在過去幾年間，全世界都一直有可以智慧連網的新產品出現。這些產品非常的多樣化，從為人熟悉的平板電腦、智慧型手機和智慧型電視，到不太熟悉的電錶、門鎖、煙霧和一氧化碳偵測器、紅外線偵測器和體重計等等。
其他設備，像穿戴式技術或穿戴式配件，如健身和生活作息監控設備和智慧型眼鏡都正在進入我們的日常生活方式。
這種被稱為住家「智慧化」的效應變得非常明顯，尤其是將現在一般家庭的視覺化圖表來和5-7年前作比較。
圖一、之前的家庭網路
圖二、今日的家庭網路
瞭解智慧型設備在全球的發展以及它們所影響的住家攻擊面是非常重要的，因為它可以讓我們更好地了解連網住家的安全需求。我們之前在對2014年的預測裡討論過威脅攻擊物聯網的可能性。在下面，我們會討論到一些有趣的因素會影響（不管好或壞的方面）這些智慧型設備的普及。
最近這則新聞駭客入侵嬰兒監視器，遠端嚇小孩！,報導指出根據美國Fox News報導，有一對家長發現，駭客入侵了他們為10個月女兒所準備的嬰兒監視器（baby monitor）。該駭客除了遠端操控該監視器的錄影角度，還大聲對著小孩喊叫。嬰兒的爸爸衝進女兒房間後，發現房內並無他人，但看到嬰兒監控器的鏡頭在轉動,嚇到直接把監視器的插頭拔掉。據使用者論譠上披露，該款無線IP攝影機所使用的韌體含有安全漏洞，該款攝影機最多可支援8個帳號，一旦有帳號留白，那麼不用輸入帳號或密碼就能存取該攝影機所拍攝的內容。
物聯網（IOT或萬物聯網IOE）是近來盛行的科技流行語之一，從Google搜尋趨勢就可以看得出來。這名詞指的是日常物品數位化的增加 – 任何新科技產品在設計時都會考慮到連接性，不管是智慧型電視、或是智慧型烤麵包機。隨著越來越多設備連上網路，防護這些設備也成為資安的下一個大挑戰。(本部落格相關文章物聯網（IOT或萬物聯網IOE）會遭受攻擊嗎？)
易被滲透的公共熱點和不安全的路由器讓類似Chameleon的威脅值得被重視。最近有一家安全廠商所發布的報告指出，在Amazon.com排名前50名最暢銷的路由器中有四分之三有駭客可以加以攻擊的漏洞。這問題再加上了大多數使用者不會更改無線基地台的預設密碼或IP地址，讓它們在遭遇大規模攻擊時非常的脆弱。
一個最近所出現的惡意軟體讓使用者不必下載檔案或是連上可疑網站就會讓系統受害。Chameleon，這是個在目前還只是概念證明的惡意軟體，但它強調了散播網路攻擊的載體範圍在不斷地擴大。具體地說，它結合了無線網路監聽程式和病毒，可以經由網路取得身份憑證，並且分析無線基地台的弱點。
Chameleon，網路安全和物聯網
Chameleon因為它的感染模式而被比喻成一種感冒，但其治療方式（它的設計曾被網路犯罪份子模仿）可是比喝大量的水和更多休息還要複雜。因為Chameleon是停留在網路上而非單一端點，許多防毒軟體可能很難加以察覺。
「當Chameleon攻擊無線基地台時，並不會影響它的正常運作，卻可以收集和回報所有連上之無線使用者的身份憑證。接著，病毒會找到其他可連上的無線基地台並加以感染」，利物浦大學的網路安全教授Alan Marshall如此說道。「這雖然只是假設，但之前並無法開發病毒來攻擊無線網路，但我們現在證明了這是可能的，而且可以快速地蔓延。」
在未來，安全專家很可能可以找到方法來監控Chameleon。但真正的問題並不只是此特定威脅。Chameleon特別的攻擊媒介 – 無線基地台，顯示出其已經漸漸地成為網路基礎設施的中心。它既是物聯網的骨幹，也是需要更加注意其安全的東西。
Chameleon的難以捉摸讓它成為值得注意的網路威脅之一，而且包含病毒讓它和直接駭入無防護的網路攝影機、路由器或其他物聯網設備進行基礎設施攻擊有所區別。然而，這些看來不同的危險也明顯地說明出攻擊者是如何地將注意力從獨立硬體（電腦、智慧型手機或是平板電腦）轉移到網路上，攻擊有漏洞的設備，或有時會集中所劫持的資源來進行之後的攻擊活動。
要防範Chameleon後繼者和其他網路惡意軟體需要面面俱到。一開始，使用者需要強化密碼安全和良好的無線網路習慣。安全社群和設備製造商也必須將網路設備，甚至一般機器如冰箱和空調設備都當作個人電腦一樣的看待 – 因為這些機器也會被感染。
超級杯賽事的比賽場地 – 大都會球場是個潛在革命性技術 – iBeacons(室內定位技術)到目前為止最大的試驗場。小型感測器和行動設備透過藍牙進行溝通，低耗能地傳達情境式通知和廣告。
