物聯(lián)網(wǎng)的十大安全隱患

■ 李偉

自從物聯(lián)網(wǎng)（IoT）誕生以來(lái)，安全問(wèn)題一直困擾著物聯(lián)網(wǎng)發(fā)展。從供應(yīng)商到企業(yè)用戶再到消費(fèi)者，每個(gè)人都擔(dān)心他們所使用的新物聯(lián)網(wǎng)設(shè)備和系統(tǒng)可能受到損害。實(shí)際問(wèn)題可能更加糟糕，因?yàn)榇嗳醯奈锫?lián)網(wǎng)設(shè)備可能隨時(shí)會(huì)被黑客入侵并被利用到巨大的僵尸網(wǎng)絡(luò)中，甚至感染到那些安全的網(wǎng)絡(luò)。

在構(gòu)建、部署或管理物聯(lián)網(wǎng)系統(tǒng)時(shí)，最大的問(wèn)題和漏洞到底是什么？更重要的是，我們可以采取哪些措施來(lái)緩解這些問(wèn)題？

這就是OWASP（開(kāi)放式Web應(yīng)用程序安全項(xiàng)目）存在的原因。援引OWASP對(duì)自己的介紹，“OWASP物聯(lián)網(wǎng)項(xiàng)目旨在幫助制造商、開(kāi)發(fā)人員和用戶更好地理解與物聯(lián)網(wǎng)相關(guān)的安全問(wèn)題，并且使任何環(huán)境中的用戶能夠在構(gòu)建、部署或評(píng)估物聯(lián)網(wǎng)技術(shù)時(shí)做出更好的安全決策?！?/p>

為此，在幾個(gè)月前，OWASP發(fā)布了2018年的十大物聯(lián)網(wǎng)隱患，讓我們來(lái)看一下該列表，并附上一些評(píng)論：

1.使用弱密碼、可猜解密碼或硬編碼密碼

使用易于被暴力破解、公開(kāi)常見(jiàn)的或不可更改的口令憑據(jù)，包括固件或客戶端軟件中的后門(mén)，對(duì)已部署系統(tǒng)授予未授權(quán)訪問(wèn)權(quán)限。

點(diǎn)評(píng)：坦率講，這個(gè)問(wèn)題非常突出，如今仍然令人難以置信，它仍然是我們必須面對(duì)的首要問(wèn)題。我們也許會(huì)認(rèn)為物聯(lián)網(wǎng)設(shè)備或應(yīng)用程序的價(jià)格非常便宜或者覺(jué)得這并沒(méi)有多大壞處，但這種“懶惰想法”從來(lái)都不是使用弱密碼的借口。

2.不安全的網(wǎng)絡(luò)服務(wù)

在設(shè)備上運(yùn)行的不必要或不安全的網(wǎng)絡(luò)服務(wù)，特別是那些暴露在互聯(lián)網(wǎng)上的網(wǎng)絡(luò)服務(wù)，會(huì)損害信息的機(jī)密性、完整性/真實(shí)性或可用性，或可導(dǎo)致允許未經(jīng)授權(quán)的遠(yuǎn)程控制。

點(diǎn)評(píng)：這是有道理的，但它更像是一個(gè)灰色地帶，因?yàn)槲覀兺⒉磺宄@些網(wǎng)絡(luò)服務(wù)是“不必要的還是不安全的”。

3.不安全的生態(tài)系統(tǒng)接口

物聯(lián)網(wǎng)設(shè)備外部生態(tài)系統(tǒng)中的不安全的Web、后端API、云或移動(dòng)接口，可能導(dǎo)致攻擊破壞設(shè)備或其相關(guān)組件。常見(jiàn)問(wèn)題包括缺乏身份認(rèn)證/授權(quán)、缺少或弱加密，以及缺乏I/O過(guò)濾。

點(diǎn)評(píng)：同樣，接口方面的威脅并不總是明顯的，但身份認(rèn)證、加密和過(guò)濾始終是必要的。

4.缺乏安全的更新機(jī)制

缺乏安全更新設(shè)備的能力。這包括設(shè)備上缺少固件驗(yàn)證，缺乏安全交付（在傳輸過(guò)程中未加密），缺乏防回滾機(jī)制，以及由于更新而缺乏安全更改通知。

