打印机摄像头也会被黑 物联网设备恐成网络安全重灾区

本篇文章4260字，读完约11分钟

打印机和路由器会变成“后门”，照相机会变成“黑色”

物联网设备可能成为网络安全的重灾区

随着人工智能的迅速发展，一个以物联网为标志的智能生活的新时代正在到来。目前，物联网设备市场呈指数级增长，传统设备接入互联网已成为技术发展和工业应用的总趋势。

在人们享受物联网带来的便利的同时，物联网终端的安全问题逐渐暴露出来，甚至成为最薄弱的环节。网络打印机和路由器可能被黑客用来窃取国家机密、商业机密和个人隐私。

专家表示，随着5g商业化进程的加快，重视物联网设备的安全性并尽快升级保护措施变得越来越迫切。

物联网为黑客“打开了大门”

不久前，国外发生了一次利用智能鱼缸的黑客攻击。虽然听起来很奇怪，但它暴露了物联网设备的安全问题。

据报道，被攻击的赌场位于北美，其物联网设备——智能鱼缸与互联网相连，可以实现自动喂食，保持环境、温度和清洁。然而，正是这种看似不起眼的物联网设备成为黑客攻击的目标。因为它可以称为整个赌场内部网络的“后门”——最薄弱的环节，黑客首先入侵智能鱼缸，进入赌场内部网络，然后扫描它，发现漏洞，进入网络中的其他地方，最后神不知鬼不觉地窃取赌场数据。

据业内人士称，物联网设备成为黑客攻击的捷径并不是危言耸听。2014年1月，一次针对物联网设备的攻击捕获了超过10万台联网设备，包括电视、路由器和至少一台智能冰箱，并且每天发送30万条垃圾邮件。攻击者从任何一台设备发送的消息只有10条，因此很难阻止或找出攻击的来源。

“智能鱼缸变成‘后门’绝非偶然。”科技专栏作家金智媛表示，网络咖啡机、冰箱、智能画板、电动窗帘、路由器等等。可能都是目标。随着物联网设备的激增，黑客进入内部网窃取数据的渠道越来越多。

目前，以大数据和人工智能为代表的新一轮科技革命正在孕育和兴起，并以前所未有的速度和方式影响和改变着世界。社会正在走向一个智能时代，在这个时代，一切都是相互联系的，一切都是新的。与之相伴的是，物联网正悄然进入人们的生活，越来越多的个人将会连接到物联网系统，甚至垃圾箱将来也可能会连接到互联网。

随着物联网设备的出现，黑客攻击通过蝴蝶效应蔓延到物联网的更多节点，影响范围将迅速扩大。在物联网环境中，个人之间的联系越紧密，任何针对个人的网络攻击就越有可能扩散到更广的范围，并且攻击造成的破坏程度将远远大于对个人计算机和移动终端的攻击。物联网时代的网络安全维护正成为一个需要统筹协调的“大游戏”。

相关数据也支持这一点。国家互联网应急中心发布的《2017年中国互联网网络安全形势综述》显示，物联网正在加速融入人们的生产生活，传统的网络攻击和风险正在向物联网和智能设备扩散。

数据显示，在2017年纳入国家信息安全漏洞共享平台的安全漏洞中，联网智能设备的安全漏洞多达2440个，同比增长118.4%，主动控制的物联网设备每天有27000个ip地址，主要涉及家庭路由器、网络摄像头和会议系统。

国家互联网应急中心副主任云表示，与计算机不同，路由器、交换机、网络摄像头等网络化智能设备一般都是随时在线的，用户在受到控制后不容易被发现，而且经常被黑客控制，成为ddos攻击(分布式拒绝服务攻击)的“稳定”攻击源。

国家互联网应急中心对一些恶意程序发起的ddos攻击进行了抽样监测，发现控制端的ip地址和被攻击的ddos攻击的ip地址主要位于中国境外，但用于发起ddos攻击的资源主要是中国境内大量受入侵控制的网络化智能设备。这也使得查找和调查这些物联网攻击变得困难。

根据NSFOCUS技术发布的《2017年网络安全年度报告》，从全球分布来看，暴露的路由器数量超过4900万台，远远高于其他物联网设备的暴露；视频监控设备暴露数量超过1100万台，高于防火墙、交换机等传统网络设备；打印机的曝光更令人惊讶，多达890，000个单位曝光。惠普曾经说过，在数亿台商用打印机中，只有不到2%是真正安全的。

中国工程院院士吴在第二届世界智能大会“窄带物联网发展论坛”上尖锐指出，物联网和工业物联网的发展带来了新的安全问题，一旦受到影响，形势将更加严峻。“工业互联网的物联网不是简单地影响个人的设备，而是会影响生产管理系统和控制系统并扩展到更广泛的范围。”

360技术总裁兼首席安全官谭也指出，在物联网时代，原有的安全威胁从单一的信息安全扩展到民生安全、经济安全、关键基础设施安全、城市安全、社会安全乃至国家安全的“大安全”。

不仅办公设备，而且越来越受家庭欢迎的智能相机都存在个人隐私泄露的隐患。智能相机应该被用作防止家庭安全的利器，但众所周知，可能有数百只奇怪的眼睛在窥视你的家。2017年6月18日，媒体曝光了家用摄像头的安全隐患。通过扫描应用，罪犯可以破解用户家中智能相机的ip地址，从而远程操作相机，窃取或拦截相机中的图片。相机破解的ip地址也被公开兜售，用户的隐私就像网络中的裸奔。物联网设备被破解造成的危害令人不寒而栗。

廉价的物联网设备缺乏安全保护

智能生活越方便，物联网设备的漏洞就越大。以无人售货机为例，其工作原理是通过物联网技术建立用户与商品之间的联系，用户只需通过移动支付就可以完成购买过程。然而，这种在现代生活中似乎很常见的便捷操作却隐藏着巨大的安全隐患。

