物联网时代移动互联的数码安全新挑战

去年十一月份，我主导过一个智能家居系统的安全测试——用户反馈客厅摄像头偶尔“自己转动”，起初以为是硬件故障，结果抓包分析发现，攻击者通过破解同局域网下某台未更新固件的智能音箱，横向渗透到摄像头设备，篡改了控制指令。这可不是什么电影里的桥段，而是实打实发生在物联网移动互联场景下的安全事件，直接暴露了新技术带来的数码安全新挑战。

物联网设备的“移动互联”属性，让攻击面从单一终端扩展到整个生态——比如智能门锁、智能摄像头、智能家电，这些设备通过Wi-Fi、蓝牙、Zigbee等协议互联，又通过手机APP远程控制，看似方便，实则每个节点都可能成为突破口。去年某安全团队实测发现，某品牌智能摄像头存在未授权访问漏洞，攻击者只需知道设备ID（部分设备ID甚至按出厂顺序递增），就能直接获取实时画面，无需任何认证——这哪是“智能”，简直是“裸奔”！更离谱的是，某款智能插座的固件更新接口未做加密，攻击者能直接推送恶意固件，控制用户所有连接该插座的设备，包括空调、电饭煲，想想都后怕。

新技术带来的挑战，本质是“便利”与“安全”的博弈——比如低功耗广域网（LPWAN）技术，让设备能以极低功耗运行数年，但通信协议往往简化加密流程，甚至部分厂商为了降低成本直接关闭加密；再比如边缘计算，把数据处理从云端移到设备端，虽然降低了延迟，却让设备成了“微型服务器”，攻击者一旦突破，能直接获取原始数据。我参与过某工业物联网项目的安全评估，发现某款传感器采用MQTT协议传输数据，但未启用TLS加密，攻击者只需在局域网内嗅探，就能截获温度、压力等关键参数，甚至篡改数据导致设备误动作——这要是在化工、电力行业，后果不堪设想。

失败案例里，最让我印象深刻的是某智能汽车厂商的“远程控车”漏洞——2022年，某安全团队演示了如何通过车载娱乐系统的漏洞，获取车辆CAN总线控制权，远程开关车门、控制转向、甚至急刹车。更讽刺的是，该漏洞的修复方案竟是“建议用户不要连接公共Wi-Fi”——这哪是解决方案，分明是甩锅！后来厂商被迫召回部分车型，损失超5亿美元。这暴露了物联网移动互联的致命问题：设备厂商往往重功能轻安全，把“快速上市”比“安全测试”看得更重，结果用户成了“小白鼠”。

文章配图，仅供参考

不过，新技术再强，也架不住厂商的“不作为”——比如某款智能手环，宣传“医疗级心率监测”，结果安全团队发现，其蓝牙通信未做加密，攻击者能直接读取用户心率数据，甚至伪造数据发送到云端，导致健康分析结果错误。更离谱的是，该厂商的回应是“心率数据不敏感，无需加密”——这简直是拿用户隐私当儿戏！我主观判断：物联网移动互联的安全问题，70%是厂商的“态度问题”，30%才是技术难题——只要肯投入，大部分漏洞都能修复，但很多厂商连最基本的加密都不愿意做，还谈什么安全？

下一步，我打算联合几个安全团队，做个“物联网设备安全评分榜”——从通信加密、固件更新、身份认证等维度，给市面上的主流设备打分，让用户买设备前能参考安全等级。当然，这活儿不好干——厂商可能抵触，用户可能不关心，但总得有人做——毕竟，谁也不想自己的摄像头成了别人的“监控”，智能门锁成了别人的“后门”，对吧？

（编辑：我爱资讯网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!