2016物联网黑客（物联网威胁）

本文目录一览：

• 1、物联网黑客：如何再次打破智能家居
• 2、解密，黑客到底如何对物联网进行攻击
• 3、数据安全有哪些案例？
• 4、物联网信息安全有保障吗？会不会被黑客攻击从而被监控？
• 5、盘点一下，有哪些著名的黑客入侵案？

物联网黑客：如何再次打破智能家居

随着科技的发展，越来越多的用户开始使用物联网设备了，而且用户在购买这些设备时，往往会选择功能更先进且更丰富的产品。但是从安全社区的角度来看，我们并没有对这些逐渐“渗透”进我们生活的设备给予足够的“关怀”。

虽然近些年来已经有很多安全研究人员对联网设备进行了安全分析，但是安全威胁仍然一直存在，而这些东西肯定会让用户处于安全风险之下。今天，我们将选择一款智能集线器进行分析，这种设备具备多种用途，比如说控制家庭环境中的传感器和设备、用于能源或水利管理、安全监控或用于安全系统之中。

这种小型设备可以从所有与之相连的设备中获取信息，如果当前环境中出现了意外情况，它将会通过手机短信或电子邮件来提醒用户。有趣的是，它还可以连接到本地紧急服务，并根据情况向用户发送警告信息。所以说，如果某人能够入侵这种智能家庭系统并接管家庭控制器的话，这不仅对用户来说是可怕的噩梦，而且还会影响紧急服务的功能。

在我们的分析过程中，我们发现其中存在多个逻辑漏洞，而这些漏洞将成为攻击者可以使用的攻击向量。

物理访问

首先，我们需要检测攻击者从网络外部所能利用的漏洞。我们很容易便从网上找到了这款集线器的固件，而且还可以直接下载。所以说，任何人都可以直接对固件文件进行分析，甚至修改固件内容。

我们还发现，其中root帐号的密码存储在一个隐藏文件中，并且使用了DES算法进行加密。可能有些同学知道，DES加密算法并不安全，而且很容易破解。因此，攻击者可以通过暴力破解的方式获取到密码哈希，并破解出‘root’帐号的密码。

为了使用root权限访问设备并修改文件，或者执行恶意命令，物理访问是必须的。

我们拆开了设备的外壳，但这并不是所有攻击者都能够做到的。不过我们的进一步分析表明，我们还有其他的方法来获取到设备的远程访问权。

远程访问

在对集线器进行个性配置并检查所有连接设备时，用户可以选择使用移动端App，或通过Web页面来完成。当用户设置完成之后，所有的设置信息都会封装到config.jar文件中，而集线器将会下载并执行这些配置。

但是我们可以看到，config.jar文件是通过HTTP发送的，而设备识别符使用的是设备的序列号。所以，攻击者可以使用任意序列号来发送相同的请求，并下载配置文件。可能有的同学会觉得序列号是唯一的，但是开发人员表示：序列号并没有受到很好的安全保护，而且可以通过暴力破解的形式获取到。为了获取序列号，远程攻击者可以发送特制的伪造请求，并根据服务器端的响应信息来判断当前序列号是否已在系统中注册。

除此之外，我们的初始研究也表明，很多用户会在网上论坛中讨论他们的设备问题，或在社交网站上发布集线器的照片，这些都有可能暴露设备的序列号，就算攻击者无法破解出序列号，他们也可以通过社工技术来尝试一下。

在分析config.jar文件时，我们发现其中包含了设备的登录名和密码，而这些信息足够攻击者通过Web接口来访问用户帐号了。虽然文件中的密码经过了加密处理，但是现在有很多开源工具或开源密码数据库可以帮助攻击者进行哈希解密。最重要的是，用户在设置密码时，设备并不会要求用户输入复杂密码（没有长度和英文数字混合的要求），这从一定程度上就降低了密码破解的难度。

在我们的实验过程中，我们成功访问了目标用户的智能家庭系统，我们不仅获取到了所有的配置（包括IP地址）以及传感器信息，而且还可以修改这些数据。除此之外，jar文件中还包含了用户的隐私信息，因为用户需要上传自己的手机号来接收警告和通知。

