2017 年消費電子展:科技越聰明,安全越重要

今年1月5日至1月8日美國內華達州拉斯維加斯會議中心舉辦了一年一度的盛會:CES消費電子展。如同往年一樣,今年的展覽又再次讓我們一窺 2017 年及未來科技產業的最新技術和產品。根據我們的觀察,未來世界只有一句話可以形容:「越來越聰明」。

汽車產業在 CES 上的主軸之一是內建虛擬助理的原型車款

虛擬實境和擴增實境儘管已不再是今年展覽的主要重點,但仍未缺席。今年的產品並無革命性的創舉,不過可以看到針對先前的產品做了不少改進,最大的改變就是性價比的提升。在汽車產業方面則如 2016 年一樣,繼續開發出更聰明、更自動化的車款。有別於過去智慧汽車給人概念車的印象,今年的產品似乎多了一些實用的功能。汽車產業今年在 CES 上的主軸之一是內建虛擬助理的原型車款,進一步結合物聯網(IoT ,Internet of Thing)的生態體系。

談到虛擬助理,我想這將是未來居家裝置經常會出現的功能。想像一個智慧家庭,裡面從電視到吸塵器的每一樣家電都由同一個虛擬管家所管理。假使科技大廠的智慧家庭願景真的完全整合到虛擬管家當中的話,這是很可能會發生的事。 廠商推動智慧功能整合至今已有一段時日,而我們也慢慢看到一些日常家庭用品和家電開始具備智慧功能,如:烤麵包機和垃圾桶。

2016年出現第一個讓 IoT 安全問題浮上檯面的惡意程式: Mirai

駭客將利用 IoT 裝置發動更多攻擊,並從家庭物聯網轉向工業物聯網 (IIoT)

眼前的所有趨勢,讓人逐漸意識到一件事:智慧科技與物聯網(IoT ,Internet of Thing)終將成為人類生活的重要一環。但這其中卻牽涉到一個很大的難題:我們身邊的智慧裝置越多,我們就越容易因為這些不安全的裝置而遭受歹徒攻擊。

2016 年是 IoT多災多難的一年。可怕的 Mirai 惡意程式利用了數位錄影主機 (DVR) 和網路路由器發動了去年最嚴重的分散式阻斷服務攻擊 (DDoS)。Mirai 之所以受到矚目,並非因為它是第一個攻擊智慧型裝置的惡意程式,而是它是第一個讓 IoT 安全問題浮上檯面的惡意程式。

如同我們在「2017 年資安預測」報告當中所言,未來我們不僅將看到駭客利用 IoT 裝置發動更多攻擊,而且將從家庭物聯網轉向工業物聯網 (IIoT),帶來更大的損害。

未來世界將更加聰明,所以我們也必須更聰明才行

過去我們已經討論過擁有智慧家庭的風險,這些風險不僅今日存在,在可見的未來也同樣存在。雖然 IoT 目前在安全方面有一些真實而嚴重的漏洞,但這並不表示我們無法降低持有智慧型裝置的風險。只要 妥善保護家用路由器並定期變更密碼就能大幅提升智慧裝置生態體系的安全並防範攻擊。

CES 消費電子展一向是最新科技的展示殿堂,而眼前確實有許多很棒的科技正在等著我們。不過,安全必須跟上創新的腳步,尤其當智慧科技與 IoT 裝置大量普及時更是如此。未來,政府出面干預是可預期的,因此廠商應該將安全列為第一要務。就資安的角度而言,企業和消費者必須通力合作才能完全實現今年 CES 大展所擘畫的願景。

總而言之,我們正處於一個令人振奮的時代。

 

原文出處:CES 2017: Smarter Tech Highlights the Need for Better Security

如何讓家用路由器不變成殭屍機器,接收指令進行網路犯罪?

