編者按：不安全的、與互聯(lián)網(wǎng)連接的硬件設(shè)備的范圍和危險程度在持續(xù)增加。物聯(lián)網(wǎng)（IoT）設(shè)備交互方式的快速變化，創(chuàng)造了一個前所未有的安全漏洞定義的格局。對此，本文章討論了與其有關(guān)的三個主要安全問題以及一些相應(yīng)的修復(fù)方法。智能設(shè)備和物聯(lián)網(wǎng)中存在的三個安全問題為：不安全的API接口、過時的固件更新機(jī)制、隱私保護(hù)不足。
2020年12月，F(xiàn)orescout發(fā)現(xiàn)了33個影響四個開源TCP/IP堆棧的漏洞，全世界數(shù)百萬臺設(shè)備都在使用這些堆棧。它們允許攻擊者以智能家居或自動化工業(yè)環(huán)境為攻擊目標(biāo)，并幾乎使用任何設(shè)備作為網(wǎng)絡(luò)的入口點。
根據(jù)IBM的數(shù)據(jù)，數(shù)據(jù)泄露的平均成本不到400萬美元，組織識別和控制數(shù)據(jù)泄露平均需要280天。同時，僵尸網(wǎng)絡(luò)的破壞性潛力在過去幾年中不斷增長。他們傳播惡意軟件、發(fā)動分布式拒絕服務(wù)（DDoS）攻擊、并在社交媒體上傳播虛假信息。
一、不安全的API連接
應(yīng)用程序編程接口廣泛用于設(shè)備之間的相互通信，但很少以強(qiáng)大的安全性構(gòu)建。例如，當(dāng)數(shù)據(jù)分析師直接訪問數(shù)據(jù)庫時，大多數(shù)安全系統(tǒng)都會記錄該用戶的姓名和角色。但是外部用戶可能不必提供這些憑據(jù)。因此，兩個日志條目可以是這樣的：
● John_Smith：數(shù)據(jù)分析師–172.20.118.97
● 應(yīng)用程序用戶：服務(wù)賬戶–172.20.0.159
其中只有一個提供了有關(guān)用戶身份的有用信息。如果智能設(shè)備和物聯(lián)網(wǎng)設(shè)備無法收集有用的數(shù)據(jù)，則會缺乏端到端的網(wǎng)絡(luò)可見性。
網(wǎng)絡(luò)罪犯分子會在互聯(lián)網(wǎng)上搜尋公開的API令牌，這是快速創(chuàng)建和利用由僵尸物聯(lián)網(wǎng)設(shè)備組成的巨大僵尸網(wǎng)絡(luò)的最簡單方法之一。
如何解決API連接問題
安全工程師和企業(yè)IT團(tuán)隊?wèi)?yīng)該像對待數(shù)據(jù)網(wǎng)關(guān)那樣對待應(yīng)用程序和API，這意味著要檢查API連接以進(jìn)行面向安全性的更改。如果物聯(lián)網(wǎng)設(shè)備具有任何外部連接能力，則應(yīng)將其配置為對傳入的用戶請求進(jìn)行安全分類，并阻止未經(jīng)授權(quán)的請求。開發(fā)人員需要告知安全專業(yè)人員有關(guān)可能不為人所知的“影子API”。團(tuán)隊必須共同努力，以確定已棄用和過時的API。
限制和監(jiān)視API訪問可能很重要。使用OAuth行業(yè)標(biāo)準(zhǔn)是一種理想的方法。它包含一個“設(shè)備授權(quán)類型”參數(shù)，用于容納輸入功能受限的設(shè)備，如大多數(shù)IoT設(shè)備。
二、過時的固件更新機(jī)制
IoT提供了一種通過破壞單個設(shè)備在整個網(wǎng)絡(luò)中橫向移動的功能。這些設(shè)備通常以無線方式接收固件更新，從而使它們更具吸引力，且更容易成為攻擊目標(biāo)。
但是，面臨風(fēng)險的不僅僅是大規(guī)模生產(chǎn)的消費(fèi)類硬件。基礎(chǔ)設(shè)施和重型工業(yè)工具都會受到惡意固件的攻擊。2015年，烏克蘭一家主要電站發(fā)生的網(wǎng)絡(luò)攻擊就涉及惡意固件。
