編者按：不安全的、與互聯(lián)網(wǎng)連接的硬件設備的范圍和危險程度在持續(xù)增加。物聯(lián)網(wǎng)（IoT）設備交互方式的快速變化，創(chuàng)造了一個前所未有的安全漏洞定義的格局。對此，本文章討論了與其有關的三個主要安全問題以及一些相應的修復方法。智能設備和物聯(lián)網(wǎng)中存在的三個安全問題為：不安全的API接口、過時的固件更新機制、隱私保護不足。
2020年12月，F(xiàn)orescout發(fā)現(xiàn)了33個影響四個開源TCP/IP堆棧的漏洞，全世界數(shù)百萬臺設備都在使用這些堆棧。它們允許攻擊者以智能家居或自動化工業(yè)環(huán)境為攻擊目標，并幾乎使用任何設備作為網(wǎng)絡的入口點。
根據(jù)IBM的數(shù)據(jù)，數(shù)據(jù)泄露的平均成本不到400萬美元，組織識別和控制數(shù)據(jù)泄露平均需要280天。同時，僵尸網(wǎng)絡的破壞性潛力在過去幾年中不斷增長。他們傳播惡意軟件、發(fā)動分布式拒絕服務（DDoS）攻擊、并在社交媒體上傳播虛假信息。
一、不安全的API連接
應用程序編程接口廣泛用于設備之間的相互通信，但很少以強大的安全性構建。例如，當數(shù)據(jù)分析師直接訪問數(shù)據(jù)庫時，大多數(shù)安全系統(tǒng)都會記錄該用戶的姓名和角色。但是外部用戶可能不必提供這些憑據(jù)。因此，兩個日志條目可以是這樣的：
● John_Smith：數(shù)據(jù)分析師–172.20.118.97
● 應用程序用戶：服務賬戶–172.20.0.159
其中只有一個提供了有關用戶身份的有用信息。如果智能設備和物聯(lián)網(wǎng)設備無法收集有用的數(shù)據(jù)，則會缺乏端到端的網(wǎng)絡可見性。
網(wǎng)絡罪犯分子會在互聯(lián)網(wǎng)上搜尋公開的API令牌，這是快速創(chuàng)建和利用由僵尸物聯(lián)網(wǎng)設備組成的巨大僵尸網(wǎng)絡的最簡單方法之一。
如何解決API連接問題
安全工程師和企業(yè)IT團隊應該像對待數(shù)據(jù)網(wǎng)關那樣對待應用程序和API，這意味著要檢查API連接以進行面向安全性的更改。如果物聯(lián)網(wǎng)設備具有任何外部連接能力，則應將其配置為對傳入的用戶請求進行安全分類，并阻止未經(jīng)授權的請求。開發(fā)人員需要告知安全專業(yè)人員有關可能不為人所知的“影子API”。團隊必須共同努力，以確定已棄用和過時的API。
限制和監(jiān)視API訪問可能很重要。使用OAuth行業(yè)標準是一種理想的方法。它包含一個“設備授權類型”參數(shù)，用于容納輸入功能受限的設備，如大多數(shù)IoT設備。
二、過時的固件更新機制
IoT提供了一種通過破壞單個設備在整個網(wǎng)絡中橫向移動的功能。這些設備通常以無線方式接收固件更新，從而使它們更具吸引力，且更容易成為攻擊目標。
但是，面臨風險的不僅僅是大規(guī)模生產(chǎn)的消費類硬件。基礎設施和重型工業(yè)工具都會受到惡意固件的攻擊。2015年，烏克蘭一家主要電站發(fā)生的網(wǎng)絡攻擊就涉及惡意固件。
如果物聯(lián)網(wǎng)設備繼續(xù)激增，則需要采取新的安全措施以保護其免受惡意固件更新的侵害。隨著每個人繼續(xù)投資于處理自己的固件更新的遠程管理工具，這些類型的攻擊將變得越來越頻繁。
如何解決固件安全漏洞
任何想要保護IoT固件更新的人都會立即面臨一個基本挑戰(zhàn)，如何保護沒有用戶/密碼憑據(jù)的設備？可以使用專門為用戶身份驗證設計的安全密碼處理器，該處理器使用公私秘鑰框架來驗證傳入的請求，包括固件更新。
政府機構、企業(yè)組織和制造業(yè)可以設置條件。這樣的大型組織有權決定他們使用和不使用哪些設備，甚至可以修改消費者零售設備，以滿足安全需求。
此外，企業(yè)需要資源來開發(fā)和部署安全的IoT框架，這些框架可以在不暴露內部數(shù)據(jù)的情況下進行自我認證。有一些可用的框架可以使身份驗證和安全更新以更低的成本成為可能。
三、隱私保護不足
隱私保護和合規(guī)性正迅速成為世界各地司法管轄區(qū)的規(guī)范，歐洲有GDPR，美國加州有CCPA。這些法規(guī)已經(jīng)從根本上改變了面向消費者的科技公司的運營方式。
數(shù)據(jù)維護分析師必須向主管報告違規(guī)行為，并且必須通知受影響的個人。很容易看出該方式在社交媒體平臺上的工作原理，但是在醫(yī)院里又是如何工作的呢？與其他設備不同，與醫(yī)療物聯(lián)網(wǎng)設備相關的安全漏洞可能會立即導致生死攸關的后果。
在美國，HIPAA和HITECH規(guī)范了醫(yī)療數(shù)據(jù)的使用方式。但是，這些規(guī)則僅適用于與官方醫(yī)療保健實體合作的設備和公司，而不適用于消費類設備。
企業(yè)和行業(yè)組織在開發(fā)物聯(lián)網(wǎng)系統(tǒng)時也會遇到類似的問題。網(wǎng)絡上的設備包含有關員工的敏感數(shù)據(jù)，此類數(shù)據(jù)需要保護。不這樣做會增加身份盜用和財務欺詐的風險。
如何解決數(shù)據(jù)隱私問題
當涉及到個人可識別數(shù)據(jù)時，最重要的是根據(jù)行業(yè)標準法規(guī)保護數(shù)據(jù)的安全，即使監(jiān)管機構不要求公司執(zhí)行HIPAA合規(guī)性。
解決此問題需要朝著用戶隱私固有價值的態(tài)度進行文化轉變。并非每個人都喜歡與社交媒體巨頭共享跟蹤數(shù)據(jù)，也并非每個員工都希望分享他們的生產(chǎn)力得分。
制定了健全的網(wǎng)絡安全政策的組織將可以更好地應對個人安全問題。很少有組織堅持嚴格的數(shù)據(jù)隱私標準，將用戶隱私固有價值與ROI獨立的組織甚至更少，這些組織可能會成為未來IoT安全格局的引領者。
我們生活在一個手機、洗衣機、家用恒溫器、甚至太陽能電池板都可以被入侵僵尸網(wǎng)絡服務的時代，它們可用于對世界上任何組織進行破壞性的DDoS攻擊。
隨著醫(yī)療物聯(lián)網(wǎng)設備成為現(xiàn)實，不安全的、與互聯(lián)網(wǎng)連接的硬件設備的范圍和危險程度只會增加。未來的設備，如醫(yī)療物聯(lián)網(wǎng)，也需要從現(xiàn)在開始就考慮未來的威脅。