《 IoT 物聯網安全趨勢 》介紹智慧型電表

雖然穿戴式技術可能是物聯網(IoT ,Internet of Things)最為人所知的項目,但最被廣泛使用的可能是智慧型電表(包括水表、瓦斯表等)。

智慧型電表到底是什麼?它是公用事業(電力、煤氣或水)的記錄器,記錄這些公用事業的消費量,並將其透過某種形式來雙向跟供應商溝通。(包括使用無線網路、電力網或用戶自己的網路服務連線。)不只是簡單的住家監控,智慧型電表可以收集資料作為遠端公用事業報表之用。

IOE

單單一個智慧型電表的用途有限。但如果大多數電表都是「智慧型」,就會對公用事業產生較大的效益。有了大規模智慧型電表所提供的額外資訊,公用事業可以根據需要來調整服務,以提升服務的效率、可靠性、成本效益和持續性。

部署和使用方法 

有些人可能會認為智慧型電表只是種理論。然而,它們已經在某些國家廣泛使用,可以想見在未來幾年內會變得更加普遍。

讓我談談我所知道的世界 –歐洲。比方說之前義大利的電力獨佔企業 – 義大利國家電力公司(Enel)已經推出智慧型電表給它幾乎所有的3600萬個客戶。此外,義大利國家電力公司已經部署稱為Telegestore的遠端管理系統,讓公用事業公司能夠透過智慧型電表來採取動作,不然就需要進行實地訪問。3.3億次電表讀取和超過一百萬次的其他遠端操作,讓一切對客戶和義大利國家電力公司來說都更加容易。義大利國家電力公司還擁有西班牙公用事業公司Endesa公司的92%股份,並且推出同類產品到市場中。

義大利和西班牙並不是唯一帶頭採用智慧型電表的歐洲國家。其他被歐盟認定為智慧型電表「動態推動者」的國家包括愛沙尼亞、芬蘭、法國、愛爾蘭、馬爾他、荷蘭、挪威、葡萄牙、瑞典和英國。這些國家裡的監管機構和公用事業都會做出必要動作來對推動採用智慧型電表。

技術標準與風險 

有多個產業團體和協定正在推動智慧型電表技術。這也相當程度地反映出智慧型電表有多種部署和使用方式:不同的應用可能需要不同的技術。然而這也代表智慧型電表使用種類廣泛的技術標準。

其他類似的利基設備 – 如住家自動化設備和連網路由器 – 都已被證明有嚴重的安全問題。電燈開關有漏洞是一回事。但公用事業電表和控制有漏洞就是另外一回事了。智慧型電表和智慧型電網還沒有對潛在性安全隱患做過完整的測試和審查;我們必須要考慮到當這些設備出現漏洞時會產生什麼可能的狀況 – 因為這是必然會發生的。

下面的影片介紹了些可能的情景。在未來的部落格文章裡,我們會探討其中一些場景的細節和討論可能導致這些問題的情況。

繼續閱讀

《 IoT 物聯網安全趨勢 》智慧型電表攻擊情境

 

之前的文章裡,我們探討了智慧型電表如何地引進到多個國家和地區,以及為什麼這些設備會帶給它們用戶安全隱憂。

在它們的心臟,智慧型電表簡直就是…一台電腦。讓我們看一看現有的電腦 – 無論是電腦、智慧型手機、平板電腦或嵌入式設備。很相似地,這些智慧型電表透過可以互相理解的技術通訊:行動網路連線、電力線網路或是用戶自己的網路連線。

想到這一點,我們必須考慮可能的威脅 – 如果智慧型電表被入侵會發生什麼事?同樣地,如果智慧型電表的連線被干擾,可能會發生什麼事?讓我們來看看。

最明顯的風險很簡單:電表被篡改。如果智慧型電表可以被駭客攻擊,就會送回不正確的資料給公用事業單位,讓攻擊者可以調整讀取的數據和導致帳單出錯。比方說,你跟你的鄰居起爭執。為了報仇,如果他可以存取你的智慧型電表,那你可能會收到一筆相當大的電費。

 

圖1:駭客入侵鄰居的智慧型電表(來自我們的影片截圖 – 強調攻擊情境

繼續閱讀

《 IoT 物聯網安全趨勢 》面對萬物聯網所帶來的風險與效益 (下篇)

本文的上篇當中,我們詳述了物聯網(IoT ,Internet of Things)所牽涉到的裝置、技術與流程,並提到這些裝置如何可能遭到攻擊。廣泛來說,IoE 涵蓋了各種以 IP 連網的端點裝置,將網際網路的觸角延伸至傳統 PC、智慧型手機與平板的範圍之外。

