無所不在的物聯網設備,你我都需要正視所帶來的資安問題
在2017年資安大會中,Hitcon Girls共同創辦人賴婕芳與沈祈恩認為,目前物聯網裝置的應用會越來越普遍,但與其有關的資安事件頻傳,因此無論是製作的廠商,還是企業乃至於個人,都應該提高警覺,重視這些設備的安全性。
文/周峻佑 | 2017-03-18發表
周峻佑
Hitcon Girls共同創辦人賴婕芳與沈祈恩在2017年資安大會的議程中疾呼,物聯網(IoT)裝置所衍生的資安問題必須受到正視,因為比起電腦,這些裝置可能會接觸到更多個人隱私,或是影響人身安全與國家安全,一旦遭受駭客攻擊,後果便不堪設想。物聯網裝置的安全與我們息息相關,無論是製造者還是使用者,你我都必須暸解如何降低其資安風險。
物聯網裝置帶來不少便利性與創新應用,因此受到人們的歡迎。物聯網這個名詞,最早出現於1999年,但直到2013年之後,成為開始熱門討論的話題,然而,根據2015年AT&T所做的調查報告中指出,在受訪的5,000家企業中,有高達85%想要發展物聯網應用,卻只有10%的企業有信心能夠應付駭客的攻擊,顯示物聯網的資安問題,連企業普遍都沒有把握。
另一個面向,則是從Symantec、FireEye、趨勢科技、Intel Security、Kaspersky等資安大廠2017年的預測報告中,可看出端倪。這些報告不約而同指出,物聯網裝置會帶來嚴重的資安風險與網路攻擊。賴婕芳以2016年10月時,DNS供應商Dyn遭受大規模DDoS攻擊的事件為例,其中一部分是由Mirai控制的物聯網裝置僵屍網路所發動。這個事件造成採用的Dyn服務的知名網站,包含BBC與GitHub等受到波及。然而,駭客取得這些物聯網裝置控制權的方法,僅僅只是透過了測試60組常見的預設帳號與密碼就得手。
應用層面廣泛,無論是小朋友的玩具,還是學校的路燈,全都是物聯網裝置
其實物聯網涉及的領域相當廣泛,無論是金融、公共服務、製造業、零售業,乃至於與人身安全有關的醫療、國家安全有關的能源設施,都有相關的應用。還有,近年來常見的智慧家庭,也使用了大量的物聯網裝置。
賴婕芳舉出許多案例,像是互動式芭比娃娃,透過了像是Siri的機制,就能和小朋友對話,然而卻被發現,其網路通訊可能會被有心人士攔截,讓芭比說出指定的內容,如果這個駭客是個戀童癖,很可能會讓小孩與家長飽受驚嚇。
此外,美國有間大學受到DDoS攻擊,經調查卻來是自校內的路燈、販賣機等物聯網設備,但學校並未想到這些校內設施,都是屬於這類設備的一部分。
物聯網設備甚至會造成人身威脅,例如駭客可控制汽車的自動駕駛系統,透過槍枝的管控系統,駭客可執行射擊。
物聯網安全是一整個生態圈的事情
基本上,許多人想到物聯網的資安問題,可能會以為主要是對於裝置加密,消除漏洞等防護措施。但事實上,我們手上的物聯網設備,只是傳感器(Sensors),背後擁有一個生態圈,還包含網路與應用程式等。但從駭客攻擊的面向來看,則略有不同:大致上可分成硬體設備、連接性(Connectivity),以及應用程式3塊。
硬體指的不只是物聯網設備本身,還包含整個生態圈設施,像是閘道設備,或是執行應用程式的手機等,駭客可透過這些裝置發動攻擊。
連接性指的是任何連接的階段、過程,包含網路流量、生態圈通訊,以及設備之間的連接,或是應用程式之間的API等。
應用程式則包含物聯網裝置本身的軟體、雲端網頁介面或管理者介面等。
在物聯網硬體出現的問題中,賴婕芳舉了RFID卡Mifare Classic為例,這種卡片遭到逆向工程解析後,被發現金鑰只有48 bits,極容易破解,她說,以現在的角度來看,只要在淘寶花5美元,就能取得相關的修改工具。
而對於連接性的問題,像低功耗藍芽通訊(BLE)來說,在需要溝通的兩個設備之間,由於像手環一類的設備沒有螢幕,只能使用配對機制中的Just Work驗證方法(無密鑰),在這種情況下就很容易遭受中間人攻擊。