如果物聯(lián)網(wǎng)設(shè)備繼續(xù)激增，則需要采取新的安全措施以保護(hù)其免受惡意固件更新的侵害。隨著每個人繼續(xù)投資于處理自己的固件更新的遠(yuǎn)程管理工具，這些類型的攻擊將變得越來越頻繁。
如何解決固件安全漏洞
任何想要保護(hù)IoT固件更新的人都會立即面臨一個基本挑戰(zhàn)，如何保護(hù)沒有用戶/密碼憑據(jù)的設(shè)備？可以使用專門為用戶身份驗證設(shè)計的安全密碼處理器，該處理器使用公私秘鑰框架來驗證傳入的請求，包括固件更新。
政府機(jī)構(gòu)、企業(yè)組織和制造業(yè)可以設(shè)置條件。這樣的大型組織有權(quán)決定他們使用和不使用哪些設(shè)備，甚至可以修改消費(fèi)者零售設(shè)備，以滿足安全需求。
此外，企業(yè)需要資源來開發(fā)和部署安全的IoT框架，這些框架可以在不暴露內(nèi)部數(shù)據(jù)的情況下進(jìn)行自我認(rèn)證。有一些可用的框架可以使身份驗證和安全更新以更低的成本成為可能。
三、隱私保護(hù)不足
隱私保護(hù)和合規(guī)性正迅速成為世界各地司法管轄區(qū)的規(guī)范，歐洲有GDPR，美國加州有CCPA。這些法規(guī)已經(jīng)從根本上改變了面向消費(fèi)者的科技公司的運(yùn)營方式。
數(shù)據(jù)維護(hù)分析師必須向主管報告違規(guī)行為，并且必須通知受影響的個人。很容易看出該方式在社交媒體平臺上的工作原理，但是在醫(yī)院里又是如何工作的呢？與其他設(shè)備不同，與醫(yī)療物聯(lián)網(wǎng)設(shè)備相關(guān)的安全漏洞可能會立即導(dǎo)致生死攸關(guān)的后果。
在美國，HIPAA和HITECH規(guī)范了醫(yī)療數(shù)據(jù)的使用方式。但是，這些規(guī)則僅適用于與官方醫(yī)療保健實體合作的設(shè)備和公司，而不適用于消費(fèi)類設(shè)備。
企業(yè)和行業(yè)組織在開發(fā)物聯(lián)網(wǎng)系統(tǒng)時也會遇到類似的問題。網(wǎng)絡(luò)上的設(shè)備包含有關(guān)員工的敏感數(shù)據(jù)，此類數(shù)據(jù)需要保護(hù)。不這樣做會增加身份盜用和財務(wù)欺詐的風(fēng)險。
如何解決數(shù)據(jù)隱私問題
當(dāng)涉及到個人可識別數(shù)據(jù)時，最重要的是根據(jù)行業(yè)標(biāo)準(zhǔn)法規(guī)保護(hù)數(shù)據(jù)的安全，即使監(jiān)管機(jī)構(gòu)不要求公司執(zhí)行HIPAA合規(guī)性。
解決此問題需要朝著用戶隱私固有價值的態(tài)度進(jìn)行文化轉(zhuǎn)變。并非每個人都喜歡與社交媒體巨頭共享跟蹤數(shù)據(jù)，也并非每個員工都希望分享他們的生產(chǎn)力得分。
制定了健全的網(wǎng)絡(luò)安全政策的組織將可以更好地應(yīng)對個人安全問題。很少有組織堅持嚴(yán)格的數(shù)據(jù)隱私標(biāo)準(zhǔn)，將用戶隱私固有價值與ROI獨(dú)立的組織甚至更少，這些組織可能會成為未來IoT安全格局的引領(lǐng)者。
我們生活在一個手機(jī)、洗衣機(jī)、家用恒溫器、甚至太陽能電池板都可以被入侵僵尸網(wǎng)絡(luò)服務(wù)的時代，它們可用于對世界上任何組織進(jìn)行破壞性的DDoS攻擊。
隨著醫(yī)療物聯(lián)網(wǎng)設(shè)備成為現(xiàn)實，不安全的、與互聯(lián)網(wǎng)連接的硬件設(shè)備的范圍和危險程度只會增加。未來的設(shè)備，如醫(yī)療物聯(lián)網(wǎng)，也需要從現(xiàn)在開始就考慮未來的威脅。