解讀丨智能家居從業者需理解的物聯網安全
- 發佈於 2020-04-29
- 來源：智能頭條
作者/西門子產品經理 易慶
網絡安全並非新的話題，每年有大量的調研機構報道全球網絡安全造成的損失，其總數都以百億甚至千億美金每年為單位。
而近年來物聯網安全又成為安全領域的新話題，2017年美國眾議院曾立法（S.1691）要求所有美國政府安裝的IoT設備需達到足夠的安全等級，並在2019年再次通過法案（S.734）責成美國國家標準局NIST頒佈標準及檢驗措施。物聯網安全獲得關注，究其原因，一方面是因為對物聯網的攻擊給黑客帶來的收益是可觀的，另一方面由於物聯網與傳統的網絡安全相比有諸多特別之處，使得物聯網安全在全網中屬於較為薄弱的環節。
黑客攻擊物聯網的收益
第一種是通過操控設備帶來的直接收益。比如通過攻入監控系統、門禁系統等帶來的收益。第二種是將物聯網設備作為薄弱環節攻擊，進而攻入整個局域網中監聽其他敏感信息帶來的收益。
在一個家庭網絡或者公司網絡中，添加物聯網設備很可能使得整個網絡的抵抗力下降。第三種是將物聯網設備當作DDoS攻擊用的Botnet以發起DDoS攻擊。
DDoS為同時調用大量的聯網設備對目標服務器發起請求，使得服務器無法正常響應而癱瘓。DDoS的收益不來自於物聯網設備，而來自於黑客從受攻擊服務器處獲得的敲詐。
由於物聯網設備數量眾多，很容易成為DDoS利用的對象，使得DDoS的實施比較容易。還存在一種可能的收益則來自於競爭對手為打擊對手而僱傭黑客進行的攻擊。不少黑客為了展現自己的能力，也可能會主動選擇國際知名品牌的產品進行攻擊並暴露於互聯網。
物聯網安全的特別之處
顯而易見的一方面是物聯網設備的節點數呈暴增態勢，Gantner的預測接入網絡的物聯網設備在2020年達到200億臺，人均3~4臺，數量的增加導致安全問題的暴露面大大增加。
另一方面的原因是物聯網設備的價格敏感性。物聯網設備並非都是新的物種，大多數是在傳統電子設備上增加通訊模塊衍生而成，甚至於是在傳統的機械產品上增加電子控制及通訊模塊衍生而成。
公司為研發新的產品投入的資金、新增加的產品物料成本、服務器租用的長期隱形成本全部疊加於一個原本價格已經特別優化的傳統產品之上，消費者已覺昂貴，在此基礎上再疊加網絡安全的研發成本、為確保安全而使得硬件性能提升的物料成本，產品的性價比及迅速普及的速度都將大大受到影響。
故而絕大多數公司在早期開發物聯網產品時進行的網絡安全考量非常有限。公司考慮盈利目的，都以先生存、後解決問題的策略進行產品開發。
第三方面，尤其對於家居物聯網設備而言，消費者又非常在乎產品的易用性、入網的便利性。網絡安全與使用便利性是天平的兩端，容易顧此失彼，因此也導致公司為宣傳產品的易用、智能而削弱安全考核。
以上都是從大的方面籠而統之地分析物聯網行業網絡安全現狀，第四個方面，落實到具體實踐層面，物聯網產品的系統複雜度，使得網絡安全的實踐也比較困難。
一個物聯網設備，舉智能家居設備為例，涉及到設備及手機應用與雲端通訊的安全，局域網絡的安全，手機應用本身的安全，硬件及固件的安全等。消費者僅僅購買一個設備，而其實背後關聯到一系列的軟件及通訊服務。信息週轉的鏈條增長擴大了問題的暴露面，每一個環節需要細心考究才能保障整個系統的安全可靠性。
設備、手機應用與雲端通訊的安全可能是較為容易處理的環節。考慮到雲端服務器的計算能力較強，與設備及用戶之間實現雙向認證鑑權、非對稱加密進行密鑰協商、定期更新密鑰等，都是較為容易實現的手段。公司通過購入大型雲服務平臺的服務，這些功能都有機會快速地集成到產品中。
儘管如此，依然有大量的物聯網設備的廣域網通訊安全存在隱患，且有的廣域網方案為手機與設備通過TCP/TP通道直連，不通過雲端，其安全實踐更為困難。
2016年發生的著名的Mirai DDoS攻擊是有報道的最大的一次DDoS攻擊之一，導致互聯網基礎設施服務商Dyn DNS服務癱瘓，大量的主流網站如Twitter，Netflix等都受到影響。Mirai使用的方法即是在網絡中尋找使用出廠默認密碼的IoT設備進行利用。
受感染的設備超過10萬臺聯網攝像頭、打印機等。拜IoT設備所賜，在那之後的2017全年報道的DDoS攻擊同比增加了91%，在黑市對一個公司的網絡進行1個小時的攻擊價格降到了100美金甚至以下。儘管受DDoS徵用的物聯網設備功能不受影響，用戶也許感受不到損失，但品牌商不可不考慮其風險。
其潛在的隱患是，既然設備可以被徵用，被用於其他的網絡犯罪也存在可能，且如果被新聞報道該產品被利用於DDoS攻擊，品牌聲譽將大大受到影響。