但其實另外一層隱憂,則是更多裝置的BLE通訊過程完全沒有加密,以賴婕芳他們測試過的小米手環與體重計來說,他們發現只是對手機程式進行配對,沒有對資料做保護,因此可將手環或是體重計的通訊內容,傳送到非綁定的行動裝置。換言之,有心人士可將小米體重計得到某個人的重量資訊,同時傳送到多臺裝置中呈現。
相較於上述兩者,應用程式是駭客最常使用的攻擊標的,像Hitcon在2015年舉辦的大會中,就展示駭入Gogoro App並取得憑證,然後將電動機車成功發動。然而這是應用程式在設計上的問題,將憑證存放在手機不夠安全的區域導致。
迎向2017年,物聯網安全是全民都要面對的問題
面臨物聯網裝置層出不窮的資安事件,我們必須有所體認。針對不同的角色,賴婕芳提出以下建議措施:
製造商:開始設計必須將資安納入考量,並且開發者需要有安全開發經驗、訓練,最好產品在上市前滲透測試。
企業用戶:需將物聯網設備盤點並列管,若是無法修補的設備,應考慮隔絕於主要網路之外。此外,防護措施需將整個網路架構納入資安考量。並在採購時,要求廠商確保設備安全性。
終端使用者:了解使用裝置的風險,如果不確定設備的功能,最好就不要使用。使用時,要將預設密碼更換成高度複雜的密碼。
資料來源:http://www.ithome.com.tw/news/112848
「淘寶驗證碼攔截」的推薦目錄:
- 關於淘寶驗證碼攔截 在 台灣物聯網實驗室 IOT Labs Facebook 的最讚貼文
- 關於淘寶驗證碼攔截 在 Re: [問題] 淘寶帳戶被盜用- 看板e-shopping - 批踢踢實業坊 的評價
- 關於淘寶驗證碼攔截 在 [問題] 收不到淘寶驗證碼,電話也無法改- 看板e-shopping 的評價
- 關於淘寶驗證碼攔截 在 突然收到淘寶驗證碼-在PTT/Mobile01上智慧型手機整理開箱評比 的評價
- 關於淘寶驗證碼攔截 在 突然收到淘寶驗證碼-在PTT/Mobile01上智慧型手機整理開箱評比 的評價
- 關於淘寶驗證碼攔截 在 中華電信收不到淘寶驗證碼的推薦與評價,PTT 的評價
- 關於淘寶驗證碼攔截 在 [問題] 淘寶註冊手機收不到驗證碼 - PTT消費區 的評價
- 關於淘寶驗證碼攔截 在 淘宝滑动验证#76 - Kr1s77/awesome-python-login-model 的評價
- 關於淘寶驗證碼攔截 在 淘寶運費ptt 的評價
- 關於淘寶驗證碼攔截 在 求救淘寶一直收不到校驗碼- 女孩板 - Dcard 的評價
淘寶驗證碼攔截 在 [問題] 收不到淘寶驗證碼,電話也無法改- 看板e-shopping 的推薦與評價
很久沒上淘寶, 密碼登入後居然還要簡訊驗證! 系統還很貼心地顯示886-09XXXXX 結果寄了好幾次都收不到驗證。 查了網路,有人說改成886-9XXXX就可以, ... ... <看更多>
淘寶驗證碼攔截 在 突然收到淘寶驗證碼-在PTT/Mobile01上智慧型手機整理開箱評比 的推薦與評價
邮箱能够正常接收/发送邮件,但是淘宝发送的相关验证码/一直收不到,建议先尝试以下操作。 1、查看邮箱的垃圾箱 ... 突然收到驗證碼、簡訊攔截- 外送快遞貨運資訊懶人包. ... <看更多>
淘寶驗證碼攔截 在 Re: [問題] 淘寶帳戶被盜用- 看板e-shopping - 批踢踢實業坊 的推薦與評價
我的淘寶最近也被盜用 不過我已經沒開淘寶兩年了
大約前天開始吧 我一直分別收到阿里巴巴跟Alipay的驗證碼簡訊
起初我不想管他 不小心打錯號碼也是有的 而且我也沒在用支付寶
友人提醒阿里巴巴跟淘寶是同一家 要我登一下淘寶看看
一開傻眼 我有一筆沒看過的訂單已付款等待出貨中
收件人跟地址都在中國 寫簡體字 足跡多了一堆沒看過的商品
所以我趕快按退款 聯絡人跟地址都刪除
信用卡資料也刪除(有打去信用卡公司還好沒被盜刷 保險起見還是停卡了)
最賤的是對方給我啟用我沒用過的刷臉功能 所以他可以刷臉登入
而要關閉此功能唯一解就是先刷臉 所以我完全沒轍!!!
