標籤: IOT

2015年國際消費電子展（CES）出現智慧汽車展區，代表什麼?

趨勢科技 TrendMicro

red car

國際消費電子展（CES）往往是展示全新突破性消費性技術的舞台。在這裡出現過最早的錄影機和攝影機，OLED面板和高畫質電視也都在這發表。正因如此，2015年的這一場看到汽車產業出現，甚至有個專門的智慧汽車展區也就毫不奇怪了。

大多數的討論會集中在汽車產業如何更好地保護路上日益增加的聯網車輛。自動駕駛汽車已經成為了現實，我們現在需要開始思考，如何在有人受傷前對這物聯網的高風險區提供更好的保護。

美麗新世界

在過去的12個月以來，我們看到了汽車科技在加速。Google日前才宣佈，現在就已經完成了其「完全自動駕駛的首度完整原型」，預計會在新的一年在加州開始測試。雖然該技術似乎對大多數人來說還有點遠，但事實是，多年來汽車廠商都在悄悄地在我們的車內打造更加先進的運算系統。

今日的汽車上有數台電腦是相當常見的，控制了從音樂到防鎖死刹車系統的一切。更重要的是，當物聯網延伸到汽車產業，你會發現現代汽車內置的感應器收集和傳輸大量關於燃料和排放水準、引擎溫度、胎壓、節氣閥位置及其他更多的資料。都是為了讓駕車體驗更加安全、更環保及更令人愉悅。

當汽車更加聯網後，它的可能性似乎變得更加無窮盡。

一場危險的遊戲

但這些可能性也帶來新的危險。正如個人電腦和行動裝置有被駭客遠端攻擊的危險，車載系統也是，只是這次的賭注還更高。在最壞的情況下，駭客可以遠端控制你的車輛甚或是鎖住刹車。 繼續閱讀

< IoT 物聯網新趨勢 >飛機、火車與汽車 – 有哪裡可以逃過PoS惡意軟體的威脅？

趨勢科技 TrendMicro

我最喜歡的電影之一是80年代由Steve Martin主演的喜劇 – 「飛機、火車與汽車」。這篇文章跟那部電影無關，不過的確借用了它的標題。

PoS惡意軟體，目前的主流

我們都應該記得，大約在去年的這個時候，美國零售商Target發生了有史以來最大的資料外洩事件，一起使用BlackPOS惡意軟體的針對性攻擊。自從那時開始，銷售終端或稱PoS惡意軟體開始成為主流，攻擊了大大小小的店家。2014也是我們看到PoS惡意軟體變為成熟威脅的一年。新PoS威脅出現在今年的假日購物季節，我們甚至想辦法去了解一下PoS詐騙者的工具箱。

PoS惡意軟體大多數侷限於零售業者和商家，但現在看來，PoS惡意軟體已經從購物中心分支到機場、地鐵站和停車場。

飛機

來自資安公司Census的研究人員在八月的DEFCON2014提出一篇關於PoS攻擊將目標放在旅客的有趣報告。Census延伸了PoS在機場內的定義去包含了自助報到機、無線上網服務機、行李定位服務機等。他們在希臘機場內進行調查。目標放在位於航站公共空間內的自助服務機。這個自助服務機可以讓乘客購買無線上網點數，打VoIP電話以及掃描機票以確認航班時間。他們發現該自助服務機有網路連線，外露USB孔、缺乏鍵盤輸入過濾功能、沒有安裝防毒軟體並具備管理者權限。

研究人員客製化了惡意軟體，並用一個簡單的網頁攻擊來感染自助服務機。航空公司在機票上使用登機證條碼化（BCBP），包含了乘客資訊；BCBP規格可以輕易地在Google上搜尋到。被掃描的BCBP資料 – 不管是印出的機票或是手機上的QR碼 – 都可以在自助服務機的記憶體中解出。知道BCBP格式讓研究人員可以從自助服務機的記憶體擷取資料，只要使用跟竊取支付卡資料的PoS記憶體擷取程式一樣的技術即可。他們的實驗結果顯示，攻擊者可以輕易地利用支付卡竊取PoS惡意軟體來感染自助服務機。

火車

資安公司IntelCrawler最近在部落格發表一篇關於「d4re|dev1|」（daredevil）PoS惡意軟體的文章，它會針對大眾運輸系統（MTS）。這個惡意軟體具備遠端管理、遠端更新、記憶體擷取和鍵盤記錄功能。IntelCrawler秀出義大利薩丁島一個被入侵ARST自動售票機的照片。攻擊者透過VNC來存取自動售票機。客戶在這些自動售票機購買公車票和火車票，讓他們成為被竊取支付卡資料的賺錢目標。一個最近發現的PoS記憶體擷取程式家族 – NewPosThings會試圖從被入侵系統取得VNC密碼。其他像是BrutPOS和Backoff等PoS記憶體擷取程式會使用RDP來存取被入侵的系統。  繼續閱讀

< IoT 物聯網新趨勢 > 穿戴式技術和物聯網的下一步？

趨勢科技 TrendMicro

 