點(diǎn)評(píng)：對(duì)于物聯(lián)網(wǎng)應(yīng)用而言，這是一個(gè)持續(xù)存在的問(wèn)題，因?yàn)樵S多供應(yīng)商和企業(yè)都不愿意為其設(shè)備的長(zhǎng)遠(yuǎn)使用考慮。此外，這并不總是技術(shù)問(wèn)題，在某些情況下，物聯(lián)網(wǎng)設(shè)備的物理位置使得更新和維修/更換工作成為一項(xiàng)重大挑戰(zhàn)。

5.使用不安全或過(guò)時(shí)的組件

使用可能允許設(shè)備泄露的不安全或已棄用的軟件組件/庫(kù)，這包括操作系統(tǒng)平臺(tái)的不安全定制，以及來(lái)自受損供應(yīng)鏈的第三方軟件或硬件組件的使用。

點(diǎn)評(píng)：這種問(wèn)題沒(méi)有任何借口。不要使用便宜的組件并做正確的事。

6.隱私保護(hù)不足

用戶的個(gè)人信息存儲(chǔ)在物聯(lián)網(wǎng)設(shè)備上或其相關(guān)的生態(tài)系統(tǒng)中，未經(jīng)許可違規(guī)使用。

點(diǎn)評(píng)：顯然，個(gè)人信息需要妥善處理，但這里的關(guān)鍵是“許可”，除非得到用戶的許可，否則任何人或組織不得違規(guī)使用某人的個(gè)人信息。

7.不安全的數(shù)據(jù)傳輸和存儲(chǔ)

物聯(lián)網(wǎng)生態(tài)系統(tǒng)內(nèi)的敏感數(shù)據(jù)缺乏加密或訪問(wèn)控制，包括數(shù)據(jù)在存儲(chǔ)、傳輸或處理過(guò)程中。

點(diǎn)評(píng)：雖然許多物聯(lián)網(wǎng)供應(yīng)商都關(guān)注安全存儲(chǔ)，但確保數(shù)據(jù)在傳輸過(guò)程中的安全通常會(huì)被忽略。

8.缺乏設(shè)備管理

在產(chǎn)品中部署的設(shè)備缺乏安全支持，包括資產(chǎn)管理、更新管理、系統(tǒng)監(jiān)控和響應(yīng)功能。

點(diǎn)評(píng)：物聯(lián)網(wǎng)設(shè)備可能很小，價(jià)格低廉，并且可以大量部署，但這并不意味著您不必管理它們。事實(shí)上，管理它們比以往任何時(shí)候都更重要。即便這并不容易。

9.不安全的默認(rèn)設(shè)置

設(shè)備或系統(tǒng)附帶了不安全的默認(rèn)設(shè)置，或者缺乏通過(guò)限制用戶修改配置來(lái)提高系統(tǒng)安全性的能力。

點(diǎn)評(píng)：這個(gè)問(wèn)題不應(yīng)該在2019年發(fā)生，每個(gè)人都應(yīng)該知道這是個(gè)隱患并且知道如何避免它。

10.缺乏物理強(qiáng)化措施

缺乏物理強(qiáng)化措施，允許潛在的攻擊者獲取敏感信息，而這些信息可能被用于未來(lái)的遠(yuǎn)程攻擊或?qū)υO(shè)備進(jìn)行本地控制。

點(diǎn)評(píng)：物聯(lián)網(wǎng)由“Things”組成。記住物聯(lián)網(wǎng)的物理特性并采取措施保護(hù)所涉及的相關(guān)設(shè)備非常重要。

下一步是什么？

展望未來(lái)，OWASP社區(qū)計(jì)劃每?jī)赡旮乱淮卧摿斜?，以了解行業(yè)變化并擴(kuò)展到物聯(lián)網(wǎng)的其他方面。例如，嵌入式安全和工業(yè)控制系統(tǒng)以及監(jiān)控和數(shù)據(jù)采集系統(tǒng)（ICS/SCADA），還 計(jì) 劃 為每個(gè)項(xiàng)目添加示例，并將其映射到其他OWASP項(xiàng)目，例如應(yīng)用程序安全性驗(yàn)證標(biāo)準(zhǔn)（ASVS）以及外部項(xiàng)目。

最重要的是，或許OWASP正在考慮增加參考架構(gòu)，不僅要告訴人們不該做什么，還要考慮他們需要做些什么才能更安全。