局域網的通訊常常是個薄弱環節，一方面局域網的通訊加密非常依賴於設備本身的計算能力，另一方面局域網的攻擊可能（但非一定）需要黑客進入到網絡覆蓋範圍之內，其實踐的效率及成本高於遠程攻擊，故而容易被忽略。局域網的通訊又包括設備自有網絡之間的通訊（如Zigbee、ZWave、BLE Mesh及其他各種私有協議等），及設備與設備通過路由器實現的局域網絡通訊。
設備自有網絡的通訊安全極大地依賴於各通訊協議的定義，設備商為了保障設備與開放協議的兼容性，不便於在其上增加私有的安全保障，這些不同的通訊協議的安全問題，往往是採用同一協議的整個行業的問題，而非單個企業的問題，故不在此細談。
設備與設備在路由器組成的局域網中的通訊，很容易成為薄弱環節，攻擊入家庭的Wi-Fi網絡是黑客們的家常便飯，如果設備本身不進行通訊加密處理，則其信息很容易暴露。如果應用場景中不涉及用戶隱私信息及安防等應用場景，可酌情考慮其安全等級；而如果應用場景中包含隱私信息或安防等場景，則必須要嚴格把控。
儘管局域網入侵可能需要黑客近距離監聽，而黑市上可以購買到的監聽器其實廉價易得，黑客僅需將電池供電的監聽設備部署於環境中監聽一段時間再取回分析即可。且黑客也可通過惡意軟件將監聽程序遠程部署到本地設備上進行監聽，使得遠程攻擊也成為可能。在過去的報道中即出現過黑客採用設備的mac地址即可破解智能硬件在局域網通訊的例子。
IoT設備一般都配套有相應的手機應用進行配置或控制。手機應用被用戶登錄之後往往代表了主人的所有權限。故手機應用的安全至關重要，涉及到用戶賬號的管理，敏感信息在手機本地的存儲，手機應用給手機系統授予的權限等方面的問題。
黑客曾宣稱過一種使用偽裝的第三方APP來竊取智能家居APP控制權限的辦法，智能家居APP如果允許用戶授予手機系統過多的權限，該偽裝的APP即可通過獲取該權限來竊權智能家居設備的控制能力。誘導用戶在自己的手機上安裝該第三方APP，且在第三方APP中留有後門，黑客即有機會通過該APP獲取對智能家居APP的控制權限。
物聯網設備本身的安全，如安全啟動、固件的加密存儲、密鑰信息及用戶信息的加密存儲等，也是容易忽略的薄弱環節。黑客通過拆解設備讀取固件反向分析，有可能獲得設備工作、通訊的邏輯，從而找到攻破正常用戶的辦法。但固件的加密需要加密芯片的支持，其成本不菲，是否引入需要根據實際需求做出謹慎決策。
在智能硬件設備中明文存儲Wi-Fi密碼、通訊密鑰的事情，也曾有過多起報道。若罪犯拆解受害者家中的設備讀取Flash中的信息，可獲得設備的通訊密鑰。不過在這樣的案例中，罪犯若能拆解家中的設備，無疑其已通過物理手段入侵到家中，實際已經不再是網絡安全的問題了。產品開發中的安全實踐程度需要與產品的應用場合緊密結合作出決策，過度設計也需要被避免。
行業法規
網絡安全是極深而專業的課題，且涉及到方方面面，實踐起來是個系統工程，上文僅僅是概述而已。前文也提到，企業在決定網絡安全方案時需考慮實際應用需求，美國國家標準局提供了一份指導標準（NISTIR 8259），建議企業實踐物聯網安全的規範流程及最基本的考核方面，對於未建立完善的網絡安全實踐流程的企業，可參考該流程建立公司規範。
在具體的實踐中，何種應用需要達到的何種最低安全標準，目前各個國家都還處在制定標準的早期，但也已有了不少進展。全國信息安全標準化委員會已發佈了徵詢企業意見的《智能家居安全通用技術要求》草案版本，歐洲、韓國也有物聯網安全相關的法規頒佈。但目前為止，這類法規普遍未針對不同的應用場景進行區分，若所有的設備一律滿足同一份標準，可實踐性又存在問題。
新加坡政府的做法非常值得借鑑，其公告稱將要求企業在智能家居設備上增加網絡安全等級的標識（與家電能效等級標識類似），其參考的執行標準為歐洲的TS 103 645。
筆者預計，在近兩年內行業標準將越來越成熟，對於企業而言，宜未雨綢繆，儘早部署一定的資源，以防標準普及時措手不及。
IoT產品經理所需的網絡安全知識
筆者目前為一名智能家居產品經理。深入思考物聯網安全的現狀，筆者認為，成為一名優秀的IoT產品經理，需具備如下能力及知識：
1、理解所在行業客戶對網絡安全的需求及痛點
2、理解在產品使用過程中涉及到的網絡安全環節及其技術手段的優劣勢
3、深入研究過去披露的業內公司網絡安全問題及其應對策略
前兩點有助於產品經理準確定義產品在網絡安全方面的需求，第三點一方面幫助產品經理印證產品定義，另一方面也有助於對未來潛在暴露的安全問題做好應對措施。由於成本和效益的考量，不存在絕對安全的產品，故做出合理定義，提前計劃好應對措施，才是對業務負責的表現。
特別緻謝：感謝西門子網絡安全專家閆韜博士提供的指導意見！
