(diào)整器、道路交通系統(tǒng)、家庭自動(dòng)化系統(tǒng)以及飛機(jī)等產(chǎn)品的弱點(diǎn);而一個(gè)重大的轉(zhuǎn)變是,現(xiàn)在公共安全有一部分等同于上述那些產(chǎn)品。
有一些因?yàn)樘厥庥猛舅鋫涞墓δ軐?shí)際上成為安全漏洞,例如有目的的后門(intenTIonalbackdoors)、硬式編碼憑證 (hardcodedcredenTIals)、未加密的資料流量,以及與非關(guān)鍵系統(tǒng)位在同一個(gè)網(wǎng)路的關(guān)鍵系統(tǒng)。盡管在不久前于美國(guó)舉行的 BlackHatUSA以及DEFCON大會(huì)上,專家們已經(jīng)大力宣傳這些弱點(diǎn),很多安全漏洞都還未被修正且仍然脆弱。
為何不修補(bǔ)或是更新那些物連網(wǎng)裝置,或是把它們打造得更安全?要保護(hù)那些消費(fèi)性電子產(chǎn)品以及其他嵌入式系統(tǒng),還需要克服以下幾個(gè)大挑戰(zhàn):
1.通常沒(méi)有一致性或官方的軟體更新程序/機(jī)制
在Windows平臺(tái)裝置上的惡意軟體最后都會(huì)被發(fā)現(xiàn),但BeyondTrust技術(shù)長(zhǎng)MarcMaiffret表示,物聯(lián)網(wǎng)裝置內(nèi)部的“能見(jiàn)度”很低甚至是零:“誰(shuí)都看不見(jiàn)那些裝置內(nèi)有什么,如果有更新、也看不見(jiàn)其韌體的可信賴度。”
因?yàn)槟切┭b置很多是采用Linux架構(gòu)平臺(tái),Maiffret建議其軟體應(yīng)該要由一個(gè)開(kāi)放性社群來(lái)管理,以處理漏洞或是安全性更新;舉例來(lái)說(shuō),IP攝影機(jī)或是SAN儲(chǔ)存系統(tǒng)應(yīng)該要具備定期的Linux更新機(jī)制:“它們應(yīng)該要是開(kāi)放性的,如此才能真正被視為L(zhǎng)inux作業(yè)系統(tǒng)裝置,讓我們能建立安全機(jī)制并像其他Linux裝置一樣來(lái)管理。”
SolarWinds產(chǎn)品管理副總裁ChrisLaPoint表示,他自己擁有3支家用IP攝影機(jī),都不是執(zhí)行最新的韌體,也不清楚它們是否有漏洞:“甚至是大多數(shù)這類裝置的設(shè)定指令集、圍繞它們的安全控制配置以及修補(bǔ)程式…它們?cè)撊绾伪还芾??
2.很多消費(fèi)性產(chǎn)品以及其他非傳統(tǒng)性IT供應(yīng)商,對(duì)嵌入他們系統(tǒng)中的網(wǎng)路威脅了解很少或根本不了解
多數(shù)嵌入式裝置制造商與安全性技術(shù)社群之間的隔閡甚深,衛(wèi)星終端供應(yīng)商就是一個(gè)例子;IOAcTIve首席安全顧問(wèn) RubenSantamarta就發(fā)現(xiàn),那些裝置內(nèi)的硬式編碼密碼、后門以及不安全的通訊協(xié)議,可能會(huì)讓攻擊者入侵并中斷船舶、飛機(jī)與軍事設(shè)施的通訊連結(jié)。
Santamarta還發(fā)現(xiàn),那些受影響的設(shè)備供應(yīng)商根本沒(méi)有計(jì)畫來(lái)修補(bǔ)那些缺陷;有部分供應(yīng)商還堅(jiān)稱那些問(wèn)題不是漏洞,只是他們的產(chǎn)品中非必要的功能。IOAcTIve技術(shù)長(zhǎng)CesarCerrudo也有類似的經(jīng)驗(yàn),他所研究的智慧感測(cè)器制造商因?yàn)榭蛻粢蠖瞥搜b置中的加密;因?yàn)樯倭思用軝C(jī)制,裝置韌體能被偽造、也能被植入惡意軟體。
安全產(chǎn)業(yè)發(fā)起了IAmtheCavalry、BuildItSecure.ly等計(jì)畫,期望能拉近與嵌入式裝置制造商之間的距離,那些“白帽駭客”們也能協(xié)助并研究如何更妥善的保障產(chǎn)品安全。
3.裝置的安全性通常缺乏可負(fù)責(zé)者
SolarWinds的LaPoint表示,大多數(shù)消費(fèi)性裝置的安全性該由誰(shuí)來(lái)負(fù)責(zé),往往沒(méi)有清楚的權(quán)限劃分:“你問(wèn)裝置制造商,他們也會(huì)說(shuō)不知道;他們幾乎不會(huì)想到這個(gè)問(wèn)題。”
有些廠商只是透過(guò)官方網(wǎng)站發(fā)布韌體更新,而且端看消費(fèi)者或使用者自己要不要下載安裝更新:“有的安裝更新只有簡(jiǎn)單說(shuō)明,例如只告訴你要用USB纜線連結(jié);我不認(rèn)為裝置制造商認(rèn)為他們應(yīng)該要負(fù)責(zé)維護(hù)裝置的安全性!
4.許多裝置所配置或因特殊用途而建立的功能實(shí)際等同于安全漏洞
許多物連網(wǎng)裝置與IT系統(tǒng)是在同一個(gè)網(wǎng)路上;“這些裝置是不是總有一天會(huì)成為把其他東西送進(jìn)我的網(wǎng)路的橋梁?”LaPoint表示:“如果有人透過(guò)我的網(wǎng)路攝影機(jī)看見(jiàn)我在家里穿著內(nèi)褲跑來(lái)跑去,這很不妙;而如果他們收集我的個(gè)資或其他在相同網(wǎng)路上的設(shè)備資訊,那又該怎么辦?”他說(shuō),關(guān)鍵在于將這些消費(fèi)性連網(wǎng)裝置與同一網(wǎng)路上擁有敏感資料的系統(tǒng)分開(kāi)。
物聯(lián)網(wǎng)對(duì)企業(yè)來(lái)說(shuō)是一個(gè)新挑戰(zhàn),至少有許多方法能在那些裝置一旦被定義時(shí),為其添加安全措施;安全專家指出,物聯(lián)網(wǎng)裝置的數(shù)量將會(huì)是我們前所未見(jiàn),評(píng)估并具備了解網(wǎng)路所傳遞的流量來(lái)自何處的能力,以及能追蹤它們并關(guān)閉的能力,是企業(yè)關(guān)鍵必備的。 |
|