物聯(lián)網(wǎng)每天都在連接越來(lái)越多的設(shè)備

我們生活在一個(gè)互聯(lián)的世界，幾乎所有的設(shè)備都在連接。在物聯(lián)網(wǎng)(IOT)是即將在一個(gè)大的方式，并以驚人的機(jī)會(huì)-但它也帶來(lái)了嚴(yán)重的安全威脅。物聯(lián)網(wǎng)連接物理設(shè)備，因此物聯(lián)網(wǎng)設(shè)備的黑客攻擊可能會(huì)損害人的生命?，F(xiàn)在是衡量和規(guī)劃物聯(lián)網(wǎng)漏洞及其預(yù)防的時(shí)候了。以下是一些最重要的物聯(lián)網(wǎng)安全問(wèn)題。

不安全的網(wǎng)絡(luò)

實(shí)際上，這指的是網(wǎng)絡(luò)系統(tǒng)中可能存在的漏洞，從而允許黑客再次訪問(wèn)。這是一個(gè)主要問(wèn)題，因?yàn)槿肭终呖梢酝ㄟ^(guò)網(wǎng)絡(luò)訪問(wèn)連接的設(shè)備。進(jìn)一步的影響可能是訪問(wèn)未經(jīng)授權(quán)和潛在機(jī)密的數(shù)據(jù)，然后可用于其他。

可能導(dǎo)致網(wǎng)絡(luò)不安全的某些問(wèn)題是開放端口(如通用即插即用(UPnP))，可利用的用戶數(shù)據(jù)報(bào)協(xié)議(UDP)服務(wù)，緩沖區(qū)溢出，拒絕服務(wù)(DoS)，網(wǎng)絡(luò)設(shè)備模糊測(cè)試等但是，這些問(wèn)題還有對(duì)策，包括：

只提供必要的端口

保護(hù)服務(wù)免受緩沖區(qū)溢出和模糊攻擊

保護(hù)服務(wù)免受本地或其他網(wǎng)絡(luò)中設(shè)備的DoS攻擊

不要讓網(wǎng)絡(luò)端口對(duì)UPnP開放

物理篡改

不開放的開放端，如開放端口，USB連接器，移動(dòng)充電點(diǎn)等，也負(fù)責(zé)將惡意軟件注入物聯(lián)網(wǎng)設(shè)備。對(duì)設(shè)備的物理篡改允許攻擊者拆卸設(shè)備并訪問(wèn)存儲(chǔ)介質(zhì)和該介質(zhì)上存在的數(shù)據(jù)。此外，如果將這種設(shè)備用于某些控制系統(tǒng)的維護(hù)或配置，則在錯(cuò)誤的手中進(jìn)行操作會(huì)造成嚴(yán)重破壞。

但是，采用某些措施可以幫助預(yù)防物理篡改。例如，數(shù)據(jù)存儲(chǔ)應(yīng)該被加密并且進(jìn)一步難以移除。另一種選擇是確保只允許產(chǎn)品功能所需的必要外部端口訪問(wèn)。對(duì)設(shè)備管理能力的限制也可以抵消物理篡改。此外，將設(shè)備保持在允許僅授權(quán)人員訪問(wèn)的安全位置可以降低風(fēng)險(xiǎn)。

弱Web界面

Web界面用于與IoT設(shè)備交互。雖然這需要用戶交互的簡(jiǎn)單性，但如果它不安全，則存在被黑客入侵的所有可能性。某些可能導(dǎo)致攻擊者未經(jīng)授權(quán)訪問(wèn)設(shè)備的問(wèn)題包括弱默認(rèn)憑據(jù)，網(wǎng)絡(luò)流量中的憑據(jù)暴露，會(huì)話管理，跨站點(diǎn)腳本(XSS)，SQL注入等。

可以通過(guò)幾種方式解決這些問(wèn)題。必須在初始設(shè)置期間強(qiáng)制更改默認(rèn)用戶名和密碼。用于密碼恢復(fù)的方法必須足夠健壯，以免信息泄露。密碼還必須具有允許設(shè)置強(qiáng)密碼的策略。此外，它們不得暴露在網(wǎng)絡(luò)流量中。接口的開發(fā)必須以不易受XSS和SQL注入的方式進(jìn)行。此外，可以使用指定數(shù)量的失敗嘗試的帳戶鎖定。

