完全信賴 App 程式所宣稱的隱私保障是不智之舉

 去年, 數位隱私相關攻擊震驚了全世界。今年,我們相信,儘管各界正努力恢復隱私權保障,但「大眾的不信任將依然不變」。一項新的作法就是使用所謂的「限期張貼 App 程式」,這類程式只將訊息、照片或其他多媒體內容張貼一段時間,且一旦檢視之後就永久刪除。

IoE

不過,最近發生的一起案例卻提醒我們,完全信賴 App 程式所宣稱的隱私保障是不智之舉,因為連廠商自己都可能發生資料外洩。曾經發生這樣一起案例,某個這類私密性 App 程式的伺服器因其程式開發介面 (API) 缺乏防範不當存取的安全措施而遭到攻擊。

IoE Ephemeral apps put user data at risk.docx

現在既然知道了,我們就應該謹慎挑選自己所要下載的 App 程式,別太在意廠商那些可能做不到的承諾。

851 215 FB Cover promotion812

萬物聯網時代,企業必要掌握的資安四大面向

萬物聯網資訊安全中心  多層次的資訊安全中心控管
萬物聯網駭客攻防手法  深度分析APT攻擊,建立完整的防禦架構
萬物聯網雲端防護架構  私有雲 、公有雲、混合雲的資訊安全
萬物聯網行動安全機制  企業行動裝置安全策略

當萬物聯網IoE(Internet of Everything)正待崛起,美國著名研究機構更看到比現今經濟大上30倍的發展契機;引領企業資安布局的您,該如何預見具前瞻價值的資安趨勢,為「萬物可聯網‧無處不資安」的時代及早準備?【即刻報名!!CLOUDSEC 2014企業資安高峰論壇】

《 IoT 物聯網安全趨勢 》面對萬物聯網所帶來的風險與效益 (下篇)

本文的上篇當中,我們詳述了物聯網(IoT ,Internet of Things)所牽涉到的裝置、技術與流程,並提到這些裝置如何可能遭到攻擊。廣泛來說,IoE 涵蓋了各種以 IP 連網的端點裝置,將網際網路的觸角延伸至傳統 PC、智慧型手機與平板的範圍之外。

物聯網受到科技大廠的再度青睞
表面上,IoT看起來只是一種把戲,最常讓人聯想到就是生化機器人的抬頭顯示器、連網牙刷以及可追蹤使用者步伐和睡眠習慣的手環。然而這樣的刻板印象卻掩蓋了IoT在改善內容及服務供應方式的潛力。Salesforce.com 的 JP Rangaswami 指出 IoE 將是一套減少浪費並消除效率瓶頸的系統,涵蓋商業供應鏈到日常大眾運輸流程。

Why You Should Be Smart about Smart Devices

點小圖看大圖

以下是幾個登上媒體頭條版面的最新IoT 消息,並且點出了連網基礎架構的普及能帶來什麼樣的應用:

  • Apple 在其即將來臨的 Worldwide Developers Conference 全球開發者大會上有可能展示一套可讓使用者操控居家物品的最新平台。基本上就是將 iOS 裝置變成一個萬用遙控器,遙控保全系統、照明以及其他家電。
  • 而今年稍早才併購恆溫控制與煙霧感應器製造商 Nest 的 Google,現在可能又打算併購 Dropcam 這家居家監控攝影服務廠商。
  • Samsung 早已在測試 IoT水溫,推出 Galaxy Gear 智慧型手錶與 Galaxy Fit 健康手環,兩者都搭上了穿戴式科技與健身監測的最新潮流。

有了全球最大科技廠商在背後支持,IoT  應該將安全與隱私權列為第一要務。IoT  提供了改造與提升網際網路的全新契機,然而 Dropcam 之類的技術卻帶來了令人不安的可能發展,例如居家監視攝影系統可能遭到挾持。

事實上,正在崛起的 IoT  已經發生多起遭到攻擊的案例,包括一起名為「Moon Worm」(月蟲) 的 路由器漏洞攻擊。所有相關人員都應在基礎架構變得更先進、相關攻擊變得更複雜之前,從這些事件當中記取教訓。

《Wired》引述 REX 智庫創辦人 Jerry Michalski 的話表示:「大多數暴露在網際網路上的裝置都有可能被駭。而且還可能出現非預期的結果:它們可能被用於一些原設計之外的用途,而且大多不是好事。」

從 Moon Worm 和其他攻擊記取 IoE 安全的教訓
網路安全產業只要看看 Moon Worm 和幾個類似的惡意攻擊行動,就能知道 IoT  安全已經是現在式,而非未來的情景。以下是近年來最知名的一些 IoT  安全相關事件:

  • 2014 年 2 月,Moon Worm 現身,專門攻擊特定型號的 Linksys 路由器,橫行全球。該攻擊會利用一個可跳過驗證機制的漏洞,甚至還具備自我複製能力。廠商建議使用者最好更新到最新的韌體版本,並且停用遠端管理功能以策安全。
  • 今年四月,一群駭客利用惡意程式取得了保全系統監視錄影機 (DVR) 的控制權。除此之外,他們也會將受感染的端點裝置用於開採比特幣 (Bitcoin)。開採比特幣是一項非常耗費 CPU 資源的作業,也就是說,受感染的裝置將變得非常緩慢。能夠掌控 IoT 對歹徒來說是一項強大的誘因,所以才會不辭辛苦地運用監視攝影機內低功耗的 ARM 處理器來執行開採比特幣這類吃重的運算工作。
  • 國際電動車大廠 Tesla 生產了許多搭載觸控螢幕介面與整合式行動電話網路的尖端電動車。可預期的,由於這項功能需仰賴網路與軟體,網路安全將成為該公司未來必須解決的一項問題。跟據《Ars Technica》報導,直到最近,Tesla 的車主都只需設定一個六個字元的密碼,其中至少必須包含一個字母和一個數字,這使得這些帳號很容易遭到暴力破解攻擊。此外,針對 Tesla 設計的第三方 App 程式也可能導致車主的帳號密碼外洩。

在 2014 年 5 月的一項研討會上,Moon Worm 與IoT  安全成為討論的焦點,身為研究學者的 In-Q-Tel 資訊安全長 Dan Geer 指出,IoT  的最基本的一項弱點就是有太多裝置的軟體都已過時。駭客可輕易地攻擊未修補的韌體與作業系統漏洞,就能取得 IoT 裝置的掌控權,從監視攝影機到網路通訊設備等等。 繼續閱讀

《 IoT 物聯網安全趨勢 》面對萬物聯網所帶來的風險與效益 (上篇)

近來,似乎所有主要大廠都在密切關注物聯網(IoT ,Internet of Things)的議題。IoT 有時亦稱為萬物聯網 (Internet of Everything),只不過概念上或許有些微差異。隨著智慧型手機、平板和超輕薄筆電革命性改變了人們上網的方式、時機和地點,一些感應器及網路端點裝置製造商正試圖發展出一套更複雜的裝置生態體系來將這場革命帶向另一個高峰。

解讀 IoT:基本概念與技術
最近在舊金山舉行的 Cisco Live U.S. 2014 大會上,Cisco 副總裁 Mala Anand 表示 IoE 是「企業大規模轉型」的典範,並指出該公司預測 IoE 相關技術最終將創造出一個 19 兆美元的市場

IOE

然而,IoE 到底是什麼?儘管它或許和今日數十億 IP 連網裝置遍布全球的情況沒有太大差異,但望文生義,它通常意味著更大的規模以及裝置和人之間更密切的互動。IoE 涵蓋的一些核心領域包括:

  • 裝置對裝置:智慧型感應器、機器人與伺服器之間可彼此通訊,實現流程的簡化與自動化,如:庫存管理、即時監控基礎建設與工廠生產線。
  • 裝置對人:有時亦稱為「機器對機器對人」,此領域包括一些越來越熱門的裝置和服務,如醫療監控。Jawbone Up 和 Fitbit Flex 等穿戴式裝置已經將資料蒐集與 IP 連網功能拓展到 PC 和其他具備螢幕的裝置之外。讓我們來感受一下這件事的規模:去年 Jawbone 表示,他們每晚可蒐集到 60 年的睡眠資料。
  • 人對人:這聽起來有點怪,但這對許多入來說已稀鬆平常,那就是社群網路。全球網路規模的基礎架構與高效率演算法,是這類平台背後運作的基礎,但人與人之間的連結才是關鍵。

在一個較為技術的層次上,物聯網(IoT ,Internet of Things)涵蓋了各式各樣的連網裝置。可連上網際網路的牙刷和冰箱或許還在剛問市的階段,仍未成為大眾接受的主流,但 Nest Labs 之類的公司卻已引起不少關注。Google 今年稍早即以超過 3 兆美元的天價併購了這家智慧型可程式化恆溫控制系統與煙霧感應器製造商。

物聯網(IoT ,Internet of Things)的潛在效益無窮。某些產業提倡者 (如 Salesforce.com 的 JP Rangaswami) 指出,IoE 將為科技領域帶來的效應,就如同全面電氣化對於電力的影響一樣,它將成為日常生活當中無所不在、看不見卻隨時存在的重要元素。

