網絡專家警告，數十億新聯網物聯網設備上安全的松懈，可能造成毀滅性的后果
上周美國國會成員收到了一份關于物聯網(IoT)安全漏洞的極其嚴重的警告，網絡專家提請注意：隨著數十億新設備聯網上線，協同黑客攻擊可能會真正演變成事關生死問題。
美國眾議院立法者召開了IoT安全聽證會，以響應上月發生的互聯網地址解析供應商Dyn遭分布式拒絕服務攻擊事件。該事件造成了推特、Spotify等流行站點的短時下線。
但是該事件，雖然只對互聯網用戶造成了一定麻煩，令受影響公司蒙羞，但很可能只是會造成災難性后果的更大攻擊的前奏——大師級安全專家，哈佛肯尼迪政府學院講師布魯斯·施奈爾說。
系統越重要，情況越危險。Dyn攻擊還算危害不大，只有十幾個網站被弄下線了。IoT卻能以直接的物理的方式影響世界——汽車、家居、恒溫器、飛機，這對生命財產是真實的風險。
施奈爾和其他見證者對IoT安全狀態給出了清醒的評估：數十億設備在未來幾年陸續上線，其中很多都是家用電器等日常用品，通常都是低利潤量產貨，制造商不會雇傭蘋果或谷歌等科技公司里看到的那些安全專家團隊來保護這些產品。
缺乏安全措施的IoT可能會造成極其嚴重的后果。施奈爾將這一情況描述為“市場失敗”，稱經濟因素沒能激勵制造商在設計和生產階段將嚴格的安全打造進去。一大波新產品上線過程中產生的軟弱切入點，創造了設備被黑被征用組建成強力僵尸網絡的環境，物理基礎設施因而受到強烈威脅。
網絡安全公司 Virta Labs 首席執行官，密歇根大學副教授凱文·傅說：“簡言之，IoT安全極為不足。這些攻擊沒什么本質上的新意，但其復雜性，破壞的范圍和對基礎設施的沖擊都是前所未有的。”
傅非常擔憂醫療保健產業IoT黑客行為的影響，該行業中新聯網設備被部署在敏感環境，具有顯而易見的現實世界影響。
“如果不回答好這些問題，我們將面臨一些很嚴重的問題。比如說，我害怕每個醫院系統都宕機的那天來臨——因為IoT攻擊讓整個醫療保健系統下線了。”
政府應在IoT安全中發揮作用
政府在撐起IoT安全中的恰當角色是個很微妙的問題。鑒于技術和發展的快速性和安全威脅進化的速度，兩方立法者都承認監管單個技術無關緊要。
見證者建議，國家標準與技術局(NIST)或國家科學基金會(NSF)這種單位，可通過設置基于原則的規范，來幫助制造商和應用開發人員從一開始就將安全防護集成進去。
互聯網骨干網提供商 Level 3 Communications 高級副總裁兼首席安全官戴爾·德魯說：“我覺得最佳的入手點應該是標準。”
施奈爾也是強力安全標準的倡議者，建議將安全標準擴展到全球生產和供應鏈。但在政府角色的考慮上，他更進一步，稱鑒于攻擊預期將只會更糟，并有可能造成人員傷亡，聯邦政府或遲或早都將不得不采取行動。
施奈爾稱：“我覺得選擇并非是政府參與或不參與，而是智慧的政府參與愚蠢的政府參與之間。”
他回憶了911襲擊的直接后果，國會迅速授權成立了國土安全部——可能演變為在網絡戰場擁有廣泛權力的臃腫官僚機構。
雖然宣稱自己不是過度政府管制的支持者，施奈爾仍將網絡攻擊對現實世界可能造成的傷害視為采取行動的號角。簡單來講，“我們監管威脅事物。”
“在充滿危險事物的世界，我們限制創新。你不能造架飛機就上天，因為它可能會墜落在某人的房頂?；蛟S，互聯網娛樂時代已經結束，因為互聯網現在是危險的。”
京公網安備 11010502049343號