今年的央視“3·15”晚會上，智能硬件以及智能家居的安全性問題被曝光。這次晚會，一共曝光了6類智能硬件或者與技術相關的產(chǎn)品，包括無人機、智能樓宇、智能家居、安防攝像頭、刷卡POS機以及智能汽車等。
一時間，智能硬件和智能家居的安全問題成為了大眾關心的焦點。“3·15”晚會所傳達的信息并非“拒絕智能硬件”，而是“風險預警”，提醒消費者更多關心硬件產(chǎn)品的安全漏洞，提高自身防范能力。
業(yè)內(nèi)專家表示，風險是必然的，安全只是相對的，但是智能硬件、智能家居乃至未來物聯(lián)網(wǎng)的發(fā)展不可因噎廢食，必須在“矛與盾”的博弈中不斷前進。
危險正在悄然而至
央視“3·15”晚會上所曝光的智能硬件與智能家居的諸多問題正在向人們警示：安全風險正在悄然而至。
“這個型號的無人機存在安全漏洞，攻擊者可以遠程接管無人機，機主完全不知道”，央視“3·15”晚會上，播出了國內(nèi)著名白帽子(白帽子是指專門幫助企業(yè)發(fā)現(xiàn)漏洞，彌補漏洞的黑客)機構KEEN Team成員、安全專家宋宇昊展示如何控制一臺大疆無人機的過程。在視頻中，被攻擊的無人機無論機主怎樣操作，無人機都不聽使喚。
3月21日，筆者通過宋宇昊了解到，在GeekPwn黑客大賽的無人機分類中，大疆無人機屬于攻破難度最高的項目。此次攻擊利用了遙控器與無人機之間的射頻通訊協(xié)議的漏洞，使無人機忽略真實遙控器的射頻信號，而接收處理攻擊者發(fā)出的射頻信號。
筆者就此事與大疆方面取得了聯(lián)系。據(jù)了解，大疆在央視“3·15”晚會節(jié)目播出之后就迅速發(fā)表了聲明，按照該聲明的說法，“大疆在數(shù)月前即通過固件升級的方式將這一潛在安全漏洞予以解決……目前大疆各型號無人機產(chǎn)品的用戶，只要確保固件及時升級至最新版本，可以消除這一隱患。”
其實，不僅僅是無人機，人們?nèi)粘Ｊ褂玫闹悄苁謾C、智能硬件、智能家居等都存在被攻擊的風險。3月18日，以色列軟件研究公司NorthBit發(fā)布報告稱，在Android系統(tǒng)中又發(fā)現(xiàn)一處安全漏洞，可導致2.75億部設備遭到黑客攻擊。其實，智能硬件、智能家居的安全漏洞也是如此，都有可能被惡意攻擊。而在Pwn0rama亞太手機安全破解挑戰(zhàn)賽上，中國安全工程師龔廣分別用了10余秒便接連攻破谷歌Nexus 6P、三星Galaxy Note 5、LG G4三款熱門手機。
物聯(lián)網(wǎng)行業(yè)專家楊劍勇介紹稱，目前可穿戴設備、智能家居、智能汽車等領域，各大科技公司及創(chuàng)新型創(chuàng)業(yè)公司都在爭相進入，但事實上進入此領域的大部分創(chuàng)業(yè)型公司技術水平有限，存在部分廠商不重視安全隱患的現(xiàn)象。
事實上，大量創(chuàng)業(yè)公司所謂的智能產(chǎn)品都僅僅只是加上了WiFi模塊，這種方式雖然給用戶帶來了方便，但也造成了極大的風險。黑客可以通過安卓手機上的安全漏洞倒過來控制智能硬件和智能家居產(chǎn)品，造成更大的威脅。
代號為“linso”的白帽子黑客介紹，大多數(shù)攻擊都是從WiFi網(wǎng)絡下手，掌控了局域網(wǎng)，就掌控了網(wǎng)絡中所有的連接設備，包括手機、平板、電腦、電視、臺燈、電扇、咖啡機甚至智能汽車。2014年的溫州有線電視臺被黑，去年Black Hat大賽上展示過的遠程控制吉普汽車，還有GeekPwn技術大賽上展示的“手環(huán)虐狗”“空轉洗衣機”其實都是如此。
不存在絕對的安全
正如“3·15”晚會上主持人所說的，“從技術上來講，這個世界上沒有絕對的安全。”宋宇昊也告訴筆者，絕對安全是不存在的，任何產(chǎn)品都無法避免漏洞，只要有漏洞的存在，就有攻擊的機會。
白帽子黑客“linso”對“不存在絕對的安全”這一說法表示認同，在他看來，“沒有絕對的安全，否則也就沒有白帽子的飯碗了”，只能不斷地發(fā)現(xiàn)漏洞，在各個傳輸點加密確保設備的高度安全。
