互聯網不再僅僅只能從你的筆記本電腦或移動電話進行訪問了;現在的電視機，嬰兒監護器，烤箱和甚至是汽車零件都能訪問互聯網。越來越多地嵌入式醫療器械等醫療健康設備也都可以隨時訪問互聯網。可以說現階段互聯網是無處不在的，這一趨勢將使得物聯網(IOT)得以保持持續地增長。

不幸的是，這種不斷發展的技術會使得安全問題也同樣大幅增長。上個月，在Black Hat和Defcon的安全會議上的多個演示文稿中，就強調了各種物聯網設備的弱點。盡管還額外出現了其他物聯網安全挑戰的重點，如OWASP物聯網安全的幾條重要信息，總體看起來，在物聯網領域未來將仍然是一場艱苦的戰斗。

缺乏更新將會是物聯網的阿喀琉斯之踵

無效或沒有計劃，將成為物聯網部署安全更新的最大障礙。現實情況是，漏洞會隨時出現在任何代碼中。我們認為在整個設計和開發周期中都會有著較少的安全問題存在。然而，所有的軟件廠商必須要能隨時準備快速地響應漏洞，并發布補丁，以保護他們的用戶。

我們必須從過去的失敗中汲取教訓

沒有實際的修補計劃所帶來的影響，如今可以直接從iOS和Android上觀察得到。兩者都運用大量的安全資源，由有才華的開發團隊來開發這些操作系統，當安全問題被發現時，兩者也都能迅速做出補丁加以修正。蘋果發布的補丁可直接通過iOS的更新向用戶分發，但是Android設備的補丁必須通過設備制造商和網絡運營商來進行發布，所以這其間一定會造成大量的時間延誤。其可能出現的結果是，Android設備可能數月或數年都無法接收重要的補丁。據統計，小于18%的Android設備在運行最新的Android版本，82%的設備都缺少關鍵的安全更新。

今天的激勵模式阻礙了物聯網補丁的發布

讓我們想象一個安全漏洞被發現的物聯網烤箱，冰箱，或嬰兒監視器，而且這些設備都是您最近購買的。它們會及時發布補丁以解決這一問題么?讓我們看一下各方的激勵模式。

制造商方面：

•極力想讓產品銷售出去

•產品要包括物聯網連接的功能 – 即使這并不是他們的專業領域

•產品的市場因素帶動產品的銷售

顧客方面：

•主要目的是希望設備能正常工作

•認為能進行物聯網連接是一個很好的功能

•大多數不想使用“固定”的模式

犯罪組織方面：

•希望設備能在其控制下成為僵尸網絡并進行分布式攻擊

•想保持隱藏，不影響設備性能，這樣不被察覺，他們的惡意軟件也就不會被消除

如果我們對上述因素進行評估，我們可以看到物聯網設備修補漏洞對廠商來說具有非常低的優先級。犯罪組織會利用目前設備上一些已經過時的漏洞。如果犯罪組織足夠狡猾，他們會在系統后臺運行其惡意代碼，而不影響設備的整體性能。這意味著顧客不會察覺到惡意軟件的存在，并且該安全漏洞也不會被顧客反饋至制造商那里去。因此，如果該設備的評價沒有負面的安全漏洞影響，制造商將沒有動機對其進行補丁修補。

物聯網的漏洞將影響很多受害者

雖然制造商可以不急于修復這些漏洞，但其潛在的危險還是很大的。

1、物聯網設備的所有者

客戶將失去隱私。他們的私人數據會在其不知情的情況下被監視并出售。隨著物聯網的擴展，這些數據將變得更加多樣化，包括重要的健康數據，位置信息和家中的視頻流等等。

2、涉及整個Web上的應用程序

在物聯網上的所有Web應用程序也將處于危險之中。脆弱的物聯網設備將受到損害，并加入惡意僵尸網絡。這些受損的設備會發送垃圾郵件，拒絕提供安全服務，甚至能監視并獲得整個被盜網絡的數據。受害的網站將繼續攻擊其它不相關的網站和應用，惡意攻擊防御系統，并不斷擴大僵尸網絡。

進行有效的修補程序部署將會是一個大問題

設備的黑客絕大多數會被忽視，也不影響到設備的所有者。然而，一些安全漏洞會給顧客帶來嚴重的影響，這樣公眾便會要求提供補丁加以修正。但如何將這個補丁發布出來呢?

在這種情況下，制造商可能會爭相發布補丁。可是然后呢?如何修補實際受損失的設備呢?要求所有客戶重新啟動他們的烤箱，汽車，或心臟起搏器?或只將更新的軟件提供在實物產品的下一個版本上?這意味著客戶將繼續使用未打補丁的設備，直到他們買了一臺新的烤面包機，嬰兒監視器等。所以不幸的是，我們在物聯網安全方面，目前面臨的挑戰之一是，即使我們發布了一個補丁，也沒有有效的渠道能及時送達到大多數設備上。

我們怎樣才能做得更好?

我們有兩種方法可以使情況變得更好。

首先，我們需要通過努力使消費者改變激勵模式，這樣生產商將傾向于快速修補漏洞。這可以通過公開影響范圍廣泛的IoT安全漏洞來實現。也可以通過對物聯網安全性弱點內容的廣泛交流來完成。屢犯者要追究責任，消費者也應參與投票。我們還應該提倡積極安全的方法，來幫助建立強健和安全的物聯網設備。

其次，物聯網設備制造商必須為其產品中不可避免的安全漏洞做好準備。他們必須考慮設計和實施過程中的安全性，避免明顯的安全弱點。不過，他們也必須建立一個可用的修補模式，使設備升級時能首先完成必要的重要的安全升級。這也需要與用戶進行無縫的合作，并且可以滿足大多數的設備。

物聯網將很快融入我們的生活方式之中。如果我們從過去幾十年的互聯網和計算機安全中學會了什么的話，我們就應該積極主動地完成安全規劃。我們不可能為每一個新的漏洞或弱點做好準備。但是，我們必須設計具有能確保用戶數據安全的、可以快速部署新代碼能力的物聯網設備。否則，物聯網可能變成僵尸網絡的物聯網。