我唯一能依靠的就是不斷改密碼跟簡訊驗證碼還有聯絡資料跟他諜對諜
他還給我改圖像 氣死
後來聯絡客服小蜜 不斷鬼打牆要幫我轉專人 跳出又要全部重講一遍...
最後電話客服跟我聯絡 先幫我凍結了支付寶
(我很少用淘寶所以至今才知道淘寶付款就是會連結支付寶 他們是一體的)
但因為淘寶有個機制是有過交易的15天內不能註銷帳戶 所以我得等15天
被盜的那兩天對方都有下單 都是幾塊人民幣的小物
我覺得他一定是知道這個機制 非常狡猾!
支付寶凍結之後就沒看過他再下單了 不過依然有他看商品的足跡 真的很不爽!
可能他有看到我跟線上客服的講話內容 最終我的密碼也被他改了!
可是綁定的依然是我的手機號碼 這我就不懂他為何不改
好險我手機淘寶app還能登入 所以就眼睜睜看著他逛大街(?)
至於密碼我改不回來 因為:
1. 用手機app改需要輸入原密碼 而原密碼只有盜用者知道
2. 用網頁發送簡訊驗證碼改不行 因為客服暫時幫我把帳戶凍結了
會顯示此帳戶被凍結暫時不能訪問此頁面
還有一點很瞎 電話客服告訴我可以到阿里安全中心舉報
大意是:我現在用淘寶訊息傳舉報連結給你 你看了立刻複製到別的地方然後刪除
以免盜用人看到
哎這種解決辦法還真是有點尷尬...盜用的人到底有沒有剛好看到我也不知道
後來發現那個舉報連結還不是要登入我的淘寶 但我就沒有正確密碼呀!!
(若點忘記密碼就會回到上述2...)
總而言之這個帳戶我也不想要了 只是帳戶就這樣被盜很不爽 還浪費我一堆時間
現在就只能消極的等15天後註銷帳戶吧
不過盜用的人其實大可打去客服請他再度開通我這號碼的支付寶吧?
請客服凍結時他也沒跟我核對什麼資料呀...
上網查一堆淘寶被盜的案例實在多到數不清
如果各位版友還想使用淘寶可能得開通刷臉功能然後支付寶實名認證了吧
※ 引述《seying (薇娜)》之銘言:
: 前幾天因為手機一直收到阿里巴巴驗證碼簡訊
: 陸續收了十幾封後就直接打開手機淘寶app
: 註銷掉我的帳號
: 結果註銷完後還是到兩三封驗證碼的簡訊
: 最後一封是說我的帳號手機號碼
: 已經修改成為157******52
: 刪帳號之前我有先看過有沒有綁定付款信用卡
: 也把一些儲存過的集貨地址都刪掉
: 結果!!
: 剛剛收到之前用的集貨line發來的入庫通知...
: 現在我也登入不了淘寶帳戶了
: 跟集貨的客服說我的帳號已經註銷
: 那件不是我的商品
: 爬文看淘寶對於盜帳號的處理方式
: 就是請用戶註冊新帳號
: 請問有人也遇到這樣的情形嗎???
: 現在不知道該怎麼處理才好
--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 218.173.136.6 (臺灣)
※ 文章網址: https://www.ptt.cc/bbs/e-shopping/M.1605624903.A.7AE.html
... <看更多>