在8月初于美國(guó)拉斯韋加斯舉行的2014年度Black Hat大會(huì)上，來自中央佛羅里達(dá)大學(xué)的研究人員Grant Hernandez、Yier Jin，以及獨(dú)立研究人員Daniel Buentello，對(duì)市場(chǎng)上熱賣的物聯(lián)網(wǎng)概念設(shè)備─Nest LearningThermostat智能恒溫器重炮轟擊;三位研究人員證實(shí)，如果攻擊者能取得對(duì)該種智能恒溫器的實(shí)體接取機(jī)會(huì)，該設(shè)備就非常容易受到安全威脅。
研究人員們實(shí)際示范，攻擊者在不到15秒的時(shí)間內(nèi)就能把Nest恒溫器從底座上移除，并透過micro USB接口的纜線植入后門惡意軟件，而且恒溫器主人完全不會(huì)發(fā)現(xiàn)有任何改變;這種惡意軟件能讓Nest被用來當(dāng)做窺探使用者的工具，或是透過網(wǎng)絡(luò)攻擊其他 設(shè)備，甚至竊取無線網(wǎng)絡(luò)憑證等等。
這種安全威脅對(duì)目前以及未來的Nest恒溫器使用者來說有何意義?就如同我們看到的 DropCam網(wǎng)絡(luò)攝影機(jī)黑客入侵案例，攻擊者需要對(duì)設(shè)備有實(shí)體接觸，這表示歹徒得闖入你家，恐怕是遠(yuǎn)比恒溫器被植入惡意軟件更嚴(yán)重的威脅;不過研究人員 設(shè)想了許多情境，表示Nest 恒溫器可能被有心人士購(gòu)買、植入惡意軟件、再退貨給商店，或者是被植入過惡意軟件的也可能透過在線商店被賣給特定的顧客。
而最大的問題是，如果設(shè)備被黑客入侵了，使用者是完全不會(huì)知道;防病毒軟件也無法在該類設(shè)備中執(zhí)行并搜尋惡意代碼;基本上，若要在不轉(zhuǎn)存內(nèi)存或分析設(shè)備硬件的情況下察知設(shè)備是否被黑客入侵，唯一方法就是監(jiān)控網(wǎng)絡(luò)數(shù)據(jù)流量，或是觀察是否有異常情況出現(xiàn)──也就是在大多數(shù)家庭網(wǎng)絡(luò)中不太可能出現(xiàn)的情況。
不過研究人員還是稱贊Nest恒溫器是一款設(shè)計(jì)精良的產(chǎn)品，到目前為止，這款設(shè)備的安全威脅仍僅限于透過USB纜線實(shí)體入侵;研究人員還在忙著尋找Nest 網(wǎng)絡(luò)客戶端、服務(wù)，以及可支持遠(yuǎn)程利用的Nest Weave通信協(xié)議是否有漏洞存在。透過存取設(shè)備上的檔案，以及藉由硬件后門取得與執(zhí)行程序互動(dòng)的能力，恐怕黑客找到遠(yuǎn)程攻擊方法只是時(shí)間問題。
除了被當(dāng)作攻擊其他家用無線網(wǎng)絡(luò)上連網(wǎng)設(shè)備的“跳板”，Nest智能恒溫器還可能帶來其他安全威脅;研究人員表示，Nest Weave通信協(xié)議也可能是一個(gè)脆弱的切入點(diǎn)。Weave是一個(gè)以802.15.4標(biāo)準(zhǔn)為基礎(chǔ)的通信協(xié)議，與Zigbee與WirelessHART類 似，能讓Nest恒溫器與其他Nest設(shè)備通信，如Nest Protect煙霧/二氧化碳警報(bào)器。
如何能防止黑客攻擊同樣 具備以802.15.4通信協(xié)議為基礎(chǔ)之接口的設(shè)備，例如智能電表、遙控門鎖等等?這也是研究人員正在努力調(diào)查的部分。在大會(huì)發(fā)表專題演說時(shí)，上述研究人 員們也詢問聽眾們是否會(huì)繼續(xù)使用Nest設(shè)備;其中一位研究人員Buentello表示：盡管我們做了那么多研究發(fā)現(xiàn)它們可能有多么危險(xiǎn)，我還是沒放棄 它們、我家裝了兩個(gè)。
研究人員們總結(jié)表示，今日我們對(duì)于可接受之嵌入式設(shè)備所采取的行動(dòng)與決定，將替未來三十年的產(chǎn)品設(shè)立標(biāo)準(zhǔn)。
您可能也喜歡這些文章
a&s傳媒是全球知名展覽公司法蘭克福展覽集團(tuán)旗下的專業(yè)媒體平臺(tái)，自1994年品牌成立以來，一直專注于安全&自動(dòng)化產(chǎn)業(yè)前沿產(chǎn)品、技術(shù)及市場(chǎng)趨勢(shì)的專業(yè)媒體傳播和品牌服務(wù)。從安全管理到產(chǎn)業(yè)數(shù)字化，a&s傳媒擁有首屈一指的國(guó)際行業(yè)展覽會(huì)資源以及豐富的媒體經(jīng)驗(yàn)，提供媒體、活動(dòng)、展會(huì)等整合營(yíng)銷服務(wù)。
粵公網(wǎng)安備 44030402000264號(hào)
