因為硬件安全技術(shù)的落后，黑客在攻擊智能設備時(shí)總能輕易得手。從聯(lián)網(wǎng)汽車(chē)到胰島素泵，都存在陷入險境的可能。
從你客廳里的數字錄像機到你辦公室里的安全攝像頭，各種設備上的默認密碼威脅著(zhù)互聯(lián)網(wǎng)的穩定，因為黑客得以建立起龐大的“物聯(lián)網(wǎng)”設備網(wǎng)絡(luò )，用流量來(lái)攻擊網(wǎng)站。
上周五，對域名服務(wù)提供商Dyn的攻擊使對Twitter、Spotify和《紐約時(shí)報》(New York Times)等熱門(mén)網(wǎng)站的訪(fǎng)問(wèn)中斷，凸顯出數十億只有很少或者沒(méi)有網(wǎng)絡(luò )安全保護的聯(lián)網(wǎng)設備帶來(lái)的風(fēng)險。身份不明的黑客用叫做Mirai的惡意軟件控制了數千萬(wàn)臺設備，使這種攻擊比一般的分布式拒絕服務(wù)攻擊更強大、更難以抵御。
在通過(guò)智能手機控制住宅和辦公樓（調整溫度或者利用攝像頭監測盜賊）的前景引起的興奮之情中，許多沒(méi)有多少網(wǎng)絡(luò )安全經(jīng)驗的廠(chǎng)商把它們的設備連接到了互聯(lián)網(wǎng)上。
監管機構還沒(méi)有制定明確的規則，規定該如何保護這些聯(lián)網(wǎng)設備，甚至連企業(yè)也逐漸發(fā)現，善意的供應商或者設備管理者也會(huì )因為增加聯(lián)網(wǎng)設備不經(jīng)意地造成企業(yè)網(wǎng)絡(luò )的漏洞。
云安全公司Zscaler的首席信息安全官邁克爾？薩頓(Michael Sutton)表示，上周五的黑客攻擊將成為硬件行業(yè)的一通“叫醒電話(huà)”。
“硬件業(yè)的安全落后于軟件業(yè)十年，”他說(shuō)，“Mirai的成功是因為有如此之多的網(wǎng)絡(luò )攝像頭、數字錄像機等設備生產(chǎn)出來(lái)時(shí)附帶的默認密碼從未更改過(guò)。一次簡(jiǎn)單的互聯(lián)網(wǎng)掃描就能識別出這些密碼，讓它們迅速陷入危險的境地。”
多年來(lái)，網(wǎng)絡(luò )安全專(zhuān)家一直在告訴人們警惕“物聯(lián)網(wǎng)”設備的風(fēng)險，在他們的年度會(huì )議Def Con上公開(kāi)展示引人注目的黑客攻擊，展現出從聯(lián)網(wǎng)汽車(chē)到胰島素泵等一切事物都可能被入侵。但通常，很難看出為何網(wǎng)絡(luò )犯罪者會(huì )把個(gè)人設備列為目標，除非是為了把一個(gè)人的行動(dòng)暴露在公眾視線(xiàn)下，或者是為了傷害某個(gè)政治人物。這次的黑客攻擊表明，就算一個(gè)聯(lián)網(wǎng)設備不一定會(huì )給設備所有者本人帶來(lái)巨大威脅，這個(gè)設備也可以被惡意利用來(lái)攻擊其他人。
研究公司Gartner預測，到2020年，世界上將有逾200億臺聯(lián)網(wǎng)設備，消費者將在“物聯(lián)網(wǎng)”上花費1.5萬(wàn)億美元，而企業(yè)的花費幾乎也將達到同一水平。Gartner預測，到2020年，超過(guò)四分之一對企業(yè)的攻擊將涉及聯(lián)網(wǎng)設備，但企業(yè)只會(huì )將10%的網(wǎng)絡(luò )安全預算花在對此類(lèi)攻擊的防御上。
硅谷網(wǎng)絡(luò )安全公司SentinelOne的安全策略主管杰里邁亞？格羅斯曼(Jeremiah Grossman)表示，“早就應該”對設備不安全問(wèn)題投注更多注意力。他說(shuō)，設備制造商應該迫使用戶(hù)修改默認密碼，將這作為設置流程的一步，并且發(fā)布安全更新，就像對個(gè)人電腦(PC)所做的那樣。安裝一個(gè)能夠監控設備活動(dòng)的代理，就會(huì )在這個(gè)設備被黑客吸收到“僵尸網(wǎng)絡(luò )”之中時(shí)顯示它“非常異常的”活動(dòng)。
對該行業(yè)進(jìn)行監管“幾乎不可能”，格羅斯曼補充道，因為將設備連接到互聯(lián)網(wǎng)的公司無(wú)法被歸為任何一個(gè)類(lèi)別：囊括了從智能電視制造商到醫療器械制造商等各類(lèi)公司。
一些監管機構看到了潛在威脅，監督起搏器和其他醫療器械制造商的美國食品藥品管理局(FDA)今年早些時(shí)候就醫院和制造商該如何監控設備漏洞并運用更新發(fā)布了指導文件草案。
Shape Security首席技術(shù)官舒曼？高斯馬宗德(Shuman Ghosemajumder)認同監管機構很難“解決問(wèn)題”，因為黑客不斷開(kāi)發(fā)新手段使安全挑戰不斷變化。但他說(shuō)，監管機構應該負起責任，制定“最低要求和規范”。
“整個(gè)行業(yè)應該做得更好。毫無(wú)疑問(wèn)，對互聯(lián)網(wǎng)連接帶來(lái)新功能的興奮之情推動(dòng)了‘物聯(lián)網(wǎng)’的發(fā)展，而安全問(wèn)題被拋到了一邊，”他說(shuō)。
然而，他補充，像域名服務(wù)提供商Dyn（許多大公司都依賴(lài)Dyn來(lái)提供對它們網(wǎng)站的訪(fǎng)問(wèn)）這樣的潛在目標也需要提高它們的安全水平，更好地抵御不斷擴大的僵尸網(wǎng)絡(luò )。
Dyn上周六發(fā)布博文稱(chēng)，正在警惕進(jìn)一步的攻擊，并正與執法機構和其他方面合作，調查此次攻擊的幕后黑手。“這類(lèi)攻擊的數量和類(lèi)型、持續時(shí)間和規模，以及復雜性，都在上升，”首席策略官凱爾？約克(Kyle York)說(shuō)。
約克說(shuō)，因為依賴(lài)于Dyn服務(wù)的客戶(hù)，Dyn通常是“互聯(lián)網(wǎng)的第一響應者”。但隨著(zhù)互聯(lián)網(wǎng)規模擴大，將恒溫器、燈泡和嬰兒監視器都連接進(jìn)來(lái)，請“醫務(wù)人員”救急卻變得更加困難了。