家用網路的安全性跟保護企業邊界一樣重要,因為被駭的家用設備可能成為攻擊組織及公司資產的同伴。有弱點的家用網路不僅會影響到所有者和網路服務供應商,還會影響到連接的設備和儲存在上面的個人資料。

 

當有越來越多家庭使用智慧型設備來連接網際網路,路由器通常是唯一的守門員。無論使用者是筆記型電腦/桌上型電腦加上路由器,或者有其他設備會連接網路,安全風險都是一樣的。根據我們的研究,家用路由器最容易遭受跨站腳本(XSS)和PHP任意程式碼注入(arbitrary code injection)攻擊,還會被用來進行DNS放大(DNS amplification)攻擊。

智慧卻不安全的設備連上網際網路,就好像邀請看起來很有親和力卻心懷鬼胎的客人進入家門。只在閘道加上簡單的鎖並無法阻止它。根據最近對家用網路所進行的侵略來看,壞人們永遠可以找到方法破門而入。更糟的是,他們會感染這些設備,將它們變成接收指令進行網路犯罪的殭屍機器,就像最近對DNS服務商DynBrian Krebs所進行的攻擊,及在多個Netgear路由器內所發現命令注入漏洞。

 

後門程式,ELF檔案和 Mirai殭屍網路

家用路由器和物聯網(IoT ,Internet of Thing)設備通常都是使用Linux,因為它的普及性和具備的成本效益。但因為Linux的可移植性,開發在x86平台上的惡意軟體也可以在少幅度或甚至完全不修改原始碼的情況下就移植到家用路由器(通常是ARM或Armel)上。

家用路由器也可能遭受惡意應用程式、腳本和ELF檔案的影響。例如BASHLITE(趨勢科技偵測為ELF_BASHLITE)在2014年被用在大規模的分散式阻斷服務(DDoS)攻擊,最近經由感染物聯網設備(主要是巴西、哥倫比亞和台灣的網路監視錄影機DVR)來打造一個分散式阻斷服務攻擊 (DDoS)殭屍網路。還可能針對ARM、英特爾和相容x86和x86-64架構來感染隱藏的後門程式。這包括了Ring 3(也就是在使用者模式執行的)Rootkit,例如Umbreonvlany,它借用了另一個針對Linux的著名rootkit – Jynx2的功能。

圖1、Linux rootkit的安裝腳本節錄

圖2、vlany的範例程式碼,一個針對ARM系統的ring3 rootkit

 

Mirai(日語的「未來」,被偵測為ELF_MIRAI)相當特別,不單是因為它的複雜性(它使用預定義的預設憑證列表)。它的原始碼發布在駭客論壇上,讓其成為一個開放原始碼的惡意軟體,現被廣泛地利用和加以修改變得更強大。它的變種被用來將TalkTalk路由器變成殭屍機器攻擊高知名度的網站讓其斷線,如 Netflix、Reddit、Twitter和Airbnb。當Mirai殭屍網路攻擊德國電信所提供的90萬台家用路由器時,也導致了客戶服務中斷。 繼續閱讀

保護智慧家庭:家庭使用者與裝置製造商的安全祕訣

 

不論家庭使用者或家用物聯網(IoT ,Internet of Thing)裝置製造商,都能採取一些方法來降低智慧家庭伴隨而來的潛在風險,只要知道該從何著手即可。以下是便是我們所提供的一些實用安全祕訣。

家庭使用者如何保障智慧家庭安全?

對於家庭使用者來說,一個殘酷的現實是,並非所有智慧型裝置都內建基本的安全措施。因此,裝置的安全性要靠使用者對裝置的設定與使用方式來維護。只要您將安全列為智慧家庭的第一要務,您和家人就能用得安心,同時也會讓您想再增加其他智慧型裝置。

安全的智慧型裝置設定

您對家裡的智慧型家電有多了解?您是否熟悉它們的運作方式並知道它們的極限?比方說,您的家用物聯網裝置是否內建且預設開啟加密功能?有了加密,至少可以遏止有心人士試圖竊取裝置內的敏感資訊。

我們在前面談到 Amazon Echo 會持續聆聽您的對話以等候語音指令。若您對這樣的設計不太放心,那麼或許您可以暫時先將它關閉,等到您真正需要時再開啟。

有些裝置還提供了雲端服務來方便您存取資料。但我們建議您還是盡可能避免使用這類服務。使用這類裝置必須小心謹慎,尤其當裝置廠商在雲端資料處理方面並無太多經驗時。

檢查所有裝置的預設設定,研究一下如何修改這些設定來配合您的確切需要並保障您的隱私和個人安全。

檢查您的所有裝置是否都隨時保持更新。每當收到裝置韌體更新的通知時,請立即安裝最新版本。許多裝置甚至設有自動更新功能可以幫您省下麻煩。要不然,至少每個月更新一次,這樣也能降低駭客利用未修補漏洞入侵裝置的風險。將裝置的原始設定備份出來或儲存一份副本,萬一裝置發生非預期故障時,就能回復到先前的設定。 繼續閱讀

