跳至主要內容

切勿轻视物联网的安全


切勿轻视物联网的安全

日期 : 2018年11月30日

作者 : 网络安全精英嘉许计划2017金奖得奖者郭夕霞小姐

 

物联网发展迅速

「物联网」Internet of Things (IoT)的构想最早在微软创办人比尔盖兹于1995年出版的《未来之路》(The Road Ahead)一书中出现。当时幻想中的智能家居,所有家庭大小电器,以至照明系统、家俬,都可以连线和沟通。随着科技发展,书中情节逐渐实现。智能电话的出现与普及令物联网装置的数量迅速飊升。时至今日,全球估计有超过100亿个使用中的物联网装置。只要一机在手,就可以随时随地监测和遥控家中设备。与此同时,物联网的应用,亦从个人层面的智能家居、汽车系统、健康监测,逐步延伸至社会层面,有助发展智慧城市,甚至引发大规模工业生产的变革。

保安追不上,黑客有机可乘

物联网装置市场庞大,竞争也十分激烈。其装置产品五花八门,厂商为了节省成本和缩短推出市面的时间,往往忽略了产品的网络保安功能。事实上,物联网装置的用户、装置设备本身、连接装置至云端数据库的互联网、当中涉及的应用程式、终端设备和用户等,环环相扣,每一部份都可成为黑客的攻击对象。

简单来说,目前物联网系统的保安问题主要包括:系统本身的保安漏洞,令黑客可以透过执行程式,遥距控制物联网装置;另外,装置出厂时只提供少量保安措施,甚至没有提供任何保护,例如预设开放不必要的服务(例如FTP),别有用心的黑客自然一击即中;就算产品有预设登入密码,预设的密码亦过于简单,如用户没有更改密码,便很容易被撞破;最后就是用户教育方面做得不足,很多产品缺乏严正警告,提醒用户定期更改密码和更新软件,而用户对于保安意识薄弱,往往忽略保护措施,让黑客有机可乘。

物联网保安措施

根据物联网保安研究报告,暂时并没有单一的解决方案,足以完全杜绝黑客的恶意攻击,以及随之衍生的用户钱财损失和敏感资料外泄,甚至广泛的物联网服务中断所引起的社会乱局。

针对网络犯罪活动,业界与用户必须同心协力,应付物联网的保安问题。首先从基本做起,为物联网系统设置保安措施,例如防毒软件、防恶意攻击软件、防火墙、系统及网络监察等,并定期更新软件和病毒定义。

同时,用户方面要做好防御措施。设置物联网装置时往往需要登入户口,除了用户名称和密码,亦可使用双重认证(2FA即2-Factor Authentication),例如电子证书和生物特征辨析。大部份物联网装置均有预设密码,用户使用前最好阅览一次所有设置,更改预设密码,而更改密码时最好使用复杂的组合,避免使用过于简单的字串作为密码。同样地,装置上如有预设服务,例如FTP, TELNET等,这些均为没有加密的服务,如没有必要使用,应关闭这些服务。大部份装置均设有记录(logging)功能,通常预设为关闭状态。建议启用记录功能,并定期翻看记录以侦测可疑的活动。

当物联网需要连接网络作遥距使用时,如没有加密措施,则所传输的资料容易被窃看甚至窜改。尤其现今大部份物联网采用网页或手机应用程式作为遥控介面,要减低资料被窃看导致外泄的风险,应为物联网实施加密,包括终端设备和后勤系统。现时普遍使用HTTPS协定,然而以往所采用的SSL 2.0和SSL 3.0加密技术已知有保安漏洞,业界已不建议使用SSL,取而代之的是TLS。随后,TLS 1.0亦被发现有保安漏洞。根据PCI安全标准,2018年6月30日后不可启用TLS 1.0,应使用TLS 1.1或以上版本。此外,物联网内的所有加密措施,应配合加密锁生命周期管理,适时进行加密更新,才可避免加密的效用随着时间降低。

大数据、人工智能(AI即Artificial Intelligence)、区块链、智慧城市等均是热门话题,亦能够与物联网紧密联系。譬如为物联网的安全状态进行人工智能分析,包括收集、整合、监测来自物联网设备的大数据,一旦发现物联网系统的活动偏离常态,即自动发出警报和行动指引。再者,区块链可融合物联网。由于物联网装置和平台较零散,供应商各有标准和规范,技术、支援、发展的互通性较低,亦缺乏弹性。区块链技术正好填补物联网这些方面的缺陷,为各方的装置互通建立信任关系,化解各供应商的装置的互通限制。物联网的应用范围广泛,除了涵括日常生活常用的装置,它亦是建设智慧城市的重要部份。总括来说,应用新技术,持续改进,加强保安,相信物联网的发展可一日千里。

延伸阅读:

  1. TechRadarTM: Internet Of Things Security, Q1 2017
  2. PCI Security Standards Council: Are You Ready for 30 June 2018? Saying Goodbye to SSL/early TLS
  3. HKCERT: SSL/TLS通讯保密协议保安指引
  4. 智慧城市与物联网

回页顶