不安全的網(wǎng)絡(luò)
實(shí)際上,這指的是網(wǎng)絡(luò)系統(tǒng)中可能存在的漏洞,從而允許黑客再次訪問。這是一個(gè)主要問題,因?yàn)槿肭终呖梢酝ㄟ^網(wǎng)絡(luò)訪問連接的設(shè)備。進(jìn)一步的影響可能是訪問未經(jīng)授權(quán)和潛在機(jī)密的數(shù)據(jù),然后可用于其他犯罪。
可能導(dǎo)致網(wǎng)絡(luò)不安全的某些問題是開放端口(如通用即插即用(UPnP)),可利用的用戶數(shù)據(jù)報(bào)協(xié)議(UDP)服務(wù),緩沖區(qū)溢出,拒絕服務(wù)(DoS),網(wǎng)絡(luò)設(shè)備模糊測(cè)試等但是,這些問題還有對(duì)策,包括:
- 只提供必要的端口
- 保護(hù)服務(wù)免受緩沖區(qū)溢出和模糊攻擊
- 保護(hù)服務(wù)免受本地或其他網(wǎng)絡(luò)中設(shè)備的DoS攻擊
- 不要讓網(wǎng)絡(luò)端口對(duì)UPnP開放
不開放的開放端,如開放端口,USB連接器,移動(dòng)充電點(diǎn)等,也負(fù)責(zé)將惡意軟件注入物聯(lián)網(wǎng)設(shè)備。對(duì)設(shè)備的物理篡改允許攻擊者拆卸設(shè)備并訪問存儲(chǔ)介質(zhì)和該介質(zhì)上存在的數(shù)據(jù)。此外,如果將這種設(shè)備用于某些控制系統(tǒng)的維護(hù)或配置,則在錯(cuò)誤的手中進(jìn)行操作會(huì)造成嚴(yán)重破壞。
但是,采用某些措施可以幫助預(yù)防物理篡改。例如,數(shù)據(jù)存儲(chǔ)應(yīng)該被加密并且進(jìn)一步難以移除。另一種選擇是確保只允許產(chǎn)品功能所需的必要外部端口訪問。對(duì)設(shè)備管理能力的限制也可以抵消物理篡改。此外,將設(shè)備保持在允許僅授權(quán)人員訪問的安全位置可以降低風(fēng)險(xiǎn)。
弱Web界面
Web界面用于與IoT設(shè)備交互。雖然這要求用戶交互的簡(jiǎn)單性,但如果它不安全,則有可能被黑客入侵。某些可能導(dǎo)致攻擊者未經(jīng)授權(quán)訪問設(shè)備的問題包括弱默認(rèn)憑據(jù),網(wǎng)絡(luò)流量中的憑據(jù)暴露,會(huì)話管理,跨站點(diǎn)腳本(XSS),SQL注入等。
可以通過幾種方式解決這些問題。必須在初始設(shè)置期間強(qiáng)制更改默認(rèn)用戶名和密碼。用于密碼恢復(fù)的方法必須足夠健壯,以免信息泄露。密碼還必須具有允許設(shè)置強(qiáng)密碼的策略。此外,它們不得暴露在網(wǎng)絡(luò)流量中。接口的開發(fā)必須以不易受XSS和SQL注入的方式進(jìn)行。此外,可以使用指定數(shù)量的失敗嘗試的帳戶鎖定。
過時(shí)的協(xié)議和系統(tǒng)更新
某些智能設(shè)備可能使用過時(shí)的協(xié)議,可能沒有定期更新。這是一個(gè)弱點(diǎn),設(shè)備可以輕松入侵。開發(fā)人員更新背后的想法是隨著時(shí)間的推移修復(fù)系統(tǒng)中的錯(cuò)誤和漏洞。但是,使用未更新的軟件很大程度上違背了目的。事實(shí)上,許多用于控制電子產(chǎn)品(如冰箱,空調(diào)等)的智能系統(tǒng)很容易成為缺乏軟件更新的犧牲品。因此,確保修補(bǔ)系統(tǒng)漏洞的唯一方法是通過定期更新。
此外,使用過時(shí)的協(xié)議會(huì)增加風(fēng)險(xiǎn)并且是嚴(yán)重關(guān)注的問題。這種協(xié)議的一個(gè)例子是會(huì)話發(fā)起協(xié)議(SIP)。
數(shù)據(jù)和設(shè)備加密
有時(shí)智能物聯(lián)網(wǎng)設(shè)備未正確加密。這在很大程度上在本地網(wǎng)絡(luò)和互聯(lián)網(wǎng)上普遍存在。沒有加密的傳輸數(shù)據(jù)基本上存在于流量中以便于解釋。通常,由于SSL / TLS的實(shí)施不當(dāng),數(shù)據(jù)仍然未加密或易受攻擊。這些數(shù)據(jù)在錯(cuò)誤的手中會(huì)導(dǎo)致數(shù)據(jù)泄露,篡改和修改。因此,防止這種情況的方法是使用SSL / TLS并進(jìn)行適當(dāng)?shù)膶?shí)現(xiàn)。使用行業(yè)標(biāo)準(zhǔn)加密過程還可以在存儲(chǔ)或傳輸期間幫助提高數(shù)據(jù)安全性。(要了解有關(guān)物聯(lián)網(wǎng)安全的更多信息,請(qǐng)參閱與物聯(lián)網(wǎng)相關(guān)的主要風(fēng)險(xiǎn) - 以及如何減輕這些風(fēng)險(xiǎn)。)
自治系統(tǒng)
已知享有完全自治權(quán)的系統(tǒng)通常是黑客的一個(gè)容易攻擊的目標(biāo)。由于這些系統(tǒng)在操作中很少需要人為干預(yù),因此難以跟蹤并且還存在巨大風(fēng)險(xiǎn)。例如,想一下可以被黑客攻擊以忽略速度限制的自動(dòng)駕駛汽車。結(jié)果顯然可能是災(zāi)難性的。至少有十種已知的方法來攻擊神經(jīng)網(wǎng)絡(luò),這恰好是自治系統(tǒng)工作的基礎(chǔ)。一個(gè)這樣的例子是黑盒攻擊,其中輸入可以被發(fā)送到未知系統(tǒng)并且從收集輸出得到信息。
超越此類攻擊的唯一方法是開發(fā)更多分層和復(fù)雜的系統(tǒng),以便更難以解釋和破解。此外,人工干預(yù)不時(shí)有助于修補(bǔ)漏洞并防止此類攻擊。
隱私違規(guī)
設(shè)備和黑客的可疑制造商通常可以通過您使用智能設(shè)備來偷偷跟蹤您。由于收集了可以使用自動(dòng)化工具查看的個(gè)人數(shù)據(jù),因此提出了這些問題。然后,這些工具可以識(shí)別代表敏感數(shù)據(jù)的特定模式。
為了解決這個(gè)問題,使用來自知名公司的設(shè)備可能是這種問題的解決方案。確保安全性的另一種方法是查看僅訪問設(shè)備運(yùn)行所需的數(shù)據(jù),或者可以設(shè)置可以收集數(shù)據(jù)的程度的限制。數(shù)據(jù)加密也是一種保護(hù)措施,可以安全地保存收集的數(shù)據(jù)并防止誤用。
結(jié)論
物聯(lián)網(wǎng)將繼續(xù)存在,未來幾年將變得更大。因此,盡管物聯(lián)網(wǎng)系統(tǒng)和設(shè)備存在漏洞,但唯一的想法是謹(jǐn)慎控制,以便妥善解決安全問題。