物聯網受到科技大廠的再度青睞
表面上,IoT看起來只是一種把戲,最常讓人聯想到就是生化機器人的抬頭顯示器、連網牙刷以及可追蹤使用者步伐和睡眠習慣的手環。然而這樣的刻板印象卻掩蓋了IoT在改善內容及服務供應方式的潛力。Salesforce.com 的 JP Rangaswami 指出 IoE 將是一套減少浪費並消除效率瓶頸的系統,涵蓋商業供應鏈到日常大眾運輸流程。

Why You Should Be Smart about Smart Devices

點小圖看大圖

以下是幾個登上媒體頭條版面的最新IoT 消息,並且點出了連網基礎架構的普及能帶來什麼樣的應用:

  • Apple 在其即將來臨的 Worldwide Developers Conference 全球開發者大會上有可能展示一套可讓使用者操控居家物品的最新平台。基本上就是將 iOS 裝置變成一個萬用遙控器,遙控保全系統、照明以及其他家電。
  • 而今年稍早才併購恆溫控制與煙霧感應器製造商 Nest 的 Google,現在可能又打算併購 Dropcam 這家居家監控攝影服務廠商。
  • Samsung 早已在測試 IoT水溫,推出 Galaxy Gear 智慧型手錶與 Galaxy Fit 健康手環,兩者都搭上了穿戴式科技與健身監測的最新潮流。

有了全球最大科技廠商在背後支持,IoT  應該將安全與隱私權列為第一要務。IoT  提供了改造與提升網際網路的全新契機,然而 Dropcam 之類的技術卻帶來了令人不安的可能發展,例如居家監視攝影系統可能遭到挾持。

事實上,正在崛起的 IoT  已經發生多起遭到攻擊的案例,包括一起名為「Moon Worm」(月蟲) 的 路由器漏洞攻擊。所有相關人員都應在基礎架構變得更先進、相關攻擊變得更複雜之前,從這些事件當中記取教訓。

《Wired》引述 REX 智庫創辦人 Jerry Michalski 的話表示:「大多數暴露在網際網路上的裝置都有可能被駭。而且還可能出現非預期的結果:它們可能被用於一些原設計之外的用途,而且大多不是好事。」

從 Moon Worm 和其他攻擊記取 IoE 安全的教訓
網路安全產業只要看看 Moon Worm 和幾個類似的惡意攻擊行動,就能知道 IoT  安全已經是現在式,而非未來的情景。以下是近年來最知名的一些 IoT  安全相關事件:

  • 2014 年 2 月,Moon Worm 現身,專門攻擊特定型號的 Linksys 路由器,橫行全球。該攻擊會利用一個可跳過驗證機制的漏洞,甚至還具備自我複製能力。廠商建議使用者最好更新到最新的韌體版本,並且停用遠端管理功能以策安全。
  • 今年四月,一群駭客利用惡意程式取得了保全系統監視錄影機 (DVR) 的控制權。除此之外,他們也會將受感染的端點裝置用於開採比特幣 (Bitcoin)。開採比特幣是一項非常耗費 CPU 資源的作業,也就是說,受感染的裝置將變得非常緩慢。能夠掌控 IoT 對歹徒來說是一項強大的誘因,所以才會不辭辛苦地運用監視攝影機內低功耗的 ARM 處理器來執行開採比特幣這類吃重的運算工作。
  • 國際電動車大廠 Tesla 生產了許多搭載觸控螢幕介面與整合式行動電話網路的尖端電動車。可預期的,由於這項功能需仰賴網路與軟體,網路安全將成為該公司未來必須解決的一項問題。跟據《Ars Technica》報導,直到最近,Tesla 的車主都只需設定一個六個字元的密碼,其中至少必須包含一個字母和一個數字,這使得這些帳號很容易遭到暴力破解攻擊。此外,針對 Tesla 設計的第三方 App 程式也可能導致車主的帳號密碼外洩。

在 2014 年 5 月的一項研討會上,Moon Worm 與IoT  安全成為討論的焦點,身為研究學者的 In-Q-Tel 資訊安全長 Dan Geer 指出,IoT  的最基本的一項弱點就是有太多裝置的軟體都已過時。駭客可輕易地攻擊未修補的韌體與作業系統漏洞,就能取得 IoT 裝置的掌控權,從監視攝影機到網路通訊設備等等。 繼續閱讀

《 IoT 物聯網安全趨勢 》面對萬物聯網所帶來的風險與效益 (上篇)

近來,似乎所有主要大廠都在密切關注物聯網(IoT ,Internet of Things)的議題。IoT 有時亦稱為萬物聯網 (Internet of Everything),只不過概念上或許有些微差異。隨著智慧型手機、平板和超輕薄筆電革命性改變了人們上網的方式、時機和地點,一些感應器及網路端點裝置製造商正試圖發展出一套更複雜的裝置生態體系來將這場革命帶向另一個高峰。

