智能家居：安全和漏洞

智能家居：安全和漏洞-51CTO.COM

​智能家居的脆弱性

到明年，全球智能家居的数量预计将增加到 4.782 亿户。智能家居技术最大的吸引力之一是使用连网设备远程保护个人住宅。尽管智能家居安全设​备可以轻松保护家庭免遭盗窃、损害或事故，但智能家居设备也存在降低个人数据安全性的风险。

2021 年的一项研究项目表明，典型的智能家居容易受到恶意行为者的攻击。报告的智能家居攻击实例包括黑客远程控制家中的智能灯和智能电视、智能门锁，以及远程开启和传输智能摄像头的视频内容。

智能家居的两个主要缺陷使它们容易受到这些攻击：脆弱的本地网络和薄弱的物联网设备。

易受攻击的本地网络

由于默认或弱密码，以及易受攻击的加密协议，Wi-Fi容易受到攻击。默认凭证让入侵者不费吹灰之力就能访问路由器。

嗅探和加密破解是黑客入侵网络的最常见方式。在嗅探中，黑客劫持设备和路由器之间传输的任何数据包，将其传输到他们的设备上，然后使用暴力破解它。通常只需要几分钟。

大多数 Wi-Fi 路由器使用 WEP、WPA或 WPA2 安全协议。WEP是一种RC4流密码。WEP的缺点是初始化向量很小，这使得它可以被重用。这种重复使它变得脆弱。

更安全的选择是WPA和WPA2。但是研究人员发现了一个严重的缺陷，即 KRACK，它是 WPA 中密钥重新安装攻击的缩写。中间人攻击可以利用它来窃取通过WPA加密的Wi-Fi连接发送的敏感数据。攻击者可以窃听流量并获取密码、银行凭证和信用卡信息。

薄弱的物联网设备

研究人员测试了一系列公司的16种常用智能家居设备，发现了54个漏洞，使用户容易受到黑客攻击。这些攻击的可能性从停用安全系统到窃取个人数据不等。据估计， 80% 的物联网设备容易受到各种攻击。

智能家居设备之所以容易受到攻击，是因为供应商未能提供所需的专用安全解决方案。此外，智能家居设备通常运行小型操作系统，如 INTEGRITY、Contiki、FreeRTOS 和 VxWorks，其安全解决方案不如 Windows 或基于 Linux 的系统强大。大多数设备一旦部署，可能无法升级，不能更新安全功能以应对不断演变的网络攻击。

常见的智能家居设备攻击

根据设备和通信协议的不同，对智能家居设备的攻击有多种方式。常见的攻击方式包括：

• ​数据泄露和身份盗窃：不安全的智能设备会生成数据，并为网络攻击者提供充足的空间来攻击个人信息。这可能最终导致身份盗窃和欺诈交易。
• 设备劫持和欺骗：智能设备可以被劫持，从而将控制权交给攻击者。攻击者操纵设备，欺骗两端之间的通信，并可以控制其他设备，甚至整个网络。
• 分布式拒绝服务（DDoS）：通过暂时或无限期中断服务，该攻击可以使设备或网络资源变得对其用户不可用。
• Phlashing： 此类攻击会严重损坏设备，直至需要更换。

购买后保护智能家居设备

虽然某些设备具有嵌入式安全属性，但为了使智能家居设备能够抵御攻击，其所有者必须采取一些基本的保护措施。

• ​强密码：确保路由器和所有设备都有强密码。
• 访客网络：尽可能使用访客网络设置智能家居设备。这有助于将设备与存储在笔记本电脑或手机上的有价值信息隔离开来。即使网络犯罪分子入侵了其中一台物联网设备，他们也无法渗透到主网络并破坏与其连接的计算机和智能手机。
• 双因素身份验证：启用双因素身份认证，即设备需要通过移动设备或验证器应用进行额外验证，可显著降低黑客操纵设备的能力。
• 更新固件：虽然许多设备提供自动更新，但手动检查和更新路由器和物联网设备的固件可确保最新的安全协议处于有效状态。
• 避免云，使用本地存储：使用本地存储而不是云，可以最大限度地降低数据在被提取到云时受到攻击的风险。
• 最高级别加密：在路由器上使用最高级别的加密 (WPA3) 以确保安全通信。
• 防火墙：使用防火墙是保护智能家居设备的常见方法之一。防火墙使用户能够看到潜在的攻击并管理各个连网设备的安全级别。当检测到网络或设备中的任何异常时，防火墙会向主机发送通知。

物联网设备开发人员的角色

物联网设备的安全责任主要在于物联网设备开发人员，他们必须采取必要措施确保设备安全。一些潜在的措施是：

在物联网设备中集成可编程硬件信任根(HRoT)。HRoT是电子设备，尤其是片上系统(SOC)安全运行的基础。它包含用于加密功能的密钥，并支持安全引导过程。可编程 HRoT 可以不断更新以应对不断增加的威胁范围。它运行全新的加密算法，并保护应用程序以应对不断演变的攻击。

整合边缘计算：在靠近数据源的边缘位置处理数据。数据不会通过薄弱的网络传输到远程服务器，因此降低了数据泄露的风险。

毫无疑问，连网设备容易受到黑客攻击。随着智能家居设备的功能不断增加，以及在家庭中安装越来越广泛，了解个人数据安全风险以及如何降低风险变得至关重要。此外，物联网工程师还必须将内置安全性作为智能设备的核心功能，而不是附加功能。​