【 IoT 物聯網新趨勢】穿戴式裝置的潛在安全問題：上篇

趨勢科技 TrendMicro

由於萬物聯網 Internet of Everything (有時亦稱「物聯網」Internet of Things) 的風潮使然，每一家電子產品商店都開始出現全新類型的電子產品。智慧型穿戴式裝置正以您意想不到的速度蔓延開來。雖然不是每個人都會購買 Google Glass，但可以確定很多人都會購買健身記錄器，甚至是智慧型手錶。

所謂「穿戴式裝置」，就是人們日常生活上會穿戴在身上的一些設備。這些設備的作用通常是記錄身體的活動機能，或者顯示其他裝置輸出的內容，兩種用途還可以加乘，讓使用者的生活更多采多姿。

在接下來的一系列文章當中，我們將探討穿戴式裝置可能潛藏的攻擊和風險。但請記住，這只是理論上或概念上的推測，而非已經發生的事實，因此未來有可能發生、也可能不會發生，還得看未來電子產品市場將如何演變，以及歹徒是否有其他更有利可圖的目標。在這兒，我們的目的並非要嚇唬使用者，讓使用者避開這類新式產品，而是要鼓勵廠商從一開始就在產品當中融入安全性。

IOE 智慧型手錶 applewatch

三大裝置類型

穿戴式裝置基本上可分為三大類型：

1.「輸入型」裝置：這些是無時不刻都在記錄使用者資料的感應裝置，例如，幫使用者記錄步伐、距離、能量消耗、卡路里、心跳、GPS 定位等等的健身記錄器。這類裝置通常會先將資料儲存在裝置上，然後再上傳到手機或 PC，然後再同步到使用者的雲端帳號以保留歷史記錄與顯示統計圖表。未來還會出現一些可監控健康狀況 (如體溫、血氧濃度等等) 的醫療裝置。

2.「輸出型」裝置：這些是接收其他裝置 (如手機) 輸出資料的裝置，如智慧型手錶。這些裝置可顯示文字和其他應用程式資料來提升便利性，其顯示的資料通常來自網際網路，並且透過中介裝置傳遞。 繼續閱讀

想看 iCloud被駭明星影片,請先分享到fb?! 搜尋被駭明星關鍵字,當心病毒守株待兔

趨勢科技 TrendMicro

隨著整個網路因為 iCloud 被駭導致A 咖女星私密照外流事件 而鬧得沸沸揚揚 – 超過一百位明星的照片被放上網路 – 網路罪犯利用這事件來進行社交工程（social engineering ）誘餌只是遲早的事情。所以也真的發生了，趨勢科技 注意到一些針對尋找上述外流照片使用者的特製新騙局。

想看iCloud被駭明星影片,請先分享到fb?! 外流私密照騙局趁火打劫,搜尋被駭明星關鍵字,當心病毒守株待兔

趨勢科技發現的第一個威脅出現在Twitter上，有推文加上含有某一受害者名字的主題標籤 – 珍妮佛·勞倫斯（Jennifer Lawrence）。這推文帶有一個短網址，一旦點入，會將使用者帶到提供受害女明星影片的網站。

圖1、帶有惡意連結的推文

 

圖2、提供影片的網站 繼續閱讀

《CloudSec會後報導》趨勢科技獨創洋蔥式資安應變處理策略,有效降低APT入侵風險

趨勢科技 TrendMicro

台灣已經成為亞太區遭受APT攻擊次數前三名的國家，企業若能藉由趨勢科技APT攻擊研究中心、資安事件調查團隊的協助，強化資安壁壘，即可將APT攻擊帶來的傷害降到最低，讓企業得以保有長遠的競爭優勢。

趨勢科技獨創洋蔥式資安應變處理策略 有效降低 APT入侵風險

2013年初南韓政府、金融單位遭受北韓駭客以APT手法惡意入侵，導致上千台個人電腦被癱瘓、重要資料被竊；多數人對前述攻擊事件記憶依然深刻之際，全美第二大零售商Target又在2013年底被駭客以APT手法攻陷，成功竊取1億1000萬筆資料，不僅讓該公司營收大幅降低，事後更得面臨高達80件集體法律訴訟案。

從上述多項資安事件可以發現，駭客已經從過去漫無目標式的隨意攻擊，轉為有組織、計畫性的惡意入侵，成為企業揮之不去的夢魘。因此趨勢科技特別在2014年8月12日舉辦CLOUDSEC 2014 企業資安高峰論壇，會中除邀請多位資安專家與會，詳細剖析APT攻擊流程及企業面臨的資安困境，也更進一步介紹趨勢科技對抗APT攻擊的策略與相關解決方案。

趨勢科技台灣暨香港區總經理洪偉淦說，根據IANS Survey公司的研究報告顯示，現今有超過50％資安事件屬於精準式攻擊，證明駭客為讓攻擊更有效率，已揚棄過去亂槍打鳥的手法，改以事前詳細分析、找出網路漏洞，再進一步植入多種惡意程式，最終達成竊取重要機密資料的目的。

