美國多位享有盛名的計算機安全專家最近對國會提出警告:低安全性的物聯網設備的增多將導致人身和財產風險,政府必須對此采取行動。
十月份爆發了一次大規模的DDoS攻擊,互聯網設備提供商Dyn和美國東部大量的用戶的網絡癱瘓。哈佛大學的著名安全學者、公共政策學講師布魯斯·施奈爾在眾議院能源和商務委員會的聽證會上宣稱這次攻擊“相對溫和”,理由是沒有人傷亡,但是,他警告說,借助網絡攝像頭、攝像機、嬰兒監視器等設備形成僵尸網絡而發動的這次攻擊,為我們揭示了物聯網設備背后的“災難性風險”。
更有甚者,應用于醫院或電臺和通風系統管理的電腦同樣是低安全設備。這簡直令人毛骨悚然,政府必須介入來解決這個“市場失靈”。
制造商沒有什么動力來優先考量物聯網產品的安全性,這致使問題持續惡化。縱使消費者想知道哪個牌子的恒溫器更安全,他們也找不到任何指標和評級以供參考。
Dyn等關鍵系統在網絡攻擊面前脆弱不堪,因此政府無疑應當有所作為。然而,華盛頓仍在激烈討論具體措施和細節,只有在總統唐納德·特朗普上臺后才有望定下方案。美國商會和消費者技術協會等商業組織則認為,物聯網設備上的新規定可能會阻礙創新。
施奈爾認為,需要成立一個新的機構來負責制定和推行網絡安全制度。這可能不太現實,特朗普已經公開承諾放開制度限制,而共和黨也一向反對擴大政府權力。施奈爾警告議員們,一旦發生災難性事件,驚惶的民眾將向政府問責。
風險究竟有多高?密歇根計算機科學和工程教授傅佳偉用兩個詞形容:“驚人”、“漸增”。他指出:風險不僅僅在于物聯網設備被用于醫院等可能招致嚴重后果的敏感區域,更重要的是,數以百萬計的設備可以被黑客構建成碩大的僵尸網絡,在僵尸電腦大軍面前所有被盯上的機構都難以抵抗。
傅佳偉也在眾議院聽證會上發布過這一論斷,他堅信若沒有“網絡衛生環境的重大改變”,我們就不能依靠網絡來建立關鍵系統。他建議政府促成一個獨立組織來監測物聯網設備的安全性。物聯網設備應當進行一系列測試,包括:售前測試(參考美國國家公路交通安全管理局在汽車上市前的碰撞測試)、災后測試(美國國家運輸安全委員會在車禍后所做的)以及“生存能力和抗毀測試”。
我們尚不知曉特朗普政府及下任國會是否會優先考慮物聯網風險問題,而在此期間政府是否可以先采取些行動?上個月,美國國國土安全部發布了“物聯網保護的戰略準則”。同一天,負責制定并出版多項技術領域的行業標準的國家標準與技術研究所發行了構建“防御和生存能力更強”的網絡連接系統的倡議書。
同時,無論是汽車設備、無人機配件、醫療裝置還是品類繁多的其他配件或系統,但凡接入網絡,就面臨著上述風險。因此,對物聯網設備的集中監管機構必須成立,正如施奈爾所言:“我們不能因為電子設備裝有輪子或螺旋槳、用于通話或植入人體,就區別對待。”