IoT，在早些年，這個(gè)還略微有些陌生的名詞，如今已經(jīng)走向了我們生活的方方面面，比如云端監(jiān)視器，網(wǎng)絡(luò)工控設(shè)備，衛(wèi)星天線設(shè)備等等。但是IoT安全也是一直令人困擾的一個(gè)問題，大部分的安全會(huì)議都會(huì)說到當(dāng)今的IoT安全現(xiàn)狀不容樂觀。
就在前兩天，Akamai安全實(shí)驗(yàn)室的研究人員就發(fā)表了一篇關(guān)于IoT的安全報(bào)告。Akamai的安全研究人員發(fā)現(xiàn)有很多的IoT設(shè)備在在網(wǎng)上有大規(guī)模的惡意流量。當(dāng)他們對(duì)這些IoT設(shè)備進(jìn)行檢測(cè)的時(shí)候發(fā)現(xiàn)黑客只是用了非常古老的一個(gè)OpenSSH漏洞就可以入侵全球大約兩百萬個(gè)IoT設(shè)備。
詳情
研究人員采集了目前在公網(wǎng)上所有的IoT設(shè)備后，得出以下類型的IoT設(shè)備受此漏洞此漏洞影響。
CCTV，NVR，DVR設(shè)備（視頻監(jiān)控設(shè)備）
衛(wèi)星天線設(shè)備
網(wǎng)絡(luò)設(shè)備（路由器，電纜控制器，ADSL調(diào)制解調(diào)器等）
可連接Internet的NAS設(shè)備（網(wǎng)絡(luò)連接存儲(chǔ)器等）
造成這個(gè)危害的原因主要是由于眾多的IoT設(shè)備未對(duì)CVE-2004-1653漏洞打上補(bǔ)丁，而這個(gè)漏洞可以創(chuàng)建并使用未經(jīng)授權(quán)的SSH隧道，并且獲得該設(shè)備的控制權(quán)限。黑客只要能夠訪問IoT設(shè)備的Web控制面板，就可以建立SSH隧道。讓研究人員驚訝的是為何眾多IoT設(shè)備會(huì)存在12年前的高危漏洞，可見大部分IoT設(shè)備廠商的安全意識(shí)有多么的薄弱。
如何預(yù)防？
針對(duì)普通用戶
一定要記得更改IoT設(shè)備的默認(rèn)設(shè)置。
SSH服務(wù)使用完畢后，一定要記得禁用SSH服務(wù)，或者將AllowTcpForwarding No放入到sshd_config內(nèi)。
建立防火墻規(guī)則，防止攻擊者IP訪問SSH服務(wù)。
針對(duì)IoT廠商
沒有設(shè)置登陸憑證的IoT設(shè)備不能訪問互聯(lián)網(wǎng)。
除了用戶需要，否則默認(rèn)禁用SSH服務(wù)。
不能讓SSH服務(wù)以TCP端口轉(zhuǎn)發(fā)。
更新sshd，避免出現(xiàn)更多的SSH漏洞。
后記
在互聯(lián)網(wǎng)飛速發(fā)展的今天，很多新技術(shù)，理論，產(chǎn)品等等都出現(xiàn)在人們的生活中，比如Saas，區(qū)塊鏈，IoT，云技術(shù)等等。從好的方面來看，這些技術(shù)的確帶給人們更高的生活質(zhì)量，也解決了部分社會(huì)問題等。但是從安全方面來看，這些新的互聯(lián)網(wǎng)產(chǎn)物還有很多的安全問題未被解決。相關(guān)的安全意識(shí)和安全產(chǎn)業(yè)還有待繼續(xù)完善和跟進(jìn)。而這次的安全事件，主要還是由于IoT廠商對(duì)于安全意識(shí)的缺乏，所以才導(dǎo)致眾多IoT設(shè)備還存在12年前的老漏洞。
京公網(wǎng)安備 11010502049343號(hào)