傳統防護工具落伍 無法阻擋APT手法

近年來APT攻擊事件暴增，除肇因於駭客行動模式，從過去單打獨鬥走向團體戰，使得攻擊手法愈來愈複雜之外，以專門販售惡意程式為主的地下經濟猖獗，也是造成資安事件頻傳的主要原因。統計資料顯示，有超過 75% APT攻擊事件源自於駭客組織販售的攻擊套件，使用者只需要具備基本程式基礎，即可針對尚未完成漏洞修補的網站或企業發動攻擊，成功入侵公司內部的重要主機。 繼續閱讀

《 IoT 物聯網安全趨勢》保障萬物聯網的安全，新舊網路安全威脅都需留意

趨勢科技 TrendMicro

物聯網（IoT ,Internet of Things） 是目前正逐漸興起的無線連網裝置生態體系的一個統稱，如恆溫系統、汽車、擴增實境眼鏡都涵蓋在內。對科技業者來說這是一個龐大的商機，對網路犯罪集團來說也是一大攻擊目標。在 2014 年美國消費電子展 (Consumer Electronic Show) 上，Cisco 執行長 John Chambers 大膽預估 IoT在未來五年之內將發展成一個 19 兆美元的市場，這樣的說法一點也不誇張。市場研究機構 McKinsey 預測，到了 2025 年，IoT 的應用將創造高達 33 兆美元的經濟活動，而 Gartner 也認為至 2020 年其預期效應將高達 2 兆美元左右。然而，隨著廠商和大眾對 IoT 逐漸熟悉，人們是否已準備面對這更智慧的連網基礎架構所帶來的風險？

正當 IoT科技攻城略地的同時，安全的考量已退居第二
物聯網（IoT）的時代已經來臨，只是消費者可能還無感覺，因為一些最典型應用目前仍訴求在特定的利基市場。例如，今年 CES 的攤位上四處可見各種內建感應器的健康/健身手環與記錄器，仿佛就是 Nike+ Fuelband 與 Jawbone Up 的翻版。這些裝置獲得了大量的媒體關注，但卻未能像智慧型手機和平板一樣引起大眾普遍認同。根據 ABC News 的報導，市場研究網站 NerdWallet 估計健身記錄器的市場大約在 8,500萬美元 (2013 年) 之譜，僅占今日數十億美元手機市場的微小部分。

然而，科技大廠卻認為物聯網（IoT）裝置很快就會引起消費者的興趣並投下大筆賭注，Google 就是一例。該公司最近併購了 Nest 這家專門生產連網恆溫系統的公司，進一步鞏固自己在物聯網（IoT） 硬體的地位。此外，雖然 Google Glass 抬頭顯示器目前不論在商業上或文化上都還是個不成氣候的產品，但其無所不在的媒體與連網體驗很可能刺激 Facebook 併購專門開發遊戲虛擬實境頭盔的 Oculus 公司。正當廠商忙著爭奪 IoE 版圖並尋找下一個主要運算平台的同時，安全的考量卻因商業利益而退居第二。

趨勢科技研究人員 Robert McArdle 指出，擴增實境 (AR) 很可能在 2014 年開始邁入主流市場，部分原因是其適用的情境不適合使用手機，其次就是 Oculus Rift 虛擬實境頭窺的創新技術，以及網路犯罪者過去一向喜歡鎖定遊戲玩家的趨勢。最近，針對《英雄聯盟》遊戲伺服器的分散式阻斷服務攻擊以及 2011 年發生的 Sony PlayStation Network 資料外洩事件，都證明了這類風險的存在，而 AR 和 IoE 的時代來臨將開啟全新的漏洞。

McArdle 表示：「擴增實境最適用的領域就是身歷其境式體驗，而這正是 Google Glass 和 SpaceGlasses 這類穿戴式科技派上用場的地方。這類裝置在技術上或心理上都可能遭到一些獨特的攻擊。舉例來說，這些裝置的使用者基本上就像是頭上戴了一台相機四處走動一般。專門開發網路銀行惡意程式的歹徒不難發現這是一個偷取銀行帳號密碼的絕佳工具。」

這類將桌上型電腦與行動裝置惡意程式技術移植到 IoT 裝置的威脅，已經迫在眼前。若消費者對物聯網（IoT）裝置興趣缺缺，將使得惡意程式的攻擊目標有限，因而不值得網路犯罪集團投入太多資源來破解 AR 頭窺或智慧型手錶。不過，物聯網（IoT） 還有一些較不鮮光亮麗的領域已經開始遭到攻擊，並且出現一些未來可能招致更多問題的漏洞。

VoIP 網路電話與路由器漏洞
網路基礎架構是 IoT 的骨幹，隨著越來越多裝置開始連上 IP 網路，除了端點裝置本身之外，路由器和交換器的安全性將變得更加重要。

儘管 Cisco 大力股吹 IoT 的未來潛力，但這家網路大廠也不得不針對其多款熱門無線區域網路控制器釋出安全性更新。在更新之前，這些裝置很可能遭歹徒入侵，進而利用其網路發動 DDoS 攻擊或取得管理權限。另外，最近出現的 Moon Worm 威脅，上個月也讓許多舊款 Linksys 路由器使用者頭痛不已。這項威脅利用了一個可略過認證機制的漏洞來取得路由器控制權，並且會自我複製。 繼續閱讀