過(guò)時(shí)的協(xié)議和系統(tǒng)更新

某些智能設(shè)備可能使用過(guò)時(shí)的協(xié)議，可能沒(méi)有定期更新。這是一個(gè)弱點(diǎn)，設(shè)備可以輕松入侵。開發(fā)人員更新背后的想法是隨著時(shí)間的推移修復(fù)系統(tǒng)中的錯(cuò)誤和漏洞。但是，使用未更新的軟件很大程度上違背了目的。事實(shí)上，許多用于控制電子產(chǎn)品(如冰箱，空調(diào)等)的智能系統(tǒng)很容易成為缺乏軟件更新的犧牲品。因此，確保修補(bǔ)系統(tǒng)漏洞的唯一方法是通過(guò)定期更新。

此外，使用過(guò)時(shí)的協(xié)議會(huì)增加風(fēng)險(xiǎn)并且是嚴(yán)重關(guān)注的問(wèn)題。這種協(xié)議的一個(gè)例子是會(huì)話發(fā)起協(xié)議(SIP)。

數(shù)據(jù)和設(shè)備加密

有時(shí)智能物聯(lián)網(wǎng)設(shè)備未正確加密。這在很大程度上在本地網(wǎng)絡(luò)和互聯(lián)網(wǎng)上普遍存在。沒(méi)有加密的傳輸數(shù)據(jù)基本上存在于流量中以便于解釋。通常，由于SSL / TLS的實(shí)施不當(dāng)，數(shù)據(jù)仍然未加密或易受攻擊。這些數(shù)據(jù)在錯(cuò)誤的手中會(huì)導(dǎo)致數(shù)據(jù)泄露，篡改和修改。因此，防止這種情況的方法是使用SSL / TLS并進(jìn)行適當(dāng)?shù)膶?shí)現(xiàn)。使用行業(yè)標(biāo)準(zhǔn)加密過(guò)程還可以在存儲(chǔ)或傳輸期間幫助提高數(shù)據(jù)安全性。

自治系統(tǒng)

已知享有完全自治權(quán)的系統(tǒng)通常是黑客的一個(gè)容易攻擊的目標(biāo)。由于這些系統(tǒng)在操作中很少需要人為干預(yù)，因此難以跟蹤并且還存在巨大風(fēng)險(xiǎn)。例如，想一下可以被黑客攻擊以忽略速度限制的自動(dòng)駕駛汽車。結(jié)果顯然可能是災(zāi)難性的。至少有十種已知的方法來(lái)攻擊神經(jīng)網(wǎng)絡(luò)，這恰好是自治系統(tǒng)工作的基礎(chǔ)。一個(gè)這樣的例子是黑盒攻擊，其中輸入可以被發(fā)送到未知系統(tǒng)并且從收集輸出得到信息。

超越此類攻擊的唯一方法是開發(fā)更多分層和復(fù)雜的系統(tǒng)，以便更難以解釋和破解。此外，人工干預(yù)不時(shí)有助于修補(bǔ)漏洞并防止此類攻擊。

隱私違規(guī)

設(shè)備和黑客的可疑制造商通?？梢酝ㄟ^(guò)您使用智能設(shè)備來(lái)偷偷跟蹤您。由于可以使用自動(dòng)化工具收集個(gè)人數(shù)據(jù)，因此提出了這些問(wèn)題。然后，這些工具可以識(shí)別代表敏感數(shù)據(jù)的特定模式。

為了解決這個(gè)問(wèn)題，使用來(lái)自知名公司的設(shè)備可能是這種問(wèn)題的解決方案。確保安全性的另一種方法是查看僅訪問(wèn)設(shè)備運(yùn)行所需的數(shù)據(jù)，或者可以設(shè)置可以收集數(shù)據(jù)的程度的限制。數(shù)據(jù)加密也是一種保護(hù)措施，可以安全地保存收集的數(shù)據(jù)并防止誤用。

物聯(lián)網(wǎng)將繼續(xù)存在，并將在未來(lái)幾年變得更大。因此，盡管物聯(lián)網(wǎng)系統(tǒng)和設(shè)備存在漏洞，但唯一的想法是謹(jǐn)慎控制，以便妥善解決安全問(wèn)題。