解讀 IoT:基本概念與技術
最近在舊金山舉行的 Cisco Live U.S. 2014 大會上,Cisco 副總裁 Mala Anand 表示 IoE 是「企業大規模轉型」的典範,並指出該公司預測 IoE 相關技術最終將創造出一個 19 兆美元的市場

IOE

然而,IoE 到底是什麼?儘管它或許和今日數十億 IP 連網裝置遍布全球的情況沒有太大差異,但望文生義,它通常意味著更大的規模以及裝置和人之間更密切的互動。IoE 涵蓋的一些核心領域包括:

  • 裝置對裝置:智慧型感應器、機器人與伺服器之間可彼此通訊,實現流程的簡化與自動化,如:庫存管理、即時監控基礎建設與工廠生產線。
  • 裝置對人:有時亦稱為「機器對機器對人」,此領域包括一些越來越熱門的裝置和服務,如醫療監控。Jawbone Up 和 Fitbit Flex 等穿戴式裝置已經將資料蒐集與 IP 連網功能拓展到 PC 和其他具備螢幕的裝置之外。讓我們來感受一下這件事的規模:去年 Jawbone 表示,他們每晚可蒐集到 60 年的睡眠資料。
  • 人對人:這聽起來有點怪,但這對許多入來說已稀鬆平常,那就是社群網路。全球網路規模的基礎架構與高效率演算法,是這類平台背後運作的基礎,但人與人之間的連結才是關鍵。

在一個較為技術的層次上,物聯網(IoT ,Internet of Things)涵蓋了各式各樣的連網裝置。可連上網際網路的牙刷和冰箱或許還在剛問市的階段,仍未成為大眾接受的主流,但 Nest Labs 之類的公司卻已引起不少關注。Google 今年稍早即以超過 3 兆美元的天價併購了這家智慧型可程式化恆溫控制系統與煙霧感應器製造商。

物聯網(IoT ,Internet of Things)的潛在效益無窮。某些產業提倡者 (如 Salesforce.com 的 JP Rangaswami) 指出,IoE 將為科技領域帶來的效應,就如同全面電氣化對於電力的影響一樣,它將成為日常生活當中無所不在、看不見卻隨時存在的重要元素。

《eWeek》引述 Rangaswami 的話表示:「[萬物聯網]的最終效益將是全面減少浪費:就實體物流來說為人員與商品的移動,在邏輯物流方面則是創意與資訊的移動。決策將變得更快、更好,擁有更準確的資訊為基礎。並且可更有效消除先前假設和規劃上的錯誤。」

萬物聯網存在著什麼風險?
物聯網(IoT ,Internet of Things)的商業效益同樣令人關注的是 IoE 衍生出來的網路安全與隱私權問題。一些以網際網路為命脈的知名廠商,從 eBay 到 Adobe,在保管使用者私人資訊方面已經捉襟見肘,因而導致一些大規模的資料外洩事件,進一步讓網路犯罪更加猖狂,因為駭客取得了入侵其他帳戶所需的資訊。未來一旦連網變得更加普及,情況將變得如何?

Pew Research 與 Elon University 的 Imagining the Internet Center 所做的研究報告「物聯網將在 2025 年蓬勃發展」(The Internet of Things Will Thrive by 2025) 一文,深入探討了IoE 全面普及的風險與潛在效益。在負面影響方面,作者預料 IoE 的演進,就像電腦運算能力的進步一樣,將帶來一場資訊安全廠商與網路犯罪者之間的軍備競賽。

毫無疑問,當大量的端點裝置具備 Wi-Fi、藍牙和/或行動電話網路功能時,將有助於改善某些情況,如:監控設備故障情形並將狀況回報給伺服器。但問題是,這些新增加的資料傳輸應該如何 (以及由誰負責) 保障安全。

負起 IoE 安全的責任
一般個人和企業之所以擔心誰該負起物聯網(IoT ,Internet of Things)的安全責任不是沒有原因的。正如Heartbleed心淌血漏洞告訴我們,即使是一些關鍵的技術,例如用來保障網路銀行交易及付款安全的加密技術,也可能出現漏洞,因此那些受益的眾多廠商應該投入更多的經費來支持其研發。有鑑於 IoE 的規模龐大,網路安全的重要性只會越來越高。

《The Inquirer》引述 Intel 企業行銷總長 Stuart Dommet 的話指出:「您將必須保護裝置或感應器,您將必須保護資料,而且您將必須在一個開放的網路上做好這些保護,這的確是一項超大規模的變革。取得個人資料很可能是未來最大的一項改變,而光這一點就能摧毀您的企業。很重要的一點是,我們必須了解資訊安全將變成什麼樣貌,因為我們沒有架設私人網路的成本。」 繼續閱讀

《 IoT 物聯網安全趨勢 》物聯網時代,智慧型設備如何面對安全威脅?