因此，攻击者只需要生成并向服务器发送一些伪造请求，他们就有可能远程访问目标用户的智能家庭系统，而这些系统并没有采用任何的双因素身份验证。这样一来，攻击者就可以控制目标用户的“整个家”，比如说开灯关灯、打开水龙头、甚至是打开家门等等。这样看来，智能家庭生活很有可能会成为你的一个噩梦。

注：我们已经将漏洞的详细信息上报给了相关厂商，不过这些漏洞现在还没有被修复。

阳光总在风雨后

除了智能集线器之外，我们还对一款智能灯泡进行了分析。虽然这种产品没有非常严重的安全漏洞，但还是有不少安全问题让我们感到非常惊讶。

智能灯泡可以连接WiFi，随后用户便能够通过移动App来控制它了。因此，用户需要下载移动App（Android或iOS），打开灯泡，连接到灯泡所创建WiFi热点，并给灯泡提供本地WiFi网络的SSID和密码。

通过App，用户可以开灯或关灯，设置定时器，或修改灯光的亮度和颜色。而我们的研究目标是为了弄清楚攻击者如何利用智能灯泡中的漏洞来获取本地网络的访问权。进行了多次尝试之后，我们通过移动端应用获取到了灯泡的固件，而有趣的是，灯泡并不会直接跟移动端应用进行交互。实际上，灯泡和App都需要连接到一个云服务，并通过云服务来进行交互。

我们发现，灯泡会向服务器发送固件更新请求，并通过HTTP协议下载更新文件，这明显是不安全的。如果攻击者处于同一网络，中间人攻击就变得轻而易举了。

通过固件侦查以及闪存数据提取技术，我们不仅访问到了固件文件，而且还获取到了用户数据。不过进一步分析表明，设备或内部网络中并没有任何的敏感数据。不过，我们发现了目标灯泡之前所连接过的所有WiFi网络的凭证，这些信息会永久存储在设备的闪存中，而且没有经过加密，即使按下了“reset”按钮也无法将其清除。

以上由物联传媒转载，如有侵权联系删除

解密，黑客到底如何对物联网进行攻击

谁会想要攻击智能家居？原因为何？这么做对黑客有何好处？由于物联网 IoT ,Internet of Thing）装置有别于 PC 和智能手机，并非全都采用相同的操作系统 (至少目前市场现况是如此)。然而这一点小小的差异，就会让黑客更难以发动大规模的攻击。除此之外，想要破解物联网装置的安全机制也需要相当的知识和适当的工具。

近年来，信息安全研究人员早已证明智能装置确实可能遭到黑客入侵。当初研究人员骇入这些装置的用意，只是希望引起厂商们注意产品的安全性。

但就在去年，趋势科技研究人员以实验证明黑客确实能够从远程撷取智能车辆的数据，甚至篡改自动化油表的油量。为了降低伤害的风险，这些实验都是在控制的条件下进行，但歹徒可就不会这么体贴。

现在我们已知道物联网装置有可能遭骇，那么，歹徒骇入这些功能单纯的家用智能装置要做什么？以下列举了一些可能攻击物联网的非典型嫌犯，以及他们的动机和他们攻击智能家居的机率有多大。

网络犯罪集团

对网络犯罪集团来说，其攻击的动机永远都是为了钱。随着越来越多物联网 装置进入家庭当中，网络犯罪集团盯上这些装置以及这些装置所连接的智能家居网络是迟早的事。网络犯罪集团一旦骇入智能家居网络，他们就可能发动勒索病毒攻击或者将装置锁住来勒索赎金。此外，他们也可能窃取敏感的用户数据，然后用来勒索被害人，或者拿到地下市集贩卖。

不肖分子

不肖分子很少有正当的攻击动机，他们总是大费周章地试图得到他们想要的。对这些人来说，他们有可能利用家庭物联网装置来跟踪、尾随、伤害受害人，甚至恶意破坏竞争对手的生意来取得优势。

黑客激进分子

不论是为了宣扬政治理念、表达不满，或者动员人群以达到某种目的，黑客激进分子向来偏爱能够让他们制造最大宣传效果的管道。随着越来越多人开始拥抱智能家居，黑客激进分子很可能会考虑利用这些装置来扩大他们的地盘。

