關于智能家居漏洞的安全研究有了新進展。11月16日，“天府杯”2018國際網(wǎng)絡安全大賽暨2018天府國際網(wǎng)絡安全高峰論壇在成都開幕，除了激烈的國際破解大賽，多場備受關注的重磅行業(yè)論壇也同期舉行。在智能設備漏洞成為網(wǎng)絡安全領域重要話題的背景下，來自電子科大網(wǎng)絡安全研究院、騰訊安全等企業(yè)的技術專家齊聚漏洞挖掘分論壇，就相關議題展開深入交流。
騰訊安全移動安全實驗室的安全研究員秦書鍇受邀出席漏洞挖掘分論壇，并作了《智能家居新型攻擊面研究》的主題分享。秦書鍇表示，智能家居安全面臨結構更復雜、涉及環(huán)節(jié)更多的痛點，亟需構建一套涵蓋APP安全、協(xié)議保護和固件安全的系統(tǒng)化全流程保護方案。
(圖：騰訊安全移動安全實驗室的安全研究員秦書鍇)
智能手機成攻擊“入口”或導致智能家居安防全面瓦解
智能家居產品的安全性一直是開發(fā)人員面臨的最大挑戰(zhàn)之一。長期以來，不法黑客顯示出了對物聯(lián)網(wǎng)領域極高的興趣，智能家居類消費產品的安全問題頻發(fā)，幾乎每隔不到一個星期，就可以看到各種新聞報道說，某個知名公司或大型機構遇到了又一個安全漏洞。
據(jù)秦書鍇介紹，智能家居的安全威脅模型與傳統(tǒng)安全威脅模型不同，不僅結構更加復雜，保護的重點也不盡相同。“智能家居更側重于保護操作系統(tǒng)安全，側重防御RCE和云端安全。”秦書鍇表示，由于傳統(tǒng)的安全模型只保護單個環(huán)節(jié)，默認局域網(wǎng)的安全，實際給不法分子制造了可乘之機。
秦書鍇特別強調，智能手機自如地穿梭在各個局域網(wǎng)當中，設備數(shù)量極多，一旦用戶安全意識不強，隨意進行例如掃描未知二維碼、連接風險WiFi等操作，極易成為攜帶病毒的“病原體”。為了幫助觀眾理解最新智能家居攻擊模型，秦書鍇現(xiàn)場剖析了騰訊安全移動安全實驗室在2018GeekPwn國際安全破解大賽上簡單三步破解“黑客屋”的案例：極客首先通過發(fā)送釣魚短信控制了智能手機，潛入局域網(wǎng)后迅速鎖定智能電視、路由器等家庭網(wǎng)絡中樞作為“橋頭堡”，最后進行跳板攻擊其他的智能家居設備，實現(xiàn)控制臺燈、掃地機器人、攝像頭等一系列設備。
助力保障IoT設備安全騰訊安全移動安全實驗室打造全流程解決方案
面對頻繁暴露的智能家居漏洞安全隱患，騰訊安全移動安全實驗室通過對大量設備進行安全攻防與研究，挖掘出了上百個IoT設備的高危漏洞，涉及幾十種設備類型，并研發(fā)出一套獨有的IoT設備全流程保護方案，全面覆蓋知識產權保護、惡意破解防護、漏洞防御等IoT風險。
具體來說，通過在移動平臺攻擊經驗的積累和對設備安全的深入研究，騰訊安全移動安全研究實驗室針對設備APP，基于Android和IOS平臺開發(fā)語言的VMP保護方案能大幅提高攻擊者逆向分析APP進行漏洞挖掘的成本和精力;在協(xié)議保護方面，對數(shù)據(jù)進行加密等安全處理行為能夠保證數(shù)據(jù)內容不被竊取或篡改，保證數(shù)據(jù)傳輸層的協(xié)議及內容安全;在固件方面，IoT安全編譯器通過對Native代碼的深度保護，提供攻擊者固件漏洞挖掘的成本。騰訊安全移動安全實驗室搭建起穩(wěn)定、安全、簡單、易集成的全流程安全保護方案，并為客戶提供穩(wěn)定、高效、持續(xù)性的安全技術支持服務。
“新的攻擊面不僅會一直存在，還將產生新的漏洞并讓不嚴重的漏洞嚴重起來”， 秦書鍇表示，騰訊安全移動安全實驗室已經擁有了一套整體的方案，一方面可以幫助排查市面上如智能門鎖等智能家居產品安全風險，幫助行業(yè)修復漏洞，如果廠商有需要，移動安全實驗室可以提供方案;另一方面未來希望能夠制定智能家居產品安全方面的標準，騰訊安全移動安全實驗室將持續(xù)開放自身的安全能力，助力行業(yè)伙伴實現(xiàn)智能設備安全升級。
免責聲明：本網(wǎng)站內容主要來自原創(chuàng)、合作伙伴供稿和第三方自媒體作者投稿，凡在本網(wǎng)站出現(xiàn)的信息，均僅供參考。本網(wǎng)站將盡力確保所提供信息的準確性及可靠性，但不保證有關資料的準確性及可靠性，讀者在使用前請進一步核實，并對任何自主決定的行為負責。本網(wǎng)站對有關資料所引致的錯誤、不確或遺漏，概不負任何法律責任。任何單位或個人認為本網(wǎng)站中的網(wǎng)頁或鏈接內容可能涉嫌侵犯其知識產權或存在不實內容時，應及時向本網(wǎng)站提出書面權利通知或不實情況說明，并提供身份證明、權屬證明及詳細侵權或不實情況證明。本網(wǎng)站在收到上述法律文件后，將會依法盡快聯(lián)系相關文章源頭核實，溝通刪除相關內容或斷開相關鏈接。