筆者從360相關工作人員處證實了這一說法。當筆者問及360的諸多智能設備，如兒童智能手表、家庭攝像頭、安全路由器等智能硬件產(chǎn)品會不會存在被黑客攻克的風險時，360公關部門工作人員坦承，目前智能硬件產(chǎn)品上都運行著軟件程序，也需要聯(lián)網(wǎng)進行數(shù)據(jù)通信，因此可以看作類似智能手機的另外一種終端，當然也會存在被黑客攻擊的風險。
未來隨著智能設備的普及，一個小漏洞可能就會造成十分嚴重的后果。也正是如此，就需要智能設備廠商將性能與安全統(tǒng)一協(xié)調起來進行生產(chǎn)和設計。事實上，面對諸多安全隱患，不少智能設備生產(chǎn)廠商和安全廠商已經(jīng)采取了相關技術措施，來防范這一問題。
大疆公關部門負責人馬慧表示，大疆已通過飛控系統(tǒng)精準定高和定位懸停、自動返航、敏感區(qū)域禁飛等功能，提高飛行的安全性，避免各種形式的安全隱患。而360公關部工作人員王蘭敏向筆者介紹，360智能硬件在服務器、數(shù)據(jù)、接口、傳播這四個層面上都采取了相關措施。針對“3·15”晚會談到的智能攝像頭遭攻擊被控制的問題，360智能攝像機相關工作人員張浩則解釋道，自家產(chǎn)品采用了雙向身份認證、數(shù)據(jù)加密傳輸以及用戶身份認證和視頻流傳輸認證分離的技術手段來保護用戶的隱私，能夠確保用戶安全。
在宋宇昊看來，將數(shù)據(jù)存儲在可靠的云端并對傳輸進行加密，可以提升信息傳輸?shù)陌踩?，減少傳輸漏洞。但是如果客戶端的設計和代碼質量不好，會有其他類型的漏洞，攻擊者可以用通訊劫持以外的方式進行攻擊。
對于用戶層面上該如何防范黑客攻擊時，白帽子黑客“linso”則認為，智能設備安全的主要責任在于廠商，用戶個人能做的相對較少。不過，用戶可以在挑選智能設備的時候選擇有良好聲譽的廠商，為設備配置復雜的密碼，定期及時更新設備的固件。這些方式可以有效地提高抵御攻擊風險的能力。
矛與盾的曲折博弈
“3·15”晚會的視頻中，宋宇昊說，沒有安全漏洞，是不可能存在安全隱患的，只要存在安全漏洞，都有可能被攻擊，小到智能設備，大到智能樓宇。宋宇昊從技術角度向筆者解釋，攻擊智能家居類產(chǎn)品是利用他們產(chǎn)品的漏洞來實施的，例如截獲不加密的通訊，逆向分析獲得代碼或固件中的驗證密碼，偽造身份欺騙不完善的驗證機制等等。
這次“3·15”晚會其實也給不少準備在智能家居領域乃至未來的物聯(lián)網(wǎng)大展拳腳的廠商提了個醒。智能家居和物聯(lián)網(wǎng)的概念雖然火熱，但其實暗藏風險。
“曾聽說過諸如用戶的攝像頭被控制，導致被偷窺等案例?？傮w而言，目前攻擊普通公眾的智能硬件和智能家居產(chǎn)品的實際案例比較少。”宋宇昊解釋，對于攻擊者而言，除了攻擊的技術可行之外，還要有利益驅動才會驅使他實施攻擊行為。目前智能領域剛剛興起，攻擊方還沒形成成熟的利益產(chǎn)業(yè)鏈，沒有利益驅使他們實施廣泛的攻擊。
不過，未來智能家居、物聯(lián)網(wǎng)時代也有可能會形成一定的利益關系，當黑客具有足夠的驅動力進行網(wǎng)絡攻擊時，造成的破壞可能會更大。除此之外，也不排除有極端分子不為經(jīng)濟利益，只為造成大范圍破壞的情況。也正是如此，相關廠商更應該把安全問題放在首位。
IT行業(yè)分析人士孫永杰認為，在智能硬件、智能家居、物聯(lián)網(wǎng)的大潮來臨之時，只有此類掌握了芯片、操作系統(tǒng)等核心技術的廠商才能在安全層面上做到最好，華為和阿里做的相對較好，不過整體而言，很多國產(chǎn)廠商在這一領域都較為薄弱。
企業(yè)維護產(chǎn)品安全和黑客進行攻擊這兩者之間是“矛與盾”的關系，也是“道高一尺，魔高一丈”的過程，終端廠商的安全能力也是在這種博弈過程之中不斷提高的。孫永杰認為，物聯(lián)網(wǎng)的大潮即將來臨，安全都是相對的，企業(yè)不可能因噎廢食，因為一些安全問題而放棄物聯(lián)網(wǎng)、智能家居的發(fā)展。實際上，物聯(lián)網(wǎng)、智能家居在發(fā)展的過程中也不可能存在絕對的安全。
京公網(wǎng)安備 11010502049343號