技術(shù)宅

隨著物聯(lián)網(wǎng)的發(fā)展，每個家庭配置的物聯(lián)網(wǎng)設(shè)備越來越多，小到手表、攝像頭，大到家里的冰箱、洗衣機，甚至智能汽車，這些設(shè)備都可以通過網(wǎng)絡(luò)實現(xiàn)互聯(lián)互通。不過這些設(shè)備在帶給我們便利的同時也帶來了安全隱患，因為黑客們也可以通過物聯(lián)網(wǎng)入侵我們的設(shè)備。

并非遙不可及 IoT攻擊在你我身邊

上述介紹的手表、攝像頭、智能汽車等設(shè)備，我們統(tǒng)稱為IoT設(shè)備。IoT是“Internet of things”的簡稱，顧名思義就是物物相連的互聯(lián)網(wǎng)，基于該網(wǎng)絡(luò)連接的設(shè)備則為IoT設(shè)備。也許很多人并不了解IoT，但是近來針對IoT設(shè)備進行攻擊的案例卻很多。根據(jù)一項統(tǒng)計，僅僅在2016年下半年就有高達1.2Tbps流量的DDoS攻擊、250萬個IoT僵尸大軍，5億個IP發(fā)動DNS查詢請求，全球75家大型影音、社交網(wǎng)站淪陷，近百萬臺德國電信家用路由器停擺。據(jù)網(wǎng)絡(luò)安全公司Corero于2017年11月底發(fā)布的一份報告，宣稱2017上半年的DDoS攻擊數(shù)量增加一倍，起因亦是IoT所致。物聯(lián)網(wǎng)研究機構(gòu)IoT Institute采訪了多位物聯(lián)網(wǎng)安全專家，表示2018年IoT攻擊呈越來越上升的趨勢，并且很多攻擊將無法探測。

2017年6月，中央電視臺的《每周質(zhì)量報告》就曝光大量家庭攝像頭遭入侵，掃描軟件輕松獲取IP地址。這樣你在家里的一舉一動就會被“現(xiàn)場直播”到網(wǎng)絡(luò)，讓人幾乎沒有隱私可言（圖1）。

當(dāng)然在常見的IoT設(shè)備中，并不僅僅是攝像頭泄密，像掃地機器人、智能手環(huán)、共享單車，甚至無人駕駛汽車等等，這些設(shè)備都有可能被大量黑客入侵，導(dǎo)致用戶隱私泄露。針對IoT的攻擊已經(jīng)時刻存在你我身邊（圖2）。

IoT設(shè)備是這樣被攻克——IoT攻擊解密

如上所述，現(xiàn)在已經(jīng)有很多IoT設(shè)備被黑客攻擊，那么這些黑客是怎樣入侵我們的IoT設(shè)備的呢？

先來了解一下IoT設(shè)備的工作原理，這里以家庭常見的網(wǎng)絡(luò)攝像頭為例。攝像頭通過Wi-Fi連接到互聯(lián)網(wǎng)，并將影像傳輸?shù)骄W(wǎng)絡(luò)。手機通過安裝的APP，在APP中完成用戶注冊和驗證，這樣APP可以通過特定的端口連接到指定的網(wǎng)絡(luò)服務(wù)器，通過服務(wù)器查看攝像頭的實時影像，這就是一個物聯(lián)網(wǎng)設(shè)備的典型應(yīng)用（圖3）。

顯然在上述的連接中，只要黑客們知道連接的端口和設(shè)備的IP地址，再借助攝像頭連接的弱密碼，他們就可以通過網(wǎng)絡(luò)看到攝像頭的影像，從而導(dǎo)致個人隱私的泄露。在實際的攝像頭入侵案例中，黑客們也正是通過很多非法掃描軟件，借助這些掃描軟件獲取攝像頭的IP地址，接著依靠掃描器，用一些弱口令密碼做大范圍的掃描，最終通過獲得的弱口令密碼來實現(xiàn)對攝像頭的入侵（圖4）。

實際上IoT設(shè)備通過網(wǎng)絡(luò)連接到互聯(lián)網(wǎng)后，這些設(shè)備的驗證、運行方式幾乎和我們常用的電腦并沒有什么大的不同。黑客們平時通過各種黑客工具針對電腦的攻擊，通過簡單的改造就可以移植到針對IoT設(shè)備的攻擊。

因此除了上述掃描端口攻擊外，隨著IoT設(shè)備的增多，黑客們還有很多攻擊手段，僵尸網(wǎng)絡(luò)（一般由物聯(lián)網(wǎng)設(shè)備打造的僵尸網(wǎng)絡(luò)稱做ThingBots）攻擊便是一種。ThingBots是由不同種類的設(shè)備組成，它們都是互聯(lián)互通的。黑客們在網(wǎng)上激活這些設(shè)備后，就可以通過它們來進行僵尸網(wǎng)絡(luò)攻擊，通過IoT設(shè)備來發(fā)送大量的垃圾郵件或者信息（圖5）。

此外還有諸如中間人攻擊（黑客通過在兩個獨立系統(tǒng)中間，進行安全數(shù)據(jù)竊取與破壞）、身份認(rèn)證（黑客通過身份盜取來進行對loT設(shè)備的攻擊，盜取共享單車的認(rèn)證，實現(xiàn)他人騎車你付賬）、拒絕服務(wù)（黑客通過分布式拒絕服務(wù)DDoS攻擊，大量惡意系統(tǒng)攻擊同一個目標(biāo)，從而導(dǎo)致loT設(shè)備服務(wù)商癱瘓，給廣大用戶帶來不便）等等（圖6）。

小心無大錯 如何避免自己的IoT設(shè)備被入侵

通過上述介紹可以知道，現(xiàn)在很多IoT設(shè)備都有漏洞，那么在日常使用這些IoT設(shè)備時該怎樣進行自我保護？

IoT設(shè)備要盡量從正規(guī)渠道購買，這樣可以防止買到暗藏后門或者惡意軟件的IoT設(shè)備。其次對設(shè)備的初始驗證密碼進行更改，盡量設(shè)置復(fù)雜的驗證密碼，同時要及時升級官方固件，像小米攝像頭可以在APP端定期檢查固件升級（圖7）。

當(dāng)然作為IoT設(shè)備廠商，也應(yīng)該針對自己的設(shè)備加強安全防護。針對IoT固件的防護，從源頭入手，通過對IoT設(shè)備上運行的程序進行深入保護，在發(fā)現(xiàn)Bug時及時推出升級固件，從底層加強對設(shè)備的保護。物聯(lián)網(wǎng)將我們的常用設(shè)備甚至信息都進行了互聯(lián)互通，這樣在提供了便利的同時也埋下了隱患。如何更好地保護我們的隱私和IoT的安全，無論是消費者和廠商都還有很長的路要走。endprint