近兩年來，智能設(shè)備席卷全球，隨之而來的安全威脅卻在不斷演變和升級，在剛剛過去的2016年發(fā)生的幾起全球重大網(wǎng)絡(luò)安全事件中，都能看到物聯(lián)網(wǎng)攻擊的身影。在溫哥華舉辦的國際信息安全大會Cansecwest上，來自極棒實驗室（GeekPwn Lab）的安全專家宋宇昊與劉惠民帶來了IoT設(shè)備漏洞挖掘與利用的演講，通過對GeekPwn（極棒）大賽上陸續(xù)失守的IoT設(shè)備進行技術(shù)和數(shù)據(jù)分析，揭示了物聯(lián)網(wǎng)安全不容樂觀的現(xiàn)狀。

極棒實驗室安全專家 宋宇昊

　　史上最大規(guī)模DDoS元兇現(xiàn)身 僵尸網(wǎng)絡(luò)席卷物聯(lián)網(wǎng)

　　2016年末，一個代號為“Mirai”的病毒通過感染IoT設(shè)備，致使美國東部大面積網(wǎng)絡(luò)癱瘓。攻擊者利用網(wǎng)絡(luò)攝像機及電子錄音設(shè)備襲擊了美國域名解析服務(wù)提供商Dyn公司，包括Twitter、Facebook在內(nèi)的多家美國網(wǎng)站無法通過域名訪問。對此，極棒實驗室專家宋宇昊在Cansecwest上介紹到，造成半個美國互聯(lián)網(wǎng)癱瘓的罪魁禍首，是Mirai僵尸網(wǎng)絡(luò)控制下的數(shù)以10萬計的物聯(lián)網(wǎng)設(shè)備。該僵尸網(wǎng)絡(luò)是通過物聯(lián)網(wǎng)設(shè)備——如網(wǎng)絡(luò)攝像頭、路由器等展開一系列攻擊。

　　其實，早在Mirai病毒發(fā)酵前的2015年，GeekPwn極客大賽選手就展示了對多款路由器和網(wǎng)絡(luò)攝像頭的攻破。自2014年至今，GeekPwn舞臺上一共出現(xiàn)了18款品牌路由器，覆蓋11個品牌，囊括了中國幾乎所有的主流品牌，其中一半以上品牌路由器全球暢銷。

　　loT設(shè)備異常脆弱 攝像頭和路由器或成新“入口”

　　宋宇昊表示，雖然Mirai的聲音漸漸遠去，可是物聯(lián)網(wǎng)的安全情況仍不容樂觀。這并不是一個結(jié)束，而是另一場悲劇的開始。在物聯(lián)網(wǎng)這個新興市場上，還沒有成熟的行業(yè)標準，導(dǎo)致IoT 領(lǐng)域存在大量漏洞，從極棒大賽過去三年的比賽項目看，自2014年起，所有的漏洞（117個）都是高危漏洞并且直接導(dǎo)致黑客全權(quán)控制設(shè)備。其中83個漏洞未涉及內(nèi)存級別（例如緩沖區(qū)溢出漏洞），74個漏洞可以獨立被利用，換句話說大部分的漏洞都比較低級，但是危害極大。

　　由于物聯(lián)網(wǎng)設(shè)備存在設(shè)備分散、責權(quán)不清，早期設(shè)備甚至都沒法遠程升級等問題，這就導(dǎo)致了就算知道其防護不力，也沒有辦法進行修復(fù)。攻擊者不再需要通過入侵臺式電腦，智能攝像頭、POS機、智能手表，智能插座都有可能成為新的入侵“入口”。

（2016年GeekPwn大賽上海站選手現(xiàn)場演示操控智能插座發(fā)微博）

　　在GeekPwn過去的IoT比賽項目中，31%的是內(nèi)存級別的漏洞，此外，還有利用不安全傳輸、功能濫用、邏輯漏洞、代碼注入、硬編碼加密破解等方式。在歷屆的極棒黑客大賽上，你可以看到：路由器可以監(jiān)控、劫持網(wǎng)絡(luò)流量，導(dǎo)致用戶隱私泄露；POS機可以查詢交易記錄并盜刷現(xiàn)金；而智能兒童手環(huán)除了可以定位兒童的位置以外，還能時刻監(jiān)視兒童；智能插座等不但可以監(jiān)視用戶的日常生活軌跡，控制用戶家庭設(shè)備，甚至還有可能成為僵尸網(wǎng)絡(luò)的載體，發(fā)送微博等。在電影《激情與速度7》中，“上帝之眼”可以通過麥克風或者鏡頭找到任何一個人，盡管電影中的情節(jié)在現(xiàn)實中未必實現(xiàn)，但宋宇昊認為，如果我們不及時在loT領(lǐng)域采取相應(yīng)行動，未來，人們將會面對比mirai更大的混亂。

　　由知名信息安全團隊碁震(KEEN)成立的極棒實驗室(GeekPwn lab)致力于包括基礎(chǔ)系統(tǒng)與協(xié)議、移動支付、物聯(lián)網(wǎng)以及人工智能安全等新興和未來技術(shù)應(yīng)用領(lǐng)域的安全研究，并依托GeekPwn大賽等平臺，幫助智能生態(tài)產(chǎn)品提升安全性。

　　據(jù)悉， GeekPwn(極棒)將于 5 月 12 日在香港登上 “云頂夢號”郵輪，舉辦全球首個海上極客賽事。屆時，包括人工智能、IOT等的安全問題將再次成為備受矚目的焦點。