《eWeek》引述 Rangaswami 的話表示:「[萬物聯網]的最終效益將是全面減少浪費:就實體物流來說為人員與商品的移動,在邏輯物流方面則是創意與資訊的移動。決策將變得更快、更好,擁有更準確的資訊為基礎。並且可更有效消除先前假設和規劃上的錯誤。」

萬物聯網存在著什麼風險?
物聯網(IoT ,Internet of Things)的商業效益同樣令人關注的是 IoE 衍生出來的網路安全與隱私權問題。一些以網際網路為命脈的知名廠商,從 eBay 到 Adobe,在保管使用者私人資訊方面已經捉襟見肘,因而導致一些大規模的資料外洩事件,進一步讓網路犯罪更加猖狂,因為駭客取得了入侵其他帳戶所需的資訊。未來一旦連網變得更加普及,情況將變得如何?

Pew Research 與 Elon University 的 Imagining the Internet Center 所做的研究報告「物聯網將在 2025 年蓬勃發展」(The Internet of Things Will Thrive by 2025) 一文,深入探討了IoE 全面普及的風險與潛在效益。在負面影響方面,作者預料 IoE 的演進,就像電腦運算能力的進步一樣,將帶來一場資訊安全廠商與網路犯罪者之間的軍備競賽。

毫無疑問,當大量的端點裝置具備 Wi-Fi、藍牙和/或行動電話網路功能時,將有助於改善某些情況,如:監控設備故障情形並將狀況回報給伺服器。但問題是,這些新增加的資料傳輸應該如何 (以及由誰負責) 保障安全。

負起 IoE 安全的責任
一般個人和企業之所以擔心誰該負起物聯網(IoT ,Internet of Things)的安全責任不是沒有原因的。正如Heartbleed心淌血漏洞告訴我們,即使是一些關鍵的技術,例如用來保障網路銀行交易及付款安全的加密技術,也可能出現漏洞,因此那些受益的眾多廠商應該投入更多的經費來支持其研發。有鑑於 IoE 的規模龐大,網路安全的重要性只會越來越高。

《The Inquirer》引述 Intel 企業行銷總長 Stuart Dommet 的話指出:「您將必須保護裝置或感應器,您將必須保護資料,而且您將必須在一個開放的網路上做好這些保護,這的確是一項超大規模的變革。取得個人資料很可能是未來最大的一項改變,而光這一點就能摧毀您的企業。很重要的一點是,我們必須了解資訊安全將變成什麼樣貌,因為我們沒有架設私人網路的成本。」 繼續閱讀

《 IoT 物聯網安全趨勢 》物聯網時代,智慧型設備如何面對安全威脅?

作者:Raimund Genes(趨勢科技 CTO 技術長)

每當我聽到物聯網(IoT ,Internet of Things)時,我的心情都會有些矛盾。毫無疑問地,這在技術上是新的「大勢所趨」,但同時我也擔憂它是否安全。讓我解釋一下。

IOE

 當一家公司製造一個智慧型設備,他們不僅需要製造該設備的硬體,他們還需要為其編寫軟體。這不是個簡單的任務,特別是對於那些複雜的項目來說。舉個例子 – 現代化的汽車。想想看它擁有的所有功能:遠端協助,行車路線輔助系統,甚至是出車禍時的緊急服務通知。它甚至可以整合關於我如何駕駛的各種統計數據,並且和其他駕駛者做比較。

這一切都需要有相當大量的軟體進行編寫。一輛現代化的汽車有超過1億行的程式碼。這比辦公室軟體如Microsoft Office(4500萬行)還多出一倍;或是一架波音787夢幻客機(1400萬行)的7倍以上。更多程式碼不僅代表更多的功能,也代表了有更多機會出現各種安全缺陷和漏洞。

軟體漏洞是我們已經(不幸地)學會如何應對的事情。世界各地的軟體廠商會定期發送更新給他們的客戶;智慧型設備應該也沒有不同。我在過去十年裡所擁有的每台車都有收到定期的更新,包括轉向系統的改變。鑑於在德國高速公路上,時速140英里(或每小時225公里)是正常的行駛速度,所以在這情況下不要出現死亡藍色螢幕是件相當重要的事情。

我們已經知道有弱點的設備會受到網路犯罪份子攻擊。例如,路由器對於攻擊相當脆弱,也很容易被入侵。我們需要智慧型設備廠商認知到自己的產品也是,有可能會成為目標。安全廠商如趨勢科技會盡我們所能來保護使用者,但更好的方式是智慧型設備盡可能地將安全擺在第一位。設備廠商不僅必須要試著遵循安全實作來開發自己的產品;他們還必須要測試這些設備,才可以在面對新威脅時保持安全。

