《 IoT 物聯網安全趨勢 》萬物聯網:有可能出什麼差錯?

待在科技業最刺激的就是,每隔幾年就會出現一種打亂現有秩序的巨大創新,帶來前所未有的可能性,讓生活更加美好。

1990 年代與 2000 年代早期出現的是全球網路 (Web),全球的 PC 與 Mac 因而連上了網際網路 (我到現在都還記得第一次看到歐洲網站時的驚訝)。而 2000 年代晚期與 2010 年代早期興起的則是行動裝置與雲端運算,網際網路因而跳脫了 PC 與 Mac 的束縛,並且解放了社群網路,讓人們以前所未有的方式彼此分享與聯繫,因為網際網路資源無所不在。現在,時間來到 2010 年代中期,下一波巨浪即將在我們面前展開,那就是:物聯網(IoT ,Internet of Things)。當下眼前雖然充滿著令人憧憬的無限未來,但根據趨勢科技在資訊安全界的 25 年經驗,創新有時是需要一些深謀遠慮的,否則,我們很可能重蹈前兩波創新當中所犯下的資訊安全與隱私權錯誤。

最近這三波浪潮都有一項共通點,那就是:網際網路。對於像我這種曾經見過網際網路尚未出現的年代的人,就像我們曾經經歷沒有電話和空中交通的祖父母一樣,對於今日世界的巨大轉變有著深刻的感觸。網際網路如同這一波波創新的基礎元素,雖然大多數人都只注意到這些創新所帶來或即將帶來的進步,但是,當我們從資訊安全和隱私權的角度來觀察網際網路這個基礎元素時,我們發覺有一件事非常明顯。網際網路使得與它連接的所有科技都暴露在前所未有且幾乎無法想像的威脅和風險當中。NIMDA 和 Blaster 蠕蟲對網路所造成的傷害規模之大、範圍之廣,在 1993 年來說同樣令人無法想像。很少人能夠真正了解,您的手機對於 2001 年的惡意程式來說是多麼豐富的個人資料竊取來源。

前述兩個例子顯示,當科技連上網際網路之後,其相關的威脅便會隨之而來並不斷演進。很多時候,科技並無法適當地處理這些威脅。目前我們正處於另一波創新的轉捩點,又有另一批科技即將連上網際網路,而它們即將面臨新的威脅和風險。

改革者向來是天生的樂觀主義者:這是他們前進的動力。對於「假設性」的問題,他們總是會有正面的回答。對於「假使您可以透過手機來查看家中的保全系統會怎樣?」,他們的回答會是:「那您在義大利渡假的時候就能確定家中的貓咪一切無恙!」然而,過度的樂觀將成為一種弱點:無法看到黑暗的一面。科技不分善惡,而且可以用於為善或作惡。這就是我們這批資訊安全和隱私權專家所開發的新技術派上用場的時候。我們的工作就是撥亂反正,讓人們認識邪惡的存在。面對同樣的問題,我們的回答是:「小偷很可能破解並入侵您的系統,然後用它來查看您是否在家,然後趁您不在時闖空門。」兩種答案都對,兩者也都很重要。

在某些領域,例如工業控制系統 (ICS),萬物聯網已經是進行式。而在其他領域,我們也看到了一些可能讓這股潮流突飛猛進的創舉。舉例來說,西雅圖的一批研究人員才剛突破了供電的障礙,讓一些原本因供電問題而無法連網的裝置有了解決之道。換句話說,萬物聯網很快就會到來。

正因如此,趨勢科技已開始注意這個新興領域,並且在面對這些全新科技時提出一個經典的資訊安全與隱私權問題:「有可能出什麼差錯?」這是一個很簡單卻非常重要的問題,也是我們研究方向的指引,因為要防範任何威脅,我們首先必須發現並認識威脅。

未來,您將看到我們有關這方面的更多研究。我們將發表一些深入的白皮書和概論性的部落格文章,我們將與革新者及同業專家對話。最重要的,我們將深入研究這項問題,並且協助大家在發揮萬物聯網正面效益的同時,不必親身經歷其可能帶來的苦果。

◎原文出處:https://blog.trendmicro.com/internet-everything-possibly-go-wrong

更多文章,請至萬物聯網(IoE ,Internet of Everything)中文入網站

雲端安全

作者:Mark Nunnikhoven(趨勢科技首席工程師)

你正在向著雲端前進,但在到達應有的高度前會先撞上一道牆。這道牆就是你組織的安全要求。幸運的是,當你了解如何在雲端安全的運作,這道牆很容易突破。

模型

我們很幸運,因為任何雲端的安全模型都是一樣的。就是共享責任模型。

大體上說,這是個非常簡單的模型。你和你的雲端服務供應商共享你所部署一切的安全責任。

 

模型本身很簡單,但應用起來可以很細微。

簡單

簡單概括此模型:

在AWS的Mark Ryland關於共享責任模型的應用講座中,他透過一個矩陣來解釋這模型,說明該模型如何根據你所使用的雲端服務類型而變化。

我喜歡簡單一點的總結:「你越接近硬體,你的責任越多。」 –出自於我的最新發言。

 

責任區域

需要防護的區域通常屬於以下幾類:

  • 實體基礎設施
  • 網路基礎設施
  • 虛擬化層
  • 作業系統
  • 應用程式
  • 資料

而在現實世界中的應用,雲端服務供應商幾乎都會負責直到且包括虛擬化層的一切。 繼續閱讀

《 IoT 物聯網安全趨勢 》智慧型燈泡遭駭使得 Wi-Fi 密碼遭竊

就在智慧型電視遭駭客入侵引起大家更加關注物聯網 (Internet of Things,簡稱 IoT) 的議題沒多久後,靠群眾集資成立的新創公司 LIFX 所生產的連網燈泡也被發現有可能洩漏 Wi-Fi 網路的密碼。

這款「可變換顏色的省電 LED 燈泡」會經由標準的「6LoWPAN 」網狀網路 (mesh network) 廣播 Wi-Fi 密碼,這種網路是最適合低功率無線裝置 (如燈泡) 的一項通訊標準。

白帽駭客發現了一個可讓其進入主燈泡以及其他相連燈泡的漏洞。駭客接著又在屋主不知情的狀況下,向網狀網路索取該 Wi-Fi 網路的詳細資料。透過這個方法,駭客就能在離其中一個燈泡 30 公尺的距離內取得其加密後的密碼。

在偷到 Wi-Fi 密碼之後,當然還需一定的技術能力才能解開密碼,不過對研究人員來說不是問題。LIFX 已經修正了這個可讓駭客取得密碼的漏洞。該公司在一篇部落格當中證實他們已更新了該款燈泡的韌體:

「此問題已經獲得解決,韌體更新請至這裡下載。」

「在極少的情況下,此安全問題可能會經由無線網狀網路暴露網路組態的詳細資料,駭客必須拆開燈泡,以反向工程破解程式除錯連線及韌體,然後拿著特殊專用裝置到您 Wi-Fi 網路的訊號範圍內 (而非從網際網路),例如,帶著複雜的技術性設備躲在您的花園中。

就我們我知,目前並無任何 LIFX 用戶受到影響,此外,我們也一直建議使用者隨時更新到最新的韌體和 App 程式。」

LIFX 安全性更新,2014 年 6 月 29 日

不過,這項及其他針對智慧型裝置的概念驗證攻擊,卻可以當成萬物聯網安全性的教材。今天,許多產業都已投入全新智慧型裝置的開發,而智慧型裝置也正要開始獲得大眾接納。在這關鍵時刻,趨勢科技技術長 (CTO) Raimund Genes 希望提醒萬物聯網安全的首要負責人員:「眾所皆知,凡有漏洞的裝置就隨時可能遭到駭客攻擊。例如,路由器隨時都處於攻擊的危險當中,而且也很可能輕易就能破解。智慧型裝置廠商務必了解,其產品也很可能成為目標。」

◎原文出處:https://about-threats.trendmicro.com/us/threat-intelligence/internet-of-everything/ioe-insights/smart-lightbulb-hack-steals-wifi-password

更多文章,請至萬物聯網(IoE ,Internet of Everything)中文入網站

 

=======

2016/11/9 更新

跟據 IT Home報導,研究人員示範利用汽車或無人機,以蠕蟲入侵智慧燈泡控制明滅,如以下影片:


 

偽 Flash Player 擴充套件,迴避 Chrome 擴充套件安全功能

雖然最開始的目的是為了擴充瀏覽器的功能,不過現在瀏覽器擴充套件已經成為網路犯罪計畫的另一項工具。今年早些時候,Google 透過一項強制性政策來解決惡意瀏覽器擴充套件的問題,就是只允許安裝 Chrome 網路商店的擴充套件。

偽 Flash Player 擴充套件,迴避 Chrome 擴充套件安全功能

雖然這政策可以為使用者提供更高的安全性,它並沒有完全嚇阻網路犯罪份子嘗試去繞過此功能。我們最近遇到惡意軟體會去安裝擴充套件到 Google chrome上。

推特上的「Facebook Secrets」

趨勢科技發現一則推特上帶有短網址的貼文在廣告「Facebook Secrets」。點入該連結會將使用者導到一個網站去自動下載 EXE 檔到使用者的電腦上。

圖1、推特上的惡意連結

這被下載的檔案(download-video.exe)其實是個惡意下載程式,被趨勢科技偵測為TROJ_DLOADE.DND。它接著會下載和植入一連串檔案到系統內。為了避免被懷疑,這些檔案使用常見應用程式檔名,例如flash.exe,避免被懷疑”