政府机关

当牵涉到国家安全和个人隐私权时，政府对人民的监控一向是个引起争议的话题。媒体一再爆料，政府机构经常为了国家和人民安全的理由而监听私人通讯以追查可疑嫌犯。因此，一些具备声音和视讯传输功能的智能家居装置就可能成为政府机关用于监控国家安的工具。

恐怖分子

尽管恐怖分子的主要目标是散播恐惧，但他们不太可能会利用智能家居装置来达到这项目的。但随着各式各样的企业都在营业系统和重大基础架构当中导入物联网技术，恐怖分子应该会盯上这些更有效果的攻击目标。

企业机构

严格来说，企业机构不算是黑客，但每当有厂商推出全新的热门物联网装置时，就会引起社会大众某种程度的不安。这通常都和隐私权有关。因此，正在考虑购买的客户，就会想要知道这些智能装置用起来到底安不安全。凡是会经手客户信息的任何企业，都必须坦白说明他们会搜集何种资料、如何搜集、储存在哪里、用途为何，以及还有谁会存取这些数据。若未正确告知客户这些相关细节，就是厂商的不对。

数据安全有哪些案例？

“大数据时代，在充分挖掘和发挥大数据价值同时，解决好数据安全与个人信息保护等问题刻不容缓。”中国互联网协会副秘书长石现升在贵阳参会时指出。

员工监守自盗数亿条用户信息

今年初，公安部破获了一起特大窃取贩卖公民个人信息案。

被窃取的用户信息主要涉及交通、物流、医疗、社交和银行等领域数亿条，随后这些用户个人信息被通过各种方式在网络黑市进行贩卖。警方发现，幕后主要犯罪嫌疑人是发生信息泄漏的这家公司员工。

业内数据安全专家评价称，这起案件泄露数亿条公民个人信息，其中主要问题，就在于内部数据安全管理缺陷。

国外情况也不容乐观。2016年9月22日，全球互联网巨头雅虎证实，在2014年至少有5亿用户的账户信息被人窃取。窃取的内容涉及用户姓名、电子邮箱、电话号码、出生日期和部分登陆密码。

企业数据信息泄露后，很容易被不法分子用于网络黑灰产运作牟利，内中危害轻则窃财重则取命，去年8月，山东高考生徐玉玉被电信诈骗9900元学费致死案等数据安全事件，就可见一斑。

去年7月，微软Window10也因未遵守欧盟“安全港”法规，过度搜集用户数据而遭到法国数据保护监管机构CNIL的发函警告。

上海社会科学院互联网研究中心发布的《报告》指出，随着数据资源商业价值凸显，针对数据的攻击、窃取、滥用和劫持等活动持续泛滥，并呈现出产业化、高科技化和跨国化等特性，对国家和数据生态治理水平，以及组织的数据安全能力都提出了全新挑战。

当前，重要商业网站海量用户数据是企业核心资产，也是民间黑客甚至国家级攻击的重要对象，重点企业数据安全管理更是面临严峻压力。

企业、组织机构等如何提升自身数据安全能力？

企业机构亟待提升数据安全管理能力

“大数据安全威胁渗透在数据生产、流通和消费等大数据产业的各个环节，包括数据源、大数据加工平台和大数据分析服务等环节的各类主体都是威胁源。”上海社科院信息所主任惠志斌向记者分析称，大数据安全事件风险成因复杂交织，既有外部攻击，也有内部泄密，既有技术漏洞，也有管理缺陷，既有新技术新模式触发的新风险，也有传统安全问题的持续触发。

5月27日，中国互联网协会副秘书长石现升称，互联网日益成为经济社会运行基础，网络数据安全意识、能力和保护手段正面临新挑战。

今年6月1日即将施行的《网络安全法》针对企业机构泄露数据的相关问题，重点做了强调。法案要求各类组织应切实承担保障数据安全的责任，即保密性、完整性和可用性。另外需保障个人对其个人信息的安全可控。

