編者按：不安全的、與互聯網連接的硬件設備的范圍和危險程度在持續(xù)增加。物聯網（IoT）設備交互方式的快速變化，創(chuàng)造了一個前所未有的安全漏洞定義的格局。對此，本文章討論了與其有關的三個主要安全問題以及一些相應的修復方法。智能設備和物聯網中存在的三個安全問題為：不安全的API接口、過時的固件更新機制、隱私保護不足。

　　2020年12月，Forescout發(fā)現了33個影響四個開源TCP/IP堆棧的漏洞，全世界數百萬臺設備都在使用這些堆棧。它們允許攻擊者以智能家居或自動化工業(yè)環(huán)境為攻擊目標，并幾乎使用任何設備作為網絡的入口點。

　　根據IBM的數據，數據泄露的平均成本不到400萬美元，組織識別和控制數據泄露平均需要280天。同時，僵尸網絡的破壞性潛力在過去幾年中不斷增長。他們傳播惡意軟件、發(fā)動分布式拒絕服務（DDoS）攻擊、并在社交媒體上傳播虛假信息。

　　一、不安全的API連接

　　應用程序編程接口廣泛用于設備之間的相互通信，但很少以強大的安全性構建。例如，當數據分析師直接訪問數據庫時，大多數安全系統都會記錄該用戶的姓名和角色。但是外部用戶可能不必提供這些憑據。因此，兩個日志條目可以是這樣的：

　　● John_Smith：數據分析師–172.20.118.97

　　● 應用程序用戶：服務賬戶–172.20.0.159

　　其中只有一個提供了有關用戶身份的有用信息。如果智能設備和物聯網設備無法收集有用的數據，則會缺乏端到端的網絡可見性。

　　網絡罪犯分子會在互聯網上搜尋公開的API令牌，這是快速創(chuàng)建和利用由僵尸物聯網設備組成的巨大僵尸網絡的最簡單方法之一。

　　如何解決API連接問題

　　安全工程師和企業(yè)IT團隊應該像對待數據網關那樣對待應用程序和API，這意味著要檢查API連接以進行面向安全性的更改。如果物聯網設備具有任何外部連接能力，則應將其配置為對傳入的用戶請求進行安全分類，并阻止未經授權的請求。開發(fā)人員需要告知安全專業(yè)人員有關可能不為人所知的“影子API”。團隊必須共同努力，以確定已棄用和過時的API。

　　限制和監(jiān)視API訪問可能很重要。使用OAuth行業(yè)標準是一種理想的方法。它包含一個“設備授權類型”參數，用于容納輸入功能受限的設備，如大多數IoT設備。

　　二、過時的固件更新機制

　　IoT提供了一種通過破壞單個設備在整個網絡中橫向移動的功能。這些設備通常以無線方式接收固件更新，從而使它們更具吸引力，且更容易成為攻擊目標。

　　但是，面臨風險的不僅僅是大規(guī)模生產的消費類硬件。基礎設施和重型工業(yè)工具都會受到惡意固件的攻擊。2015年，烏克蘭一家主要電站發(fā)生的網絡攻擊就涉及惡意固件。

　　如果物聯網設備繼續(xù)激增，則需要采取新的安全措施以保護其免受惡意固件更新的侵害。隨著每個人繼續(xù)投資于處理自己的固件更新的遠程管理工具，這些類型的攻擊將變得越來越頻繁。

　　如何解決固件安全漏洞

　　任何想要保護IoT固件更新的人都會立即面臨一個基本挑戰(zhàn)，如何保護沒有用戶/密碼憑據的設備？可以使用專門為用戶身份驗證設計的安全密碼處理器，該處理器使用公私秘鑰框架來驗證傳入的請求，包括固件更新。

　　政府機構、企業(yè)組織和制造業(yè)可以設置條件。這樣的大型組織有權決定他們使用和不使用哪些設備，甚至可以修改消費者零售設備，以滿足安全需求。

　　此外，企業(yè)需要資源來開發(fā)和部署安全的IoT框架，這些框架可以在不暴露內部數據的情況下進行自我認證。有一些可用的框架可以使身份驗證和安全更新以更低的成本成為可能。

　　三、隱私保護不足

　　隱私保護和合規(guī)性正迅速成為世界各地司法管轄區(qū)的規(guī)范，歐洲有GDPR，美國加州有CCPA。這些法規(guī)已經從根本上改變了面向消費者的科技公司的運營方式。

　　數據維護分析師必須向主管報告違規(guī)行為，并且必須通知受影響的個人。很容易看出該方式在社交媒體平臺上的工作原理，但是在醫(yī)院里又是如何工作的呢？與其他設備不同，與醫(yī)療物聯網設備相關的安全漏洞可能會立即導致生死攸關的后果。

　　在美國，HIPAA和HITECH規(guī)范了醫(yī)療數據的使用方式。但是，這些規(guī)則僅適用于與官方醫(yī)療保健實體合作的設備和公司，而不適用于消費類設備。

　　企業(yè)和行業(yè)組織在開發(fā)物聯網系統時也會遇到類似的問題。網絡上的設備包含有關員工的敏感數據，此類數據需要保護。不這樣做會增加身份盜用和財務欺詐的風險。

　　如何解決數據隱私問題

　　當涉及到個人可識別數據時，最重要的是根據行業(yè)標準法規(guī)保護數據的安全，即使監(jiān)管機構不要求公司執(zhí)行HIPAA合規(guī)性。

　　解決此問題需要朝著用戶隱私固有價值的態(tài)度進行文化轉變。并非每個人都喜歡與社交媒體巨頭共享跟蹤數據，也并非每個員工都希望分享他們的生產力得分。

　　制定了健全的網絡安全政策的組織將可以更好地應對個人安全問題。很少有組織堅持嚴格的數據隱私標準，將用戶隱私固有價值與ROI獨立的組織甚至更少，這些組織可能會成為未來IoT安全格局的引領者。

　　我們生活在一個手機、洗衣機、家用恒溫器、甚至太陽能電池板都可以被入侵僵尸網絡服務的時代，它們可用于對世界上任何組織進行破壞性的DDoS攻擊。

　　隨著醫(yī)療物聯網設備成為現實，不安全的、與互聯網連接的硬件設備的范圍和危險程度只會增加。未來的設備，如醫(yī)療物聯網，也需要從現在開始就考慮未來的威脅。