最熱10款智能家居設(shè)備有250個(gè)漏洞

不少人為前景一片光明的物聯(lián)網(wǎng)而感到興奮，黑客們想必亦然。惠普的一項(xiàng)研究發(fā)現(xiàn)，惠普的Fortify應(yīng)用程序安全部門對市面上最熱門的10款消費(fèi)級物聯(lián)網(wǎng)產(chǎn)品進(jìn)行了研究分析，發(fā)現(xiàn)它們有250種安全漏洞，也就是說每款產(chǎn)品平均25種。

不過，惠普并沒有具體指出涉及哪些產(chǎn)品，只是泛泛地說：它們來自“電視、網(wǎng)絡(luò)攝像頭、家用恒溫器、遠(yuǎn)程電源插座、灑水車控制器、多設(shè)備控制中樞器、門鎖、家庭警報(bào)器、磅秤和車庫開門器的制造商”。

據(jù)上海.羿歌所了解，這些設(shè)備通常都是運(yùn)行Linux操作系統(tǒng)的精簡版本，所以它們會有很多常見于運(yùn)行Linux的服務(wù)器或者計(jì)算機(jī)的基本安全漏洞。問題在于，設(shè)備制造商并沒有像對待傳統(tǒng)計(jì)算機(jī)那樣花功夫去加強(qiáng)安全保護(hù)。

惠普副總裁兼Fortify部門總經(jīng)理邁克·阿米斯特德(Mike Armistead)指出，該行業(yè)的現(xiàn)狀是，制造商們普遍匆忙將它們的產(chǎn)品推出市場，而沒有很努力地去給設(shè)備提供防范基本攻擊的能力。

該問題的危害性可能會大大放大，因?yàn)橐坏┮豢钤O(shè)備遭攻擊，設(shè)備間重合的漏洞會致使攻擊向其它設(shè)備蔓延。這并非危言聳聽，歷史上發(fā)生過那樣的黑客攻擊，其中破 壞性最大的事件之一是超過7000萬人信息失竊的Target事件。在該事件中，黑客是通過攻擊用于控制和維護(hù)公司門店采暖通風(fēng)系統(tǒng)的系統(tǒng)來盜取數(shù)據(jù)。

惠普的智能家居設(shè)備研究報(bào)告指出：

有8款設(shè)備對設(shè)備本身或者相應(yīng)網(wǎng)站要求的密碼強(qiáng)度低于“1234”。

有7款設(shè)備在與互聯(lián)網(wǎng)或者本地網(wǎng)絡(luò)進(jìn)行通訊的時(shí)候沒有進(jìn)行加密，這意味著任何數(shù)據(jù)的傳送都“不設(shè)防，暢行無阻”，不管那些數(shù)據(jù)敏感機(jī)密與否。

有6款設(shè)備界面存在安全漏洞，容易受到持續(xù)的跨站點(diǎn)腳本攻擊，默認(rèn)登陸認(rèn)證信息脆弱，或者“暢行無阻地”傳輸像密碼這樣的登陸認(rèn)證信息。

有6款設(shè)備在軟件升級下載期間沒有加密。這尤其令人擔(dān)憂，因?yàn)椴环ǚ肿涌梢越璐藗卧燔浖?，對設(shè)備重新編程，從而為所欲為地控制設(shè)備。想想如果聯(lián)網(wǎng)的網(wǎng)絡(luò)攝像頭或者車庫開門器出現(xiàn)這種問題，會是怎樣的后果吧。

10款設(shè)備中有9款至少收集過某種個(gè)人信息：郵箱地址、家庭住址、姓名和出生日期。

惠普Fortify研究人員以往常的方式來進(jìn)行此次研究：他們讓那些智能家居設(shè)備接受Fortify on Demand服務(wù)的檢測，該服務(wù)會對軟件的已知和潛在安全問題進(jìn)行測試。

那物聯(lián)網(wǎng)市場會有多大呢市場研究公司Gartner估計(jì)，到2020年，個(gè)人智能家居設(shè)備總裝機(jī)量將上漲至260億。

正如阿米斯特德所指出的，“對于黑客來說，那是巨大的新攻擊目標(biāo)。”