NFL也不是唯一趕上位置感測器熱潮的組織。美國職棒大聯盟計劃在2014年開幕戰推出自己的iBeacons服務，零售商也都熱衷於用它來收集消費者如何在店裡移動的豐富資訊。像Estimote這樣的類似解決方案也吸引了許多開發人員的興趣，這更加強調了單一的智慧型手機和平板電腦如何更加地整合到複雜的情境網路中。
當消費者可能獲得更緊密針對性的優惠時，組織也會積累到比之前更多更精細的珍貴資料。使用者的設備基本上可以變成導引指標，同時也會成為想要入侵iBeacons和智慧型手機及平板電腦間通訊的惡意份子一個極具吸引力的攻擊目標。處理感測器隱私或許是安全社群在物聯網時代的第一個重大挑戰。
iBeacons如何運作，為什麼消費者應該關心
智慧型手機的快速普及意味著有數百萬人現在有個快速而支援藍牙的設備在他們的口袋裡，替實體店家開啟了許多新情境式連結的可能性。當Apple公司在去年夏天推出了iOS 7，它包含了對iBeacons的支援，讓數以百萬計的iOS設備與室內定位系統相容。這系統可以安裝在超市、零售商店或其他任何地方。
儘管名稱如此，但iBeacons並非專有技術 – 它建立在開放標準的藍牙天線上，運行Android OS 4.3或以上版本的設備可以收到相同的訊號。話說如此，但在超級杯之前，最為人所知的iBeacon設置地點是在Apple Store，讓安裝有對應行動應用程式的使用者可以接收到店內通知。內容範圍可以從商品評論到符合升級資格的通知。
連鎖賣場也是技術的早期採用者，用它來推送優惠券和折扣給客戶。iBeacons取得使用者位置的能力建立起獨特的行銷機會，像是只對特定區域內的顧客提供免費商品。
「這很有可能打亂我們已知的零售經驗，」InMarket執行長Todd Dipaola告訴AppleInsider。「想想看，將所有網路購物的好處應用到現實世界裡。購物清單提醒，針對你所喜愛事物的特別優惠券，最終應用就是行動結帳。我們和iBeacon現在正處在第一局上半。
在超級杯，有裝NFL行動應用程式的iPhone使用者會收到關於NFL商品、球場內景點或是特別短排隊路線的通知。到目前為止，使用者需要安裝特定應用程式才能使用iBeacon服務可能是件好事，因為它讓人可以選擇接受資訊，而不是選擇不接受。
然而，這只是掩蓋了該技術的基本風險，就是訊息廣播可能會被截獲，或變造來提供惡意軟體，而非通知訊息。最重要的是，感測器可能會收集大量的資訊，在現在這世界，即便像簡單的會員卡也可以儲存敏感資料，可以看看Target在2012年發現一名女孩懷孕，還在她的父親知道之前。
iBeacon的風險來自於它的開放性
隱私倡導者們已經表達了對iBeacons的疑慮，認為企業會企圖去比對使用者和其訪問相似位置間的關連性，或用過多的廣告來轟炸使用者。企業公司堅持他們會尊重使用者隱私，人們最終會發現交出位置資訊是為了獲取更好優惠而可以接受的代價。
當然，定位技術已經出現了好一段時間了，用著無線熱點和GPS的形式，但iBeacons帶來一些新的東西。它提供了比無線熱點更精確的資料，在室內傳送訊號要比GPS好上許多，而且比這兩者都更符合成本效益。雖然在這同時，低功耗藍牙技術並不總是準確，也可能遇到很多干擾，但是這些都無法阻止店家去應用這些技術以更多地了解客戶。
在2014年，嚴重的資料外洩事件成為新聞版面的常態。不幸的是，這跟趨勢科技在2013年第四季所做出的主要威脅預測是一致的。政府、零售業、金融業、醫療保健甚至是醫療器材廠商都一直在APT-進階持續性滲透攻擊 (Advanced Persistent Threat, APT)目標攻擊的標靶上。
企業被網路犯罪份子和其同夥所入侵的次數，跟這些駭客被繩之以法的機率比起來是完全不成比例的。這到底是為什麼呢？這世界對於網路犯罪分子和國家來說的確是平的。
如同我們頂尖的威脅研究員最愛說的一句話，「封包不用護照」。這讓防禦和最終將網路犯罪份子繩之於法都變得更加困難。在網路上找線索就像是終極版的CSI犯罪現場。
身為IT和安全專家，趨勢科技竭盡所能地對抗些企圖打爆基礎設施的惡意軟體，和精心設計來竊取敏感資料的攻擊行為，盡力地想打場好仗。不過到最後，真正重要的還是資料，並且確保我們有依照業務需求將資料作適當的分類。
