物联网+移动互联时代下的数码安全新挑战

　　去年五月那波IoT设备固件升级，打得挺艰难的。我段位其实不高，但那会儿正帮着公司做智能家居网关的安全加固，结果发现个特别离谱的事儿——某款智能摄像头在OTA更新时，居然把加密密钥明文塞在HTTP头里传。我原以为只是个别厂商的骚操作，结果翻了一圈固件，发现三家头部厂商的IoT设备，用的还是十年前的AES-CBC模式，连IV都不随机生成，这要被中间人攻击，基本等于裸奔。

　　那天凌晨三点，我在实验室改代码，键盘左下角的Ctrl键声音跟别的不一样，敲起来像踩了块松动的地板砖。耳机戴久了耳朵疼，摘下来揉了揉，听见隔壁工位的老张在骂：“这他妈的固件签名算法，居然还在用MD5！”他桌上泡面碗里的汤已经凝了层油，外卖小哥半小时前送来的，他没顾上吃。我凑过去看了眼他的屏幕，他正在逆向某款智能门锁的通信协议，抓包工具里全是明文传输的用户密码，连Base64都没编——这要被黑产扫到，整个小区的门锁都得换。

　　老张说：“现在这IoT安全，跟十年前移动端刚兴起那会儿差不多。”他这话让我想起2013年，那时候我还在做Android应用开发，当时的主流观点是“HTTPS太耗性能，能用HTTP就用HTTP”。结果后来爆发了Heartbleed漏洞，整个行业才慌着补课。现在IoT这波，感觉像是把当年的坑又挖了一遍，只不过这次的主角换成了传感器、摄像头、智能插座这些玩意儿。

　　上周跟做渗透测试的小李吃饭，他说了个更离谱的案例。他们团队接了个智能医疗设备的单子，客户要求做安全评估，结果发现设备用的还是未打补丁的Linux 2.6内核，连SSH服务都开着默认端口。最绝的是，设备的管理界面居然用“admin/123456”这种默认账号密码，小李说他们团队连暴力破解都没用，直接登录进去了。客户当场脸就绿了——这设备要是进了医院，患者数据泄露是小事，万一被远程控制，直接给患者输错药量，那可就出大事了。

　　我原以为IoT设备的安全问题，主要是厂商不重视，结果跟几个做硬件的朋友聊了聊，发现根本不是那么回事。他们说，很多IoT设备的CPU算力有限，跑不了复杂的加密算法，比如AES-GCM这种需要硬件加速的模式，在低端MCU上根本跑不动。厂商为了省成本，只能用最基础的加密方式，甚至直接裸奔。还有供应链的问题——有些厂商为了赶工期，直接买现成的公模方案，连代码都不改，安全漏洞自然也跟着传下来了。

　　充电线不够长，我只能歪着坐，屏幕右下角的时间跳到了凌晨两点。老张还在改代码，他说：“这波IoT安全，最后肯定得靠市场淘汰。”我愣了下，问他啥意思。他说：“你看移动端，当年那些不用HTTPS的App，现在还有几个活着的？用户现在都知道看地址栏有没有锁头了，厂商不跟上，自然就被市场抛弃。IoT也一样，等哪天用户买智能摄像头，先问‘这设备会不会被黑’，那些不重视安全的厂商，自然就死了。”

　　我想起去年参加一个安全会议，有个做IoT的厂商代表在台上吹：“我们的设备用了军用级加密，绝对安全。”结果台下有人问：“你们用的是AES-128还是AES-256？”他支支吾吾答不上来，最后说了句“反正很安全”。我当时就想笑——现在连卖菜的大妈都知道问“这菜有没有农药”，你做IoT的，连加密算法都说不清楚，还敢吹安全？

　　耳机里突然传来咳嗽声，是小李在语音里，他最近感冒了，说话带着鼻音。他说：“你们说，这IoT安全，最后会不会变成‘安全即服务’？厂商自己搞不定，只能买第三方的安全方案。”老张接话：“那也得看用户愿不愿意买单。现在用户买IoT设备，只看功能，不看安全，厂商自然没动力投钱。”我插了句：“等哪天出了大事，比如智能汽车被黑，撞了人，那时候用户就该急了。”

文章配图，仅供参考

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!