作者:Raimund Genes(趨勢科技 CTO 技術長)

每當我聽到物聯網(IoT ,Internet of Things)時,我的心情都會有些矛盾。毫無疑問地,這在技術上是新的「大勢所趨」,但同時我也擔憂它是否安全。讓我解釋一下。

IOE

 當一家公司製造一個智慧型設備,他們不僅需要製造該設備的硬體,他們還需要為其編寫軟體。這不是個簡單的任務,特別是對於那些複雜的項目來說。舉個例子 – 現代化的汽車。想想看它擁有的所有功能:遠端協助,行車路線輔助系統,甚至是出車禍時的緊急服務通知。它甚至可以整合關於我如何駕駛的各種統計數據,並且和其他駕駛者做比較。

這一切都需要有相當大量的軟體進行編寫。一輛現代化的汽車有超過1億行的程式碼。這比辦公室軟體如Microsoft Office(4500萬行)還多出一倍;或是一架波音787夢幻客機(1400萬行)的7倍以上。更多程式碼不僅代表更多的功能,也代表了有更多機會出現各種安全缺陷和漏洞。

軟體漏洞是我們已經(不幸地)學會如何應對的事情。世界各地的軟體廠商會定期發送更新給他們的客戶;智慧型設備應該也沒有不同。我在過去十年裡所擁有的每台車都有收到定期的更新,包括轉向系統的改變。鑑於在德國高速公路上,時速140英里(或每小時225公里)是正常的行駛速度,所以在這情況下不要出現死亡藍色螢幕是件相當重要的事情。

我們已經知道有弱點的設備會受到網路犯罪份子攻擊。例如,路由器對於攻擊相當脆弱,也很容易被入侵。我們需要智慧型設備廠商認知到自己的產品也是,有可能會成為目標。安全廠商如趨勢科技會盡我們所能來保護使用者,但更好的方式是智慧型設備盡可能地將安全擺在第一位。設備廠商不僅必須要試著遵循安全實作來開發自己的產品;他們還必須要測試這些設備,才可以在面對新威脅時保持安全。

更多關於我對物聯網的想法可以從下列影片內找到:

想知道更多關於安全風險和如何保護智慧型設備的資訊,請訪問我們物聯網資訊站,裡面包含了我們討論這個新興領域的資料。

 

@原文出處:Securing the Internet of Everything

 

 

《同場加映》趨勢科技資訊安全研究副總裁 Rik Ferguson的看法  

雖然針對「智慧型」或「聯網」裝置的攻擊仍不普遍,但我們相信網路犯罪者已經準備探索這全新聯網裝置 (且大多沒有防護) 的世界能為他們帶來什麼樣的犯罪契機。一旦殺手級的應用出現,駭客將完成武裝,隨時準 備大舉入侵,就如同當年 Android 平台崛起時的情形。我們已在真實世界見到針對監視攝影機所連接的數位錄放影機 (DVR) 的攻擊。駭客嘗試利用它們來開採必特幣,而且該事件並非隨機感染任何裝置,因為該事件中的惡意程式是專為 ARM 處理器所撰寫,不過這些低功耗裝置實在無法勝任數位貨幣開採作業的吃重工作。

此外我們也見到多起專門入侵家用路由器的攻擊,因為這些裝置非常適合用來針對智慧型裝置發動中間人攻擊 (MiTM),駭客可以直接將威脅插入資料通訊當中而不須感染個別裝置。

最近亦出現一些針對智慧型家庭照明系統、電動車管理系統,以及智慧型電視的概念驗證攻擊 (PoC)。不幸的是,這些大多利用設計上的不良,或是製造商不安全的作法,而非底層作業系統或介面在程式方面的漏洞。

令人喪氣的是,只要產品急於上市,安全依然經常是新興物聯網(IoE ,Internet of Everything)廠商最後的考量。我們都應該謹記比爾•蓋茲(Bill Gates) 在 12 年前發給微軟和所有子公司的那封題為「Trustworthy Computing」(值得信賴的運算) 的電子郵件所言:

「未來,我們必須開發技術和政策來協助企業更妥善管理日漸擴大的個人電腦、伺服器與其他智慧型裝置網路,確保其關鍵營業系統安全無虞。系統將必須能夠自我管理而且必須具備韌性。我們現在應為促成這項未來的軟體預作準備。」

這段話對現在來說真是再真切不過。