必須要說的是，在寫本篇部落格文章時，我還必須將「wearables（穿戴式技術）」加入我文書處理程式的詞典。我們現在仍然處在進入「物聯網（IoT ,Internet of Things）」旅程的開始階段。但事實是，任何一個新生事物都有著自己獨特的狀況。而物聯網的狀況是：

設備和服務不再設計成各自為政，有許多公司現在都在提供API，包括了運動服裝公司、建築公司、百貨商、各國政府、慈善機構等你所可以想到的任何單位。

  • 消費化是真的；這些科技會先賣給消費者，再滲透入企業環境而被採用。
  • 新科技被採用的速率會隨著時間而成倍數增加，它被當作目標和濫用的速度也一樣。
  • 群眾集資（crowdfunding，另一個需要加到我文書處理程式的單字）作為籌措專案資金手段的興起也帶來創意的爆炸，以及隨之而來的加速市場化。而安全性仍然是後期才會出現的想法。

繼續閱讀

你的資料在萬物聯網當中安全嗎？

趨勢科技 TrendMicro

當我在討論許多人所稱的「物聯網」(Internet of Things) 時，我喜歡稱它為萬物聯網（IoE ,Internet of Everything）,因為從很多方面來看，物聯網(Internet of Things)一詞並不足以包括一切內涵。萬物聯網強大之處，在於其裝置所蒐集的各種與你、我相關的資料。

隱私 個資 DLP 0 安全 pivacy2

業者能看到您在裝置上所做的「一切」

想像一下這類裝置的實際運作情形，它們幾乎都必須和服務業者的中央伺服器連線。這表示業者能看到您在裝置上所做的「一切」。您必須信任這些業者會妥善保管您的資料，並且不會用於不當用途，也不能時間一久就將它們遺忘。

但很不幸的是，您的資料有各種遭到濫用或外洩的可能性。例如，這些裝置本身就可能不安全，任何駭客都能輕易入侵。而這些裝置所採用的模組，很可能來自一些開放原始碼計劃，因此長久下來很可能會被挖掘到一些漏洞，而且廠商很可能並未仔細想過該如何快速而輕鬆地更新這些裝置。此外，中央伺服器本身也可能遭到鎖定目標攻擊而發生駭客入侵和資料外洩的情況。

我們甚至還沒討論到服務業者可能拿您的資料來做些什麼。除非您仔細詳細閱讀過廠商的隱私權政策，否則您很可能並不清楚 IoE 裝置到底會蒐集哪些資料。但這些隱私權政策條文卻艱澀難懂，而且未來很可能隨時更改而不通知消費者。

隱私權政策雖然可以讓我們知道裝置將蒐集哪些資料，但卻不會完全揭露您的資料可能用於何種用途。例如，許多條款會說資料將用於提供其服務，但事實上，這一條廣泛的通則經常成了各種資料使用甚至濫用的法律基礎。

儲存在廠商伺服器上的個人資料，時間越久，對您的風險就越高

那麼使用者該怎麼辦？在購買任何連網裝置之前，您務必確實了解您所提供的任何資料很可能會存放在不安全的伺服器，並且位於其他國家的資料中心當中，而且一放就很久。您儲存在廠商伺服器上的個人資料，時間越久，對您的風險就越高。某些風險還包括資料外洩、資料遭到分享和販賣，以及因為企業出現安全漏洞、企業遭到併購等等事件的一般性資料遺失風險。 繼續閱讀

資料外洩與銷售櫃台系統 (PoS) 記憶體擷取程式爆炸性成長

趨勢科技 TrendMicro

在零售業一起可能是有史以來規模最大的資料外洩事件當中，導因於歹徒成功入侵了數十年如一日的老舊銷售櫃台 (POS) 系統網路。

2013 年將在資訊安全產業留下永遠的烙印，因為該年美國發生了有史以來最大的一宗資料外洩事件。美國大型連鎖超市Target 在耶誕購物季節遭到一項使用 BlackPOS 惡意程式 (一種銷售櫃台系統記憶體擷取程式) 的鎖定APT攻擊/目標攻擊，導致嚴重的資料外洩。據估計，網路犯罪集團偷走了大約 4000 萬筆信用卡與現金卡 (debit card) 卡號以及 7000 萬筆 Target 消費者的個人資料。請參考:關於美國零售業業者 Target 資料外洩常見問題集

自從 Target 資料外洩事件曝光以來，一連串的商家及零售商店便陸續跳出來承認自己發生資料外洩。在這些外洩事件當中，歹徒多使用銷售櫃台系統記憶體擷取程式 (PoS RAM scraper)。本月稍早，獨立記者 Brian Krebs 也揭露了另一家美國零售業龍頭 Home Depot 所發生的大型資料外洩事件，歹徒採用了 BlackPOS銷售櫃台系統記憶體擷取程式。幾乎美國境內所有 Home Depot 店面應該都受到影響，而且其失竊的資料量也應該超越了 Target 外洩事件的規模。

2014 年，除了資料外洩事件數量增加之外，銷售櫃台系統記憶體擷取程式家族的數量也有所成長。下圖顯示銷售櫃台系統記憶體擷取程式家族的發展與演進： 繼續閱讀