接著，我們必須在強制性法規，像支付卡產業（PCI）之外部署具成本效益的基礎設施和安全協定，以合乎我們對自己所要求的資料安全標準。如果沒有適當的資料分類，組織要麼必須將一切都當成最高機密來防護，而這並不切實際。不然就是得對一切都做一般性的防護，這當然也並不可取，因為會讓你的組織增加危險。
不幸的是，許多組織都選擇後者。在趨勢科技最新的威脅綜合報告裡，我們分析網路犯罪份子是如何利用數位資料賺錢，還有他們利用什麼方式來攻陷他們的目標。最終，關鍵是替你的組織設計出有意義的風險模型。當討論到風險管理時，我常常會用「風險平衡」這名詞。因為說到資料安全，我們就必須在如何平衡投資和資料資產受損風險間作出決定。 繼續閱讀
在資料隱私日（一月二十八日）這天，很多新聞討論最近被披露的美國國家安全局（NSA）收集資料的事件，特別是針對熱門遊戲憤怒鳥。資料隱私日這一天是為了致力於提高對於網路隱私和保護個人資料的意識。最近所披露的這事件肯定也提高了意識。不過雖然有很多談論重點放在美國國家安全局和憤怒鳥，但如果將重點放在它們身上，這不僅是個錯誤，還會錯失了良機。最近的這些爆料應該刺激出對行動世代隱私狀態更廣泛的討論，特別是行動設備和應用程式所收集的那些資料，被用來做什麼和是否提供清楚的告知。
從最近這些爆料中所學到的教訓並非只是美國國家安全局是否做得太超過（這需要另一分開而關於政策的討論），或憤怒鳥廠商Rovio是否幫助了他們（這也在討論中）。真正該學到的是各式各樣的行動設備和應用程式收集了比自身所需還要更多的資料，透過不明確的方式使用，用來做些大多數我們（如果不是全部）都不了解的事情。更重要的是，我們應該更進一步，討論即將到來的物聯網（IoT），這些問題在那時將變得更加嚴重。
隱私的兩個關鍵原則是告知資料收集以及同意。好的隱私做法依賴這兩個原則來幫助使用者清楚地了解哪些資料被收集，被拿來做什麼（告知），並選擇是否接受該產品或服務（同意）。對於需要同意的告知，清楚而能夠理解的資訊是必須的。不然我們就會面臨我稱為「噢！該死」的一刻：就像是「噢！該死！當我同意時，我不知道你會將拿到的資料這樣使用。」
當我們讀到關於美國國家安全局從行動設備和應用程式（包括但不限於憤怒鳥）收集資料的消息，它就像是一個大大的「噢！該死！」。根據The Guardian的故事：
根據使用者所提供和文件所指示的個人檔案資料，該單位幾乎能夠收集使用者生活的每個關鍵細節：包括母國、當前位置（通過地理位置）、年齡、性別、郵政號碼、婚姻狀況（有「單身」、「已婚」、「離婚」、「可換偶」及其他更多選項）、收入、種族、性取向、教育程度和子女數量。
這份報告明確指出這些資料並非來自系統內的惡意軟體：它來自使用者自己願意安裝的這些表面上合法的應用程式。也就是說，這些使用者已經同意這樣的資料收集。然而，幾乎每個讀到這列表的人都感到衝擊和驚訝。為什麼呢？
這有兩個原因。首先，告知並不清楚。其次，很明顯地，行動設備和應用程式收集了比它們所需還要更多的資料。而且這次的事件顯示出這些資料並沒有被好好的保護，因為美國國家安全局聲稱收集到該資料是因為它被「外洩」了。
清楚告知是長久以來業界的一個問題。人們知道這是個問題：最近一項微軟的研究顯示，人們對於讀取隱私政策感到無奈。但到目前為止，人們還是會接受並不清楚的狀況，最後都會按下同意（只有25％的人在研究中表示自己會閱讀隱私聲明）。不過雖然明確告知的問題在過去的PC時代可能被接受，在行動時代，因為現在能夠收集到的資料數量和類型，讓這成為更加嚴重的問題。
行動設備將我們自身實體和網路結合的更加緊密。就其本質而言，它們可以收集比電腦還要更多關於我們是誰和我們正在做什麼的資料。而且行動設備和應用程式廠商對資料採取的做法是 – 「有問題時就收集它」，就如同現在這些事件所顯示的一樣。如果我們對於知道我們的行動設備和應用程式收集什麼資料而感到十分震驚，那它也代表告知的做法失敗。
應用程式所「外洩」資料的問題，就跟這裡所說的是非常普遍。在趨勢科技所分析的近600萬應用程式裡，有超過25％有某種形式的資料外洩。
當人們都專注在美國國家安全局是否應該去收集這些資料時，就忽略了更大的問題。不管他們有沒有或應不應該，還是會有其他機構，像政府機關、私人企業和非政府單位會為了自身目的而在我們一無所知下去收集資料。他們會這樣做是因為他們可以，是因為行動設備和應用程式廠商讓他們能夠這樣做。如果我們不喜歡聽到我們的資料被收集和使用，我們需要將討論這些資料收集放在第一位。 繼續閱讀