物联网+移动互联时代下的数码安全新挑战

　　走廊尽头那台监护仪一直在响，护士站老张正弯腰剥橘子，汁水溅到值班表上。我盯着屏幕里跳动的攻击日志，去年1月那场物联网设备劫持事件突然在脑子里炸开——当时我们漏判了智能门锁的固件漏洞，结果整栋办公楼的门禁系统被远程锁死，运维部花了十七个小时才用物理方式重置。

　　那天凌晨三点，我原以为只是普通的DDoS攻击，结果发现攻击源分散在三百多个智能摄像头里。这些设备用的都是同一厂商的默认端口，连SSH密钥都没换。最要命的是，攻击者通过摄像头内置的麦克风录下了办公室对话，把我们的应急响应流程摸得门儿清。老周当时拍着桌子骂："这帮人连物联网设备的固件回滚机制都不懂，就敢玩渗透？"结果三天后，我们自己的智能温控系统被篡改，服务器机房温度飙到45度，硬盘阵列差点全军覆没。

文章配图，仅供参考

　　我原以为移动互联和物联网的融合会带来更复杂的攻击面，结果发现真正的威胁在于设备厂商的安全意识滞后。去年我们帮某智能家居厂商做渗透测试，他们的云平台居然还在用MD5加密用户密码，API接口没有速率限制，连最基本的CSRF防护都没做。更搞笑的是，他们的智能音箱存在语音指令注入漏洞，攻击者只要喊一声"打开所有设备"，就能控制用户家里的智能灯泡、空调甚至门锁。这事儿后来被我们压下来了，但我知道，类似的漏洞在市面上至少还有上百个。

　　老周这会儿凑过来，指着屏幕上的攻击流量图："你看这些IoT设备的流量模式，明显是被僵尸网络控制了。"我点点头，想起上周某智能汽车厂商的案例——他们的车载娱乐系统被植入恶意软件，导致车辆在高速行驶时突然播放恐怖音效，方向盘助力系统也被干扰。这事儿闹得很大，但最后厂商只发了个固件更新，连漏洞细节都没公开。我翻着手里的安全报告，突然意识到，物联网时代的安全问题，早就不是技术层面的事了。

　　走廊那盏灯闪了一下，家属在门口来回踱步，手里攥着病历本。我低头继续看日志，发现攻击者开始利用智能穿戴设备的生物特征数据做社会工程学攻击。比如通过心率监测数据判断用户是否在睡觉，再选择最佳时机发起钓鱼攻击。这种手法比传统的邮件钓鱼精准十倍，防不胜防。上个月我们内部演练，用智能手环的数据伪造了一份"用户疲劳驾驶预警"，结果三分之二的员工都点开了链接。

　　小李终于修好了打印机，纸张哗啦啦吐出来。我抓起一张，上面是某物联网平台的安全审计报告——漏洞数量比去年翻了三倍，但修复率不到四成。老周叹了口气："这行业就是这样，安全投入不产生直接收益，厂商宁愿把钱花在营销上。"我没接话，想起去年那场劫持事件后，我们砍掉了所有非必要的物联网设备，连智能咖啡机都换成了手动的。有人说我们因噎废食，但我知道，在安全这件事上，优胜劣汰的规则比任何时候都残酷。

　　这个我不讲了。反正最近我们在监控某智能医疗设备的通信协议，发现几个可疑的异常指令。老周说可能是设备厂商在远程调试，但我觉得没那么简单。毕竟，现在连心脏起搏器都能被黑客攻击，还有什么是不可能的？

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!