物联网时代移动互联下的数码安全新挑战

　　去年4月份那会儿，我原以为给物联网设备打补丁就跟给手机刷个固件似的——结果被现实按在地上摩擦。当时我们负责维护的某款智能摄像头，突然被曝出存在未授权访问漏洞，厂商那边连夜推了个补丁，我带着俩新人熬到凌晨三点给三百多台设备升级，结果第二天发现，有十二台直接变砖了。后来一查，好家伙，补丁里居然嵌了段硬编码的IP地址，跟某些老型号设备的网关冲突——这事儿放十年前，顶多算个低级错误，可现在呢？物联网设备动不动就跨平台、跨协议，补丁稍微有点兼容性问题，直接就能让整个网络瘫痪。

文章配图，仅供参考

　　但说真的，物联网时代的安全问题，最让我后怕的不是技术漏洞，而是“优胜劣汰”的残酷性。去年我们处理过一起智能门锁的攻击事件，攻击者通过伪造蓝牙信号，直接绕过了门锁的加密验证——这事儿要是发生在传统门锁上，顶多算个撬锁，可智能门锁一旦被攻破，用户连换锁都得找厂商，普通锁匠根本搞不定。更绝的是，有些厂商为了降低成本，居然把加密密钥硬编码在固件里，攻击者只要逆向分析一次，就能批量破解所有设备——这种“劣币驱逐良币”的操作，比技术漏洞本身更可怕。我原以为安全是个技术问题，结果发现它更像个市场问题——用户只关心价格和功能，厂商只关心出货量和利润，安全？那得等出事了才有人想起来。

　　那天晚上我加班到十点，路过增长组的工位，看见老李正对着电脑发愁——他们新上的裂变活动，用户增长曲线突然断崖式下跌。我凑过去看了眼，发现活动页面的埋点数据全乱了，用户点击“分享”按钮的次数，比实际分享成功的次数多了三倍。老李挠着头说：“这数据对不上啊，我们按点击量算的奖励，结果用户说没收到，现在全在投诉。”我瞄了眼他的屏幕，发现他用的数据看板还是上季度末做的，好多指标都没更新——这场景我太熟悉了，去年双十一我们搞促销，也是因为埋点错乱，把“加入购物车”和“下单”的口径对混了，结果汇报上去的分母是空的，被领导骂了整整一周。

　　不过话说回来，物联网时代的安全挑战，也不是完全没好处——至少它让那些混日子的厂商现了原形。去年我们处理过一起智能音箱的漏洞，攻击者能通过语音指令远程控制设备，甚至窃听用户对话。这事儿曝光后，那家厂商的销量直接腰斩，三个月后就被收购了。而另一家坚持做安全加固的厂商，虽然产品贵点，但用户忠诚度奇高，复购率比行业平均水平高了两倍。所以你看，优胜劣汰这事儿，在物联网时代反而更明显了——安全做不好的厂商，早晚会被市场淘汰，而那些肯在安全上投入的，反而能活得更久。当然，这话我也就敢在这儿说说，真要跟厂商提安全需求，他们第一反应肯定是：“这得加多少钱？”

　　现在回头看，去年4月份那场补丁事故，其实算是给我们敲了个警钟——物联网设备的安全，从来不是单点问题，而是整个生态的问题。从硬件设计到固件开发，从网络传输到云端存储，任何一个环节出问题，都可能引发连锁反应。而最要命的是，这个生态里的参与者，大多只关心自己的那点利益，没人愿意为安全买单。我原以为随着技术发展，这些问题会慢慢解决，结果发现，技术越先进，漏洞越隐蔽，攻击手段越复杂——这哪是安全挑战，分明是场没有尽头的军备竞赛。

　　不过话说回来，抱怨也没用，该干的活还得干。下周我们要给另一款智能家电做安全审计，听说那家厂商的固件里嵌了段十年前的开源代码，漏洞多得像筛子。老李昨天还找我，说他们增长活动需要设备活跃数据，让我帮忙调个接口——我瞅了眼他的需求文档，发现他又要把“设备在线”和“用户互动”的口径混在一起算。我叹了口气，没说话——有些事儿，说了也没用，等出问题了，自然就懂了。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!