更多關於我對物聯網的想法可以從下列影片內找到:

想知道更多關於安全風險和如何保護智慧型設備的資訊,請訪問我們物聯網資訊站,裡面包含了我們討論這個新興領域的資料。

 

@原文出處:Securing the Internet of Everything

 

 

《同場加映》趨勢科技資訊安全研究副總裁 Rik Ferguson的看法  

雖然針對「智慧型」或「聯網」裝置的攻擊仍不普遍,但我們相信網路犯罪者已經準備探索這全新聯網裝置 (且大多沒有防護) 的世界能為他們帶來什麼樣的犯罪契機。一旦殺手級的應用出現,駭客將完成武裝,隨時準 備大舉入侵,就如同當年 Android 平台崛起時的情形。我們已在真實世界見到針對監視攝影機所連接的數位錄放影機 (DVR) 的攻擊。駭客嘗試利用它們來開採必特幣,而且該事件並非隨機感染任何裝置,因為該事件中的惡意程式是專為 ARM 處理器所撰寫,不過這些低功耗裝置實在無法勝任數位貨幣開採作業的吃重工作。

此外我們也見到多起專門入侵家用路由器的攻擊,因為這些裝置非常適合用來針對智慧型裝置發動中間人攻擊 (MiTM),駭客可以直接將威脅插入資料通訊當中而不須感染個別裝置。

最近亦出現一些針對智慧型家庭照明系統、電動車管理系統,以及智慧型電視的概念驗證攻擊 (PoC)。不幸的是,這些大多利用設計上的不良,或是製造商不安全的作法,而非底層作業系統或介面在程式方面的漏洞。

令人喪氣的是,只要產品急於上市,安全依然經常是新興物聯網(IoE ,Internet of Everything)廠商最後的考量。我們都應該謹記比爾•蓋茲(Bill Gates) 在 12 年前發給微軟和所有子公司的那封題為「Trustworthy Computing」(值得信賴的運算) 的電子郵件所言:

「未來,我們必須開發技術和政策來協助企業更妥善管理日漸擴大的個人電腦、伺服器與其他智慧型裝置網路,確保其關鍵營業系統安全無虞。系統將必須能夠自我管理而且必須具備韌性。我們現在應為促成這項未來的軟體預作準備。」

這段話對現在來說真是再真切不過。

 

《 IoT 物聯網安全趨勢 》為何您應該聰明地使用智慧型裝置?

Why You Should Be Smart about Smart Devices
圖文解說:從「單純」生活轉換到「智慧」生活(點小圖可放大)

全世界又再一次進入轉型時代,從一切行動化的世界轉變成「智慧型」裝置充斥的未來。

今年稍早在 2014 年美國消費性電子展 (CES) 上出現了各式各樣融入日常生活物品且提供更先進連線能力和功能的電子裝置,例如:可上網串流最新節目的高畫質電視、可提醒紫外線強度的手環,甚至還有一個可幫內容物充電的碗

儘管這些智慧型裝置受到消費者青睞,期盼它們能趕快上市,但也有人提出若干問題,其中最讓人擔憂的就是開發這些科技的廠商將如何運用他們經由裝置蒐集到的資料

智慧型裝置使用者將面臨的另一個問題是如何防止網路犯罪者取得自己的資料。一些原本「不具備智慧」的裝置,如恆溫控制系統、門鎖、冰箱等等,現在都搭載了先進的連網功能,使得駭客因而得以入侵並從事不法行為。

未來,消費者很可能只要看一下智慧型裝置就能追蹤自己每天的行程。還有主動式警報系統可顯示一個人的睡眠情況;智慧型冰箱可顯示使用者訂購及消耗了哪些食物;穿戴式健康手環可監控一個人的健康狀況。甚至有智慧型眼鏡可讓人拍下眼睛所見到的事物。

不過,轉換到「智慧」生活並不一定意味著生活更聰明。有鑑於網路犯罪者總是跟隨著使用者到最有利可圖的地方,因此,物聯網 (IoT) 未來很可能成為一大攻擊目標。可記錄使用者消費習慣與商店資料的裝置,將成為很有吸引力的資訊竊取來源,歹徒可販售這些資料牟利。一旦這些個人裝置變得「具備智慧」且連上網路,它們就很容易遭到駭客攻擊並發生資料外洩。

請參閱我們所製作的圖文解說,看看舊式「非智慧型」裝置與對應的現代化「智慧型」裝置有何不同,以及它們未來將如何影響個人生活。