物联网大热 黑客却是背后的杀手

admin

[导读]据称，针对监控摄像头和婴儿监视器的攻击已经出现，黑客也已经对电视、汽车和医疗设备展开安全攻击。此前曾有报道称，从2013年12月23日到2014年1月6日不到半个月的时间里，全球已经有超过10万台“物联网”设备……
       前段时间，据科技博客BusinessInsider报道，网络安全机构Proofpoint的研究人员近日表示，首次发现了涉及电视、冰箱等传统家电在内的大规模网络攻击。这也是首次出现针对家电产品的“僵尸网络”，并且也是物联网网络攻击的首例。
僵尸网络(Botnet)是指采用一种或多种传播手段，将大量主机感染bot程序(僵尸程序)病毒，从而在控制者和被感染主机之间所形成的一个可一对多控制的网络。作为科技行业新概念，物联网简单而言就是将家中的各种设备，包括电视、冰箱、恒温器以及智能水表和门锁等，装上芯片、软件并且连上网络。但对于黑客而言，这些都是能黑入且完全控制的计算机。
Proofpoint表示，黑客每天侵入超过10万台消费设备，包括家用路由器、多功能媒体中心、电视机以及冰箱，并将此作为僵尸网络的一部分。
根据Proofpoint的说法，黑客入侵家用电器时，并未花费多少精力，因为大部分用户没有正确设置安全密码，或者一直使用设备默认密码。不过每天10万台设备被黑，也为物联网提出了考验：虽然大部分家庭尚未介入物联网，但似乎黑客已将黑手伸向了这些家庭。
个人信息安全是一个老生常谈的问题。赛门铁克日前发布的第19期《互联网安全威胁报告》显示，2013年数据泄露事件的数量较上一年增加62%，2012年至2013年间，大规模数据泄露事件从1起增至8起，导致超过5.52亿个身份信息被泄露。
移动终端的安全自然成为重灾区。除了手机外，物联网也面临着严重的安全威胁。目前所讲的智能可穿戴设备、智能家居等，其实正是典型的“物联网”应用。
据称，针对监控摄像头和婴儿监视器的攻击已经出现，黑客也已经对电视、汽车和医疗设备展开安全攻击。此前曾有报道称，从2013年12月23日到2014年1月6日不到半个月的时间里，全球已经有超过10万台“物联网”设备出现了发送垃圾电子邮件的现象。这些独立的媒体播放器、智能电视，甚至还包括一些电冰箱，在这段时间内共计发送了超过75万份垃圾邮件。
IDC曾预测，到2020年，将会有超过2000亿台设备被连接到网络上。首先就是与用户关系非常密切的路由器。去年，赛门铁克检测到，新出现的Linux.Darlloz蠕虫病毒变种，能够迅速感染家用路由器、机顶盒、安全摄像头以及其他一些能够联网的家用设备。Linux.Aidra病毒能够攻击有线电视和DSLModem。
日前央视曾报道，已经有超过5%的路由器被黑客所掌握。思科(23.03,0.14,0.61%)、瞻博等厂商也承认他们的部分路由器产品存在着OpenSSL“心脏出血”漏洞。路由器在受到感染后，可以发动DDOS攻击，域名解析被劫持，导致浏览器重定向或弹广告，甚至是偷偷在后台利用有限的计算能力给黑客挖比特币。
随着可穿戴设备的流行，此类设备能够随时测量并传输各种关系个人隐私的数据。这些数据包括个人的心跳频率、体重、睡眠时间、血糖水平、血压等等。如果这些设备受到攻击，越来越多的个人信息暴露在互联网上，将产生难以预料的负面影响。
警惕物联网黑客入侵
黑客攻击的前线可能已转移至厨房。近几周，一台与互联网连接的冰箱、以及若干电视机和家庭娱乐中心对外发送了数十万封垃圾邮件，凸显出“物联网”的网络安全风险。
总部位于硅谷的网络安全公司ProofpointSecurity的研究人员称，去年节日期间，有逾75万封恶意邮件通过10万多台所谓的智能设备发送了出去。
以俘虏台式机和笔记本电脑而恶名远扬的僵尸网络(botnets)，如今正将注意力转向一系列新设备。由于这些设备抵御黑客的能力往往不强，僵尸网络可在俘虏它们后利用它们的计算能力向外发送恶意邮件。
Proofpoint信息安全部总经理戴维?奈特(DavidKnight)表示，“僵尸物联网”(thingbots)的出现可能会增加网络犯罪的可能性。