安裝瀏覽器擴充套件

除了下載和植入檔案,也會安裝一個瀏覽器擴充套件到系統上。它假裝為 Flash Player 的擴充套件。

圖2、偽Flash Player擴充套件

繼續閱讀

【 IoT 物聯網新趨勢】穿戴式裝置的潛在安全問題:中篇  

在本系列的前一篇當中,我們討論到穿戴式裝置的分類。接下來,我們將探討這些裝置可能遭受的攻擊。

2020 穿戴式裝置

視裝置的類型而定,其遭受攻擊的可能性差異很大,並且隨著攻擊可能發生的地點而異。不過,使用者受到實質傷害的可能性,會隨著您遠離裝置而降低。當攻擊不再以裝置為目標時,其焦點將轉移到資料的竊取。

低使用者風險、高可行性的攻擊

這些攻擊較容易成功,但對於使用者的影響有限。在這類案例中,駭客會攻擊雲端服務業者來竊取資料。


圖 1:駭客入侵雲端服務業者來竊取資料。

使用者帳號通常僅有一道認證機制把關,一般來說就是密碼。駭客會利用一些技巧,例如透過「忘記密碼?」的機制、鍵盤側錄程式、利用使用者其他已被破解的帳號密碼,或者使用暴力破解方式,來試圖進入雲端帳號以取得資料。

駭客一旦進入使用者的帳號,就能取得穿戴式裝置上傳的資料,對使用者有更深入的了解,進而量身訂製一些詐騙郵件。這樣的手法已不是新聞:當比特幣 (Bitcoin) 交易網站 MtGox 在 2011 年發生資料外洩時,其使用者即遭到了一些金融相關服務的詐騙。由於目標是比特幣使用者,因此歹徒認為使用者對金融相關的詐騙比較可能感興趣,而非減肥產品。

這類詐騙的歹徒通常是有能力製作惡意程式的網路犯罪集團,其主要收入來源是垃圾郵件和廣告活動。專門竊取資料的駭客也可能利用這類攻擊來取得可販售的資訊牟利。

中使用者風險,中可行性的攻擊

這類攻擊危險性較高,雖然不難成功,但對使用者的衝擊也有限。在這類案例中,駭客會入侵中介裝置來擷取原始資料。此外,也可能利用中間人攻擊 (man-in-the-middle) 的方式,扮演網路與實體裝置之間的橋梁,篡改來自網際網路或區域網路的資料。

要達成這項目的,最簡單的方式就是在系統上安裝一個木馬化的廠商 App 程式。今日,要在 Android 行動裝置上安裝惡意的 App 程式有很多方法。大部分的駭客都會透過第三方 App 程式商店來散布這類程式。

駭客的目標,是要蒐集更多有關攻擊目標的資訊,以便安裝最適合攻擊目標的惡意程式。例如,惡意程式攻擊可能會先鎖定 Google Glass 應用程式,利用該程式來隨時掌握使用者的行蹤。接著,惡意程式再另外下載一個惡意的 App 程式來根據使用者所在地點從事點閱詐騙。

另一個例子是利用連接「輸入型」穿戴式裝置的 App 程式來查看使用者的健康狀況 (是否為運動健將或稍動一下就累等等)。這項資訊可以讓歹徒篡改一些廣告來顯示「更貼近使用者需求」的廣告 (如:附近的健身房、高蛋白素、減肥藥等等,視使用者的健康狀況而定)。


圖 2:根據從穿戴式裝置蒐集到的資訊提供針對性廣告。

另一種可能的情況是,惡意程式會偵測使用者 Google Glass 準備顯示的資訊,然後替換成廣告、垃圾訊息、或其他內容。

駭客也可利用使用者的定位資訊來顯示適合當前位置的廣告或垃圾訊息。值得注意的是,駭客有許多不同方法來取得使用者所在位置。若駭客需要歷史資料 (過去造訪地點),就可能需要利用一個惡意程式來避開手機的權限管制 (因為並非所有 App 程式都能存取定位資料)。另一種更簡單的方法是直接從穿戴式裝置取得。不過,裝置上可能並無歷史資料,因為裝置通常只記錄目前所在位置。

在這種情況下,駭客的賺錢方式是透過垃圾郵件/廣告活動或是點閱詐騙。這些很可能是廣泛性的攻擊而無特定目標。

下一篇,我們將探討第三種攻擊類型以及另一個潛在的攻擊管道。   

如需更多有關穿戴式裝置的資訊,您可以參閱「穿戴式裝置的時代,您準備好了嗎?(Are You Ready For Wearable Devices?) 」一文以及「穿戴式裝置徹底剖析 (The Ins and Outs of Wearable Devices)」這份圖文解說。如需更多有關智慧型裝置的資訊,您可以造訪我們的「萬物聯網(IoE ,Internet of Everything)中文入網站

◎原文出處:https://blog.trendmicro.com/trendlabs-security-intelligence/the-security-implications-of-wearables-part-2/作者:David Sancho (資安威脅高級研究員)