安全性在傳統企業網路上就已經很難管理，現在又加上了各種大大(例如汽車)小小(例如網路攝影機、嬰兒監視器)的物聯網(IoT)裝置，而且打造這些裝置的廠商幾乎沒有網路安全意識。
連網裝置應用領域從中央監控系統(SCADA systems)到消費性電子產品，隨著研究人員陸續公開重大缺陷，這些裝置的安全漏洞也在過去一年成為聚光燈焦點。有些受影響的產業第一次是透過所謂的「白帽」駭客，發現在汽車、心律調整器、道路交通系統、家庭自動化系統以及飛機等產品的弱點；而一個重大的轉變是，現在公共安全有一部分等同於上述那些產品。
有一些因為特殊用途所配備的功能實際上成為安全漏洞，例如有目的的後門(intentional backdoors)、硬式編碼憑證(hardcoded credentials)、未加密的資料流量，以及與非關鍵系統位在同一個網路的關鍵系統。儘管在不久前於美國舉行的Black Hat USA以及DEF CON大會上，專家們已經大力宣傳這些弱點，很多安全漏洞都還未被修正且仍然脆弱。
為何不修補或是更新那些物連網裝置，或是把它們打造得更安全？要保護那些消費性電子產品以及其他嵌入式系統，還需要克服以下幾個大挑戰：
1. 通常沒有一致性或官方的軟體更新程序/機制
在Windows平台裝置上的惡意軟體最後都會被發現，但BeyondTrust技術長Marc Maiffret表示，物聯網裝置內部的「能見度」很低甚至是零：「誰都看不見那些裝置內有什麼，如果有更新、也看不見其韌體的可信賴度。」
因為那些裝置很多是採用Linux架構平台，Maiffret建議其軟體應該要由一個開放性社群來管理，以處理漏洞或是安全性更新；舉例來說，IP攝影機或是SAN儲存系統應該要具備定期的Linux更新機制：「它們應該要是開放性的，如此才能真正被視為Linux作業系統裝置，讓我們能建立安全機制並像其他Linux裝置一樣來管理。」
SolarWinds 產品管理副總裁Chris LaPoint表示，他自己擁有3支家用IP攝影機，都不是執行最新的韌體，也不清楚它們是否有漏洞：「甚至是大多數這類裝置的設定指令集、圍繞它們的安全控制配置以及修補程式…它們該如何被管理？」
2. 很多消費性產品以及其他非傳統性IT供應商，對嵌入他們系統中的網路威脅了解很少或根本不了解
多數嵌入式裝置製造商與安全性技術社群之間的隔閡甚深，衛星終端供應商就是一個例子；IOActive首席安全顧問Ruben Santamarta就發現，那些裝置內的硬式編碼密碼、後門以及不安全的通訊協議，可能會讓攻擊者入侵並中斷船舶、飛機與軍事設施的通訊連結。
Santamarta還發現，那些受影響的設備供應商根本沒有計畫來修補那些缺陷；有部分供應商還堅稱那些問題不是漏洞，只是他們的產品中非必要的功能。IOActive技術長Cesar Cerrudo也有類似的經驗，他所研究的智慧感測器製造商因為客戶要求而移除了裝置中的加密；因為少了加密機制，裝置韌體能被偽造、也能被植入惡意軟體。
安全產業發起了I Am the Cavalry、 BuildItSecure.ly 等計畫，期望能拉近與嵌入式裝置製造商之間的距離，那些「白帽駭客」們也能協助並研究如何更妥善的保障產品安全。
3. 裝置的安全性通常缺乏可負責者
SolarWinds的LaPoint表示，大多數消費性裝置的安全性該由誰來負責，往往沒有清楚的權限劃分：「你問裝置製造商，他們也會說不知道；他們幾乎不會想到這個問題。」
有些廠商只是透過官方網站發布韌體更新，而且端看消費者或使用者自己要不要下載安裝更新：「有的安裝更新只有簡單說明，例如只告訴你要用USB纜線連結；我不認為裝置製造商認為他們應該要負責維護裝置的安全性。」
4. 許多裝置所配置或因特殊用途而建立的功能實際等同於安全漏洞
許多物連網裝置與IT系統是在同一個網路上；「這些裝置是不是總有一天會成為把其他東西送進我的網路的橋樑？」LaPoint表示：「如果有人透過我的網路攝影機看見我在家裡穿著內褲跑來跑去，這很不妙；而如果他們收集我的個資或其他在相同網路上的設備資訊，那又該怎麼辦？」他說，關鍵在於將這些消費性連網裝置與同一網路上擁有敏感資料的系統分開。
物聯網對企業來說是一個新挑戰，至少有許多方法能在那些裝置一旦被定義時，為其添加安全措施；安全專家指出，物聯網裝置的數量將會是我們前所未見，評估並具備了解網路所傳遞的流量來自何處的能力，以及能追蹤它們並關閉的能力，是企業關鍵必備的。
編譯：Judith Cheng
(參考原文：4 Hurdles to Securing Internet of Things，by Kelly Jackson Higgins；本文作者為EETimes姊妹網站Dark Reading資深編輯)
資料來源:電子工程專輯
留言列表
生技醫療產業 (1)