“许多此类设备充其量只拥有简陋的防护，当感染发生时，消费者几乎无法察觉或修复感染。”他说，“随着此类设备越来越多地连入互联网、攻击者找到更多的方法利用它们，企业可能会发现分布式攻击日益增多。”
由于每台设备发送的邮件不到10封，追踪和屏蔽发送了垃圾或钓鱼邮件的IP地址就变得更加困难。此类邮件的目的在于窃取收件人的信息。
众所周知的是，网络安全公司会发布关于新攻击事件的报告，以此来提高自己的知名度。英国《金融时报》无法独立核实Proofpoint报告的那些攻击。
1月初，在拉斯维加斯举行的消费电子展中，2014年被宣布为物联网将取得突破性进展的一年。在物联网的世界里，从烟雾报警器到心脏起搏器，一切东西都与互联网相连，可实现远程监控和自动通信。
一月，谷歌(Google)以32亿美元收购了智能恒温器和烟雾报警器生产商Nest，标志着该公司有意涉足智能家居。谷歌还发布了一款监测糖尿病患者血糖水平的智能隐形眼镜，朝着进军联网可穿戴设备市场又迈出了一步。
研究公司IDC预计，到2020年，将有逾2000亿台设备连入互联网。但一段时间以来，网络安全专家不断警告，网络罪犯可能会对这些新设备加以恶意利用。
总部位于旧金山的移动安全公司Lookout的研究人员展示出，谷歌眼镜(GlassGoogle)如何能被黑客侵入，犯罪分子由此可跟踪佩戴者所看到的一切。谷歌随后修补了这一漏洞。
2011年，InGuardians的高级安全分析师杰尔姆?拉德克利夫(JeromeRadcliffe)对自己的胰岛素注射器实施了黑客攻击。他说，黑客能给糖尿病患者造成重大伤害，手段是使设备失灵，或在最远达150英尺的地方将胰岛素注射量推高至不安全的水平。
思科(Cisco)不久前发布的一份报告显示，网络犯罪的总体数量去年增加了14%，达到“空前水平”。研究人员表示，制药、采矿和电子等知识产权密集行业受到的未遂攻击增幅最大。
物联网时代如何防止黑客入侵？
技术宅CraigHeffner表示物联网最大的隐患不在黑客，而在各种设备的制造商。
TacticalNetworkSolutions的研究员CraigHeffner在联邦贸易委员会(FTC)的物联网工坊上，回忆起一次他花了几美刀就看到了数百个用户的隐私信息。
当时某硬件厂商给用户提供了配套的云服务，却忘了买下作为数据服务器的4个域名之一。于是Heffner用了9美刀拿下。
Heffner的这个做法并不违法，但制造商的一个疏漏却让用户的隐私被轻松瓦解掉了。
连用户都不在意的隐私还有谁在意?
我们都不得不承认互联网上已经难有黑客翻不过来的墙，但越来越多的物联网设备让入侵变得异常地简单。
Heffner表示，“这是因为现在的用户没有真正开始关注设备的信息安全，所以硬件厂商们也没有动力去优化这件事。厂商们更喜欢把资源放到耀眼的功能上。”
安全还真不是小事
今年去年11月的时候，FTC强制推行了一个关于设备信息安全的政策：但凡无法确保产品信息安全的公司，其安全业务会强制外包给FTC。
美国国家科学基金会的前VPDickCheney曾经公开表示过他对恐怖分子入侵心脏起搏器的担忧。于是过了几年，马萨诸塞大学的KevinFu带着一个小分队证明了这种入侵的可行性。
通常病人携带的心脏起搏器是通过一个封闭的数据系统和医院端通信的。但Fu的研究小分队不仅成功地从封闭系统上爬下了病人的医疗数据，而且还可以恶意地引导起搏器的工作频率。
目前Fu已经拿到国家科学基金会45万美刀的资助，正在研发一个不可破解的起搏器。
黑客教程
说回CraigHeffner，现在他每个月都会举办一期跟物联网有关的黑客教程。具体做什么呢?Heffner的大部分学员来自消费电子和安全公司。然后每期的教程Heffner就会先教他们如何入侵路由器和各种家电。然后教程的后半段则是对抗和修复这些漏洞。
Heffner表示他之所以开这个教程不是为了传播这种对漏洞的利用，而是让行业内的人们去了解自己的产品，如何把信息安全做得更好。



随遇而安论坛 来源：网络转载

---