2017年7月，美国自动售货机供应商avanti markets被黑客入侵了内部网。攻击者在终端支付设备中植入了恶意软件，窃取了用户的信用卡账户和生物特征数据等个人信息。

所有行业都意识到物联网设备的安全漏洞。在其2018物联网预测中，弗雷斯特研究公司指出，安全漏洞是部署物联网解决方案的公司主要关注的问题，这也是考虑部署物联网解决方案的公司最关心的问题。然而，大多数公司没有始终如一地应对物联网的安全威胁，业务压力压倒了技术安全问题。

这一判断本身就说明了物联网设备看似棘手的安全漏洞背后的真相。

为什么物联网设备经常被黑客攻击和使用？互联网信息平台极客公园得出结论，第一个原因是成本考虑。为了节约成本，一些物联网设备制造商使用通用的开源操作系统或未经安全测试的第三方组件，这很可能会引入漏洞。同样基于成本考虑，大多数物联网设备不保护调试接口，这给了攻击者利用它的机会。

“在大量低成本的物联网设备上，几乎不可能使用复杂且耗电的现有安全系统。”一位网络安全专家无奈地说。

许多制造商缺乏安全意识和能力。在开发物联网智能设备时，没有考虑安全因素，导致软件和硬件存在安全漏洞。此外，许多设备还缺乏软件安全更新机制或该机制不安全，导致漏洞无法修复并带来不良后果。

此外，认证和授权机制薄弱。物联网中智能终端设备的规模非常大，协同工作的设备可能属于不同的供应商，这使得终端之间的身份认证难以实现。大量设备仍然使用弱密码，这使得黑客很容易控制设备。

吴也认为，目前物联网的加密往往比较简单，而要实现相对安全的加密，还需要很大的努力。以工业物联网为例，其设备多种多样，传感器、接口标准和通信协议相当复杂，不容易实现安全性。同时，个人电脑和手机也可能被木马控制。他们长时间不工作，物联网的节点总是在线的。尽管它们没有全部连接到外部网络，但由于管理疏忽，即使在物理隔离之后，它们也可能感染外部网络病毒。

路由器的高风险漏洞导致德国数百万用户与互联网断开，黑客入侵了15万台打印机，智能泰迪熊泄露了200多万条亲子聊天记录。与物联网设备漏洞相关的黑客攻击屡有发生，使得国外对物联网设备的安全风险保持警惕。美国联邦调查局警告家长，网络玩具有泄露隐私的风险，黑客可以通过攻击网络玩具获取儿童姓名和地点等个人信息。

对物联网设备的攻击远比数据盗窃更加有害。安全研究人员演示了如何在家中的智能恒温器上安装ransomware。他们甚至可以将温度升至95摄氏度，并拒绝恢复正常温度，除非受害者同意支付比特币支付的赎金。他们还可以对联网的车库门、车辆甚至家用电器发起类似的攻击。随着无人驾驶的日益普及，黑客可以控制车辆、更换电台、打开雨刷、迫使车辆停车，甚至造成交通事故。更令人担忧的是，黑客可能会攻击植入人体的具有无线功能的医疗设备，从而危及人体健康。

国际权威咨询公司高德纳(Gartner)预测，到2020年，全球物联网设备数量将达到260亿台，因此迫切需要解决物联网设备的安全保护问题。

提高物联网设备的保护能力迫在眉睫

“当今社会越来越需要‘高度安全’。”360集团董事长兼首席执行官周在第二届世界智能大会上指出，在物联网时代，网络攻击已经开始威胁智能经济的健康发展。

为此，他提出了“安全大脑”的概念，希望构建一个超大型的分布式智能安全系统，综合利用人工智能、大数据、云计算和区块链等新技术来保护基础设施、社会、城市和个人的网络安全，他的智能安全防护能力将进一步扩展到工业互联网、汽车联网、物联网、城市安全等领域。

对于我国来说，解决物联网设备的安全问题同样紧迫。最近，中国大力出台政策，促进ipv6、5g、工业互联网等的发展。，并力争在今年开展商业试点项目。这将促进物联网的普及和物联网设备数量的快速增长。同时，由于设备制造商安全能力的缺乏和行业监管的不完善，物联网设备的安全威胁将会加剧。到那时，政府机构、工商企业甚至个人家庭都更有可能暴露在黑客的视野中。

专家认为，政府机关、具有公共属性的企事业单位应尽快加强内部物联网设备的安全调查和日常监控。在故障排除中，我们可以关注是否存在漏洞、过去的攻击以及被攻击ip地址的来源。同时，关闭不必要的远程服务端口，修复弱密码，定期进行网络安全风险评估，提高防护水平。

同时，国内物联网设备制造商提升自身安全水平也是不可或缺的。“物联网设备的常见漏洞是硬件接口暴露、未经授权的访问等。这些安全问题在技术上并不高，在发生之前是可以预防的。”NSFOCUS技术总建筑师杨传安建议，制造商应做好设备全生命周期的安全保障工作，并有完整的网络安全应急预案，包括设备出厂时的安全风险评估，不使用统一的默认密码等。

此外，我们应该警惕物联网战场上传统网络攻击的变化。在物联网的战场上，许多传统的攻击方法都找到了新的发挥空.例如，网络嗅探、远程代码执行以及云服务器崩溃导致的受控设备崩溃都是物联网技术中传统攻击方法的新应用场景。这些传统的攻击手段不应该被所有的链接轻易忽视。

最后，相关部门在购买智能网络设备时也应保持警惕，以免成为“后门”。一旦发现“后门”被故意留下，应果断采取严厉的纪律措施，以法律法规为榜样。

记者毛振华天津报道