可能攻擊物聯網 (IoT) 的駭客的五種嫌疑犯

誰會想要攻擊智慧家庭?原因為何?這麼做對駭客有何好處?由於物聯網 IoT ,Internet of Thing)裝置有別於 PC 和智慧型手機,並非全都採用相同的作業系統 (至少目前市場現況是如此)。然而這一點小小的差異,就會讓駭客更難以發動大規模的攻擊。除此之外,想要破解 IoT 裝置的安全機制也需要相當的知識和適當的工具。

近年來,資安研究人員早已證明智慧型裝置確實可能遭到駭客入侵。當初研究人員駭入這些裝置的用意,只是希望引起廠商們注意產品的安全性。

但就在去年,趨勢科技研究人員以實驗證明駭客確實能夠從遠端擷取智慧型車輛的資料,甚至篡改自動化油表的油量。為了降低傷害的風險,這些實驗都是在控制的條件下進行,但歹徒可就不會這麼體貼。

現在我們已知道 IoT 裝置有可能遭駭,那麼,歹徒駭入這些功能單純的家用智慧型裝置要做什麼?以下列舉了一些可能攻擊物聯網的非典型嫌犯,以及他們的動機和他們攻擊智慧家庭的機率有多大。

網路犯罪集團

繼續閱讀

想送孩子智慧型裝置?家長先問自己這 8 個問題

聰明家長的物聯網 (IoT) 裝置購買指南

聖誕購物熱潮已經熱鬧展開,在歲末購物季來臨之前為家長提供相關的網路安全常識,並協助家長了解哪些聯網裝置功能可能遭駭客用來竊取個人資料和從事詐騙,為家中成員的上網安全把關。

Santa 聖誕節 聖誕老公公

趨勢科技兒童與家庭網路安全」(Internet Safety for Kids and Families) 計畫全球總監 Lynette Owens 表示:「我們提供這些資源的用意是要協助家長保護自己的家人,防範網路隱私及安全風險。今日孩子會接觸到的一些東西(如玩具、遊戲、應用程式)有越來越多都會連上網際網路並蒐集大量資訊。我們希望協助所有消費者對這些問題的認知,尤其是家中有孩童可能會受此趨勢影響的家長們。我們相信消費者若能多一分常識,就能多一分安全。」

2015 年,一家跨國性電子學習產品廠商因為遭到駭客入侵而造成資料外洩,駭客竊取了超過 630 萬筆兒童相關個人資料以及 480 萬筆家長帳號,此事件也充分顯示這類事件對兒童和家庭有多大影響。

趨勢科技提醒,家長在為家中孩童採購可連網的智慧裝置為佳節禮物時,請先思考並瞭解以下八大孩童資訊安全要點:

  1. 是否需要輸入個人資訊?您是否放心公開孩子的姓名、住址或個人照片
  2. 是否具備照相和錄影功能?您是否清楚這些資料會儲存在哪裡及還有誰可以查看這些資料
  3. 是否提供雙向通話功能?裝置能不能設定防止陌生人跑來和您的孩子聊天
  4. 是否用到語音或人臉辨識功能?生物特徵是每個人獨一無二的資料,萬一洩漏出去,就能用來辨認您孩子的身分
  5. 是否用到GPS功能?裝置是否內建安全機制來防止陌生人追蹤您孩子的位置
  6. 是否有可用來收音的麥克風?裝置是否會記錄聲音資料?裝置未使用時會不會還在持續錄音
  7. 是否可以收發文字訊息?是否可以過濾通訊名單,只允許您信賴的對象和兒童溝通文字訊息
  8. 是否將孩子的資料和活動記錄儲存在雲端?裝置所配合的雲端廠商是否讓人放心

除了以上快速的檢視之外,在為孩子採購今年的禮物之前,消費者還可先做一項小小的物聯網( IoT ,Internet of Thing)裝置安全知多少的互動式測驗來看看自己對 IoT 產品的了解有多少。此外,詳細的購買指南可提供更多資訊來協助家長認識智慧型玩具和其他連網裝置有哪些功能可能帶來隱私和安全風險,以避開網路犯罪集團針對歲末佳節所設下的陷阱。

iot-kid1 繼續閱讀