近兩年來(lái)，智能設(shè)備席卷全球，隨之而來(lái)的安全威脅卻在不斷演變和升級(jí)，在剛剛過(guò)去的2016年發(fā)生的幾起全球重大網(wǎng)絡(luò)安全事件中，都能看到物聯(lián)網(wǎng)攻擊的身影。在溫哥華舉辦的國(guó)際信息安全大會(huì)Cansecwest上，來(lái)自極棒實(shí)驗(yàn)室（GeekPwn Lab）的安全專家宋宇昊與劉惠民帶來(lái)了IoT設(shè)備漏洞挖掘與利用的演講，通過(guò)對(duì)GeekPwn（極棒）大賽上陸續(xù)失守的IoT設(shè)備進(jìn)行技術(shù)和數(shù)據(jù)分析，揭示了物聯(lián)網(wǎng)安全不容樂(lè)觀的現(xiàn)狀。

極棒實(shí)驗(yàn)室安全專家 宋宇昊

　　史上最大規(guī)模DDoS元兇現(xiàn)身 僵尸網(wǎng)絡(luò)席卷物聯(lián)網(wǎng)

　　2016年末，一個(gè)代號(hào)為“Mirai”的病毒通過(guò)感染IoT設(shè)備，致使美國(guó)東部大面積網(wǎng)絡(luò)癱瘓。攻擊者利用網(wǎng)絡(luò)攝像機(jī)及電子錄音設(shè)備襲擊了美國(guó)域名解析服務(wù)提供商Dyn公司，包括Twitter、Facebook在內(nèi)的多家美國(guó)網(wǎng)站無(wú)法通過(guò)域名訪問(wèn)。對(duì)此，極棒實(shí)驗(yàn)室專家宋宇昊在Cansecwest上介紹到，造成半個(gè)美國(guó)互聯(lián)網(wǎng)癱瘓的罪魁禍?zhǔn)�，是Mirai僵尸網(wǎng)絡(luò)控制下的數(shù)以10萬(wàn)計(jì)的物聯(lián)網(wǎng)設(shè)備。該僵尸網(wǎng)絡(luò)是通過(guò)物聯(lián)網(wǎng)設(shè)備——如網(wǎng)絡(luò)攝像頭、路由器等展開(kāi)一系列攻擊。

　　其實(shí)，早在Mirai病毒發(fā)酵前的2015年，GeekPwn極客大賽選手就展示了對(duì)多款路由器和網(wǎng)絡(luò)攝像頭的攻破。自2014年至今，GeekPwn舞臺(tái)上一共出現(xiàn)了18款品牌路由器，覆蓋11個(gè)品牌，囊括了中國(guó)幾乎所有的主流品牌，其中一半以上品牌路由器全球暢銷。

　　loT設(shè)備異常脆弱 攝像頭和路由器或成新“入口”

　　宋宇昊表示，雖然Mirai的聲音漸漸遠(yuǎn)去，可是物聯(lián)網(wǎng)的安全情況仍不容樂(lè)觀。這并不是一個(gè)結(jié)束，而是另一場(chǎng)悲劇的開(kāi)始。在物聯(lián)網(wǎng)這個(gè)新興市場(chǎng)上，還沒(méi)有成熟的行業(yè)標(biāo)準(zhǔn)，導(dǎo)致IoT 領(lǐng)域存在大量漏洞，從極棒大賽過(guò)去三年的比賽項(xiàng)目看，自2014年起，所有的漏洞（117個(gè)）都是高危漏洞并且直接導(dǎo)致黑客全權(quán)控制設(shè)備。其中83個(gè)漏洞未涉及內(nèi)存級(jí)別（例如緩沖區(qū)溢出漏洞），74個(gè)漏洞可以獨(dú)立被利用，換句話說(shuō)大部分的漏洞都比較低級(jí)，但是危害極大。

　　由于物聯(lián)網(wǎng)設(shè)備存在設(shè)備分散、責(zé)權(quán)不清，早期設(shè)備甚至都沒(méi)法遠(yuǎn)程升級(jí)等問(wèn)題，這就導(dǎo)致了就算知道其防護(hù)不力，也沒(méi)有辦法進(jìn)行修復(fù)。攻擊者不再需要通過(guò)入侵臺(tái)式電腦，智能攝像頭、POS機(jī)、智能手表，智能插座都有可能成為新的入侵“入口”。

（2016年GeekPwn大賽上海站選手現(xiàn)場(chǎng)演示操控智能插座發(fā)微博）

　　在GeekPwn過(guò)去的IoT比賽項(xiàng)目中，31%的是內(nèi)存級(jí)別的漏洞，此外，還有利用不安全傳輸、功能濫用、邏輯漏洞、代碼注入、硬編碼加密破解等方式。在歷屆的極棒黑客大賽上，你可以看到：路由器可以監(jiān)控、劫持網(wǎng)絡(luò)流量，導(dǎo)致用戶隱私泄露；POS機(jī)可以查詢交易記錄并盜刷現(xiàn)金；而智能兒童手環(huán)除了可以定位兒童的位置以外，還能時(shí)刻監(jiān)視兒童；智能插座等不但可以監(jiān)視用戶的日常生活軌跡，控制用戶家庭設(shè)備，甚至還有可能成為僵尸網(wǎng)絡(luò)的載體，發(fā)送微博等。在電影《激情與速度7》中，“上帝之眼”可以通過(guò)麥克風(fēng)或者鏡頭找到任何一個(gè)人，盡管電影中的情節(jié)在現(xiàn)實(shí)中未必實(shí)現(xiàn)，但宋宇昊認(rèn)為，如果我們不及時(shí)在loT領(lǐng)域采取相應(yīng)行動(dòng)，未來(lái)，人們將會(huì)面對(duì)比mirai更大的混亂。

　　由知名信息安全團(tuán)隊(duì)碁震(KEEN)成立的極棒實(shí)驗(yàn)室(GeekPwn lab)致力于包括基礎(chǔ)系統(tǒng)與協(xié)議、移動(dòng)支付、物聯(lián)網(wǎng)以及人工智能安全等新興和未來(lái)技術(shù)應(yīng)用領(lǐng)域的安全研究，并依托GeekPwn大賽等平臺(tái)，幫助智能生態(tài)產(chǎn)品提升安全性。

　　據(jù)悉， GeekPwn(極棒)將于 5 月 12 日在香港登上 “云頂夢(mèng)號(hào)”郵輪，舉辦全球首個(gè)海上極客賽事。屆時(shí)，包括人工智能、IOT等的安全問(wèn)題將再次成為備受矚目的焦點(diǎn)。