石现升介绍，实际早在2015年国务院就发布过《促进大数据发展行动纲要》，就明确要“健全大数据安全保障体系”、“强化安全支撑，提升基础设施关键设备安全可靠水平”。

“目前，很多企业和机构还并不知道该如何提升自己的数据安全管理能力，也不知道依据什么标准作为衡量。”一位业内人士分析称，问题的症结在于国内数据安全管理尚处起步阶段，很多企业机构都没有设立数据安全评估体系，或者没有完整的评估参考标准。

“大数据安全能力成熟度模型”已提国标申请

数博会期间，记者从“大数据安全产业实践高峰论坛”上了解到，为解决此问题，全国信息安全标准化技术委员会等职能部门与数据安全领域的标准化专家学者和产业代表企业协同，着手制定一套用于组织机构数据安全能力的评估标准——《大数据安全能力成熟度模型》，该标准是基于阿里巴巴提出的数据安全成熟度模型（Data Security Maturity Model, DSMM）进行制订。

阿里巴巴集团安全部总监郑斌介绍DSMM。

作为此标准项目的牵头起草方，阿里巴巴集团安全部总监郑斌介绍说，该标准是阿里巴巴基于自身数据安全管理实践经验成果DSMM拟定初稿，旨在与同行业分享阿里经验，提升行业整体安全能力。

“互联网用户的信息安全从来都不是某一家公司企业的事。”郑斌称，《大数据安全能力成熟度模型》的制订还由中国电子技术标准化研究院、国家信息安全工程技术研究中心、中国信息安全测评中心、公安三所、清华大学和阿里云计算有限公司等业内权威数据安全机构、学术单位企业等共同合作提出意见。

物联网信息安全有保障吗？会不会被黑客攻击从而被监控？

你好，要保障物联网信息安全需采用一定的防护手段。物联网是“万物互联”的网络，物联网技术原理更需要依托计算机，然而现在信息泄露事件还是非常严重的。前段时间国家有过相关报道过，在2020年境外约5.2万个计算机恶意程序控制服务器控制了国内大约有531万台主机，国家的信息安全也还在面临着非常严峻的威胁，所以物联网被黑客攻击并且监控的情况完全有可能发生。要保障物联网信息安全可以采用加密软件来防护的解决方案，天锐-绿盾加密软件可以对信息安全进行有力防护；如果担心被黑客攻击，可以采用天锐-绿盘的智能备份系统来对信息进行智能备份，通过灵活数据备份策略和高速恢复的智能备份方式，有效保护信息的安全。

盘点一下，有哪些著名的黑客入侵案？

2015年，多家知名连锁酒店、高端品牌酒店存在严重安全漏洞，海量开房信息存泄露风险。多家P2P平台同时遭不法黑客攻击。内蒙古19万考生信息泄露。2016年，OpenSSL水牢漏洞 多家公司受影响。济南20万儿童信息被打包出售，信息精确到家庭门牌号。2017年，事件一 台湾外事部门遭不法黑客攻击，1.5万笔个人资料外泄。事件二 10月，Reaper僵尸网络病毒每天可感染1万台物联网设备。以上都是最近比较出名的黑客事件。

黑客日常的生活也没什么特别的，别人工作的时候他在破防火墙，别人休息的时候他还在破。其实黑客也是很累的，如果是不受雇佣的黑客，他们每天做的事情完全就是出于兴趣，绝大多数黑客也不敢黑银行或者金融机构，或者说他们压根没能力黑进去。所以黑客们的生活很平淡，吃吃睡睡，可能不怎么出门，但是他们出门也绝对不会让你看出他们是黑客。我们在这里就不讨论那些收到国家安全部门雇佣的职业黑客以及利用黑客技术进行犯罪的黑客团伙了，他们做的事情我们一般人接触不到，也很难了解他们每天在干嘛。我们就看看那些凭着爱好兴趣来维持生活的黑客们吧。我认识一位自称黑客的朋友，当然我不知道真假，跟他在一个地方上过班，但是不久他就辞职了。

只要不做什么违法犯罪的事情，黑客实在没有什么特殊的，就像我们下课下班就去玩会游戏或者打打球，黑客们就回去倒弄电脑去了，他们平时也不会不吃饭不睡觉，正常人一样，可能会因为睡眠不足有黑眼圈，除此之位，没有不同。