【PT展2019】奇虎360吴业超:360安全大脑之IoT防御体系(2)
另外一个调研也是之前的一个报告,其实厂商在IoT里是第一道关口,厂商做的东西不安全的话,会导致整个的安全性能降低。我们调研33%的安全厂商是不考虑这个安全性,出厂的时候不会设置一些安全模块的。64%的厂商出场是设置弱密码,但这个弱密码又没有强制用户改变,比如设置123456、8888888之类的,用户用了之后又没有强制改变弱口令的策略。另外2/3的厂商在受到漏洞的时候,三个月内不会修复的。我们之前发现了一个Dlink的漏洞报给厂商大概6个月的时间,厂商没有修复,后来一个黑客跟我们撞洞了,说那我就发吧,就发到网上了,厂商他开始重视了,因为有人在攻击他们了,那时候就开始修了,已经到6个月了,其实影响非常非常大了。
威胁不止于当前,IoT的东西不仅仅是关系到人身安全,也关系到国家的安全,包括一些网络战,现在的网络战已经从网络或者原来的系统移动到了运大物移智。之前上午讲安全问题已经转移到基础设施的打击,说一个典型案例,当年乌克兰2007年的时候遭受了一次全国大规模停电,这次停电是因为被黑客攻击,也是国家级的网络战。攻击的手法很简单就是发了一个邮件给内部员工,内部员工看了以后总统令和调度令,启动了一个红病毒,这台机器就变成了一个跳板,之后黑客通过这台机器向电厂移植了震网病毒,就控制了整个电厂,导致乌克兰大面积的停电超过10小时还是几个小时。所以基础设施的打击,对国家对城市都是有非常非常大的影响,面临的威胁,我们怎么做呢?在安全方面是非常非常重要的。
刚才说到电厂,IoT的威胁产生的蝴蝶效应也是非常非常多的,这个图里说的,火力发电、核电厂、普通电厂、水电厂,一旦被攻击可能影响到整个国家整个诚实的问题,比如我们的动力机车是靠电的,工厂的生产,还有平时城市里的基础设施。IoT最典型的就是它需要电,如果一旦没有电了,这个问题是非常大的。
另外包括卫星定位系统,包括自己的加油站,如果一旦受到攻击也是非常严重的问题,整个IoT或者军工、互联网企业一旦被攻击了,会直接影响到一些国家或者个人的安全,严重的可能会导致经济下滑。
可以举几个例子,跟大家切实相关的已知的安全问题。先说三个点,第一个是敏感信息的泄露,比如说一个设备在里面泄露了一些账号密码或者一些个人信息,第二个是远程的弱密码,能远程直接控制的,第三个是预置后门,不一定是厂商留的后门,有可能是厂商留的调试口等等。有几个点,可能涉及到隐私的安全,比如生物信息的安全,财产安全、人身安全。
第一个是2017年在网上传的某某摄像头多少钱,如果在网上买了之后就可以给你看谁谁家里的摄像头,这就涉及到未来智慧家庭的一些问题,最终这个问题是因为弱口令导致的。
另外是生物信息的安全,生物信息的安全包含指纹、虹膜、人脸,还有瞳孔等等的一些东西。现在支付宝在大力推这个东西,大家也可以在外面看到相关的机器,可以刷脸支付等等,支付宝保证绝对没有安全问题。其实这个东西之前在美国自动售货机上有一次被黑客攻击过,盗走了用户的生物识别信息就是人脸的信息,如果一旦这个东西被黑客攻击不能保证百分之百安全的,如果盗走了,你的手机等等都可以解开的。另外是门锁,门锁是保护家庭财产的第一道防线,门锁的破解也是非常简单的,像之前北京一个真实的案例,他用的复制卡,7秒钟的时间就开了。另外是人身安全,比如心脏起搏器,都是有安全问题的,如果可以直接控制,可以直接危害人身安全。(责任编辑:方向)
- “扫一扫”关注融合网微信号
免责声明:我方仅为合法的第三方企业注册用户所发布的内容提供存储空间,融合网不对其发布的内容提供任何形式的保证:不保证内容满足您的要求,不保证融合网的服务不会中断。因网络状况、通讯线路、第三方网站或管理部门的要求等任何原因而导致您不能正常使用融合网,融合网不承担任何法律责任。
第三方企业注册用户在融合网发布的内容(包含但不限于融合网目前各产品功能里的内容)仅表明其第三方企业注册用户的立场和观点,并不代表融合网的立场或观点。相关各方及作者发布此信息的目的在于传播、分享更多信息,并不代表本网站的观点和立场,更与本站立场无关。相关各方及作者在我方平台上发表、发布的所有资料、言论等仅代表其作者个人观点,与本网站立场无关,不对您构成任何投资、交易等方面的建议。用户应基于自己的独立判断,自行决定并承担相应风险。
根据相关协议内容,第三方企业注册用户已知悉自身作为内容的发布者,需自行对所发表内容(如,字体、图片、文章内容等)负责,因所发表内容(如,字体、图片、文章内容等)等所引发的一切纠纷均由该内容的发布者(即,第三方企业注册用户)承担全部法律及连带责任。融合网不承担任何法律及连带责任。
第三方企业注册用户在融合网相关栏目上所发布的涉嫌侵犯他人知识产权或其他合法权益的内容(如,字体、图片、文章内容等),经相关版权方、权利方等提供初步证据,融合网有权先行予以删除,并保留移交司法机关查处的权利。参照相应司法机关的查处结果,融合网对于第三方企业用户所发布内容的处置具有最终决定权。
个人或单位如认为第三方企业注册用户在融合网上发布的内容(如,字体、图片、文章内容等)存在侵犯自身合法权益的,应准备好具有法律效应的证明材料,及时与融合网取得联系,以便融合网及时协调第三方企业注册用户并迅速做出相应处理工作。
融合网联系方式:(一)、电话:(010)57722280;(二)、电子邮箱:2029555353@qq.com dwrh@dwrh.net
对免责声明的解释、修改及更新权均属于融合网所有。