細(xì)思恐極：當(dāng)黑客遇上物聯(lián)網(wǎng)設(shè)備……

《連線》雜志報(bào)道稱，安全研究人員曝光了物聯(lián)網(wǎng)領(lǐng)域的諸多漏洞，從無線芭比娃娃到兩噸重的吉普車大切諾基。安全公司企業(yè)家Chris Rouland表示，如今這些展示還比不上真實(shí)世界惡意的黑客。不過，曾運(yùn)營(yíng)著頗受爭(zhēng)議的政府竊聽承包商公司Endgame的Rouland已經(jīng)轉(zhuǎn)移至a其新的創(chuàng)業(yè)公司Bastille，該公司關(guān)注物聯(lián)網(wǎng)安全，關(guān)注存在被黑客入侵的風(fēng)險(xiǎn)的數(shù)位物件。Rouland表示這些風(fēng)險(xiǎn)正在上升，“智能芭比都是這條殺傷鏈的一部分。”

以下就是2015年一些物聯(lián)網(wǎng)安全受到攻擊的事例：

聯(lián)網(wǎng)汽車

今年7月，安全研究人員Charlie Miller和Chris Valasek永遠(yuǎn)地改變了汽車行業(yè)“車輛安全”的概念，他們展示了黑客能夠遠(yuǎn)程攻擊一輛2014款Jeep Cherokee，禁用其變速器和剎車。這一發(fā)現(xiàn)導(dǎo)致菲亞特克萊斯勒前所未有地召回140萬車輛。

接著今年8月的黑客防御會(huì)議上，網(wǎng)絡(luò)安全公司CloudFlare主要研究員、Lookout聯(lián)合創(chuàng)始人兼首席技術(shù)官Kevin Mahaffey公布了一套他們從特斯拉Model S上發(fā)現(xiàn)的安全漏洞。據(jù)了解，他們通過筆記本能夠黑進(jìn)Model S儀表盤背后的網(wǎng)絡(luò)系統(tǒng)，然后驅(qū)動(dòng)這輛價(jià)值10萬美元的汽車揚(yáng)長(zhǎng)而去——或者遠(yuǎn)程植入一個(gè)木馬病毒，在汽車行駛過程中關(guān)掉引擎。在其他汽車上他們也發(fā)現(xiàn)了可遠(yuǎn)程進(jìn)行物理訪問的漏洞，即使沒有進(jìn)行測(cè)試。如今特斯拉已經(jīng)發(fā)布了這些漏洞的補(bǔ)丁。

同樣是在黑客防御會(huì)議上，安全研究員Samy Kamkarshowed開發(fā)了一款叫OwnStar的設(shè)備，它能夠遠(yuǎn)程向一輛通用汽車植入攔截通訊的軟件，這樣黑客不僅能夠?qū)ζ囘M(jìn)行定位、隨意打開車門和解鎖，還能啟動(dòng)引擎，偷車輕而易舉。而且，Kamkar很快發(fā)現(xiàn)，類似的技巧在寶馬和奔馳的應(yīng)用程序上同樣生效。幾天后，加州大學(xué)研究員也展示了能夠利用一種小型電子狗供進(jìn)汽車的儀表盤來控制汽車的速度和加速度。

所有這些引人注目的黑客都是為了傳遞一種信號(hào)，“如果消費(fèi)者沒有意識(shí)到這是一個(gè)問題，他們應(yīng)當(dāng)向汽車制造商聲討。這可是最有可能殺人的軟件漏洞。”這句話，不僅是要告訴汽車企業(yè)，也包括消費(fèi)者和監(jiān)管部門。

醫(yī)療設(shè)備

汽車并不是物聯(lián)網(wǎng)安全中會(huì)致命的設(shè)備。關(guān)鍵的醫(yī)療器材和設(shè)備也存在軟件和結(jié)構(gòu)漏洞，讓惡意黑客有機(jī)劫持和控制它們，造成致命后果。心臟病學(xué)家Dick Cheney，就一直擔(dān)心攻擊者可能會(huì)通過前副總統(tǒng)的起搏器來進(jìn)行致命的攻擊——黑客可以利用其辦公室的WiFi禁用其設(shè)備。美國(guó)阿拉巴馬大學(xué)的學(xué)生日前的實(shí)驗(yàn)證明了這個(gè)擔(dān)憂的嚴(yán)重性。“我們可以隨意提高心臟速率，或者是降低速率。”這個(gè)研究小組最后還把用作實(shí)驗(yàn)的機(jī)器人從理論上殺死了。

這些學(xué)生的實(shí)驗(yàn)雖然是基于對(duì)過去案例的研究，但確實(shí)地展示了未來存在著危機(jī)手段。

藥物輸液泵——往病人體內(nèi)輸送嗎啡、化療、抗生素和其他藥物的設(shè)備，今年同樣受到關(guān)注。網(wǎng)絡(luò)安全研究員Billy Rios在一次緊急手術(shù)后對(duì)這些東西產(chǎn)生了好奇心，然后發(fā)現(xiàn)了驚人的秘密——這些裝置存在著嚴(yán)重的漏洞，能讓黑客遠(yuǎn)程控制藥物劑量。

如今，負(fù)責(zé)醫(yī)療設(shè)備安全審批的聯(lián)邦藥品管理局已經(jīng)注意到所有這些設(shè)備和已被發(fā)現(xiàn)的問題，且已經(jīng)開始采取措施進(jìn)行補(bǔ)救。但是，醫(yī)療設(shè)備的許多問題并不能依靠一個(gè)固定、簡(jiǎn)單的軟件補(bǔ)丁來解決——相反，它們需要重新架構(gòu)系統(tǒng)。然而，所有這一切都需要時(shí)間。

其他一切事物

當(dāng)美泰兒公司給其產(chǎn)品Hello Barbie添加WiFi連接時(shí)，是為了給這個(gè)玩偶增加人工智能，能夠進(jìn)行對(duì)話，但是，該公司在Hello Barbie的智能手機(jī)應(yīng)用上留下了欺騙和攔截所有音頻記錄的連接。三星的“智能冰箱”旨在讓用戶通過WiFi同步谷歌日歷，但因?yàn)闆]有驗(yàn)證SSL證書，導(dǎo)致用戶的Gmail憑證被盜竊。即便是嬰兒監(jiān)視器也存在著令人毛骨悚然的安全隱患：黑客攻擊甚至比其他設(shè)備更容易。

甚至連槍支都難免于黑客攻擊的風(fēng)險(xiǎn)。黑客夫妻 Runa Sandvik和Michael Auger今年7月演示了一個(gè)案例，他們可以控制無線TrackingPoint狙擊步槍。改變步槍的變量系統(tǒng)、禁用步槍、錯(cuò)過目標(biāo)，甚至讓它擊中其他的目標(biāo)。

對(duì)于任何一類現(xiàn)已給定的消費(fèi)產(chǎn)品，都會(huì)有至少一家公司迫不及待地要給它們加入WiFi接入功能。但事實(shí)上，能夠保護(hù)接入WiFi后的技術(shù)，才是更重要的優(yōu)先級(jí)研究項(xiàng)目。最重要的安全措施沒有準(zhǔn)備好，如何為消費(fèi)者提供保障?