第3章　物联网安全问题初探

3.1　频发的物联网安全事件

3.1.1　典型物联网安全事件

随着信息通信技术的变革发展与创新突破，在大数据、人工智能等技术的推动下，NB-IoT、eMTC、LoRa等物联网技术不断创新突破，物联网产业发展迅猛，规模急速壮大，物联网应用层出不穷、百花齐放，渗入智能交通、智慧医疗、智慧电网、智慧农业等各行各业，走进了人们的生产生活。

任何新技术的诞生和发展在带来便利性的同时，其固有的安全问题都时刻威胁着产业方方面面的利益，物联网领域亦如此。伴随着产业的高速发展，物联网在驱动各个行业数字化的同时，其面临的安全问题越来越凸显，物联网安全问题已引起人们的高度重视。近年来，在全球范围内，物联网安全事件频繁发生，安全形势严峻。通过对这些物联网安全事件进行梳理，可以将其归纳为四大类典型的安全事件：物理攻击类、漏洞攻击类、拒绝服务攻击类和隐私数据泄露类。

3.1.1.1　物理攻击类安全事件

很多物联网终端长期无人值守且所处环境恶劣，攻击者能够轻而易举地通过暴力方式对终端设备进行偷盗、非法移动位置等物理破坏，造成感知终端或节点的丢失、位置移动或无法工作，最终导致服务失效。

典型案例一：随着社会的不断发展，科技水平不断提高，人们的出行方式不断更新换代，共享单车的出现解决了人们出行“最后一公里”的难题，然而由于共享单车数量多、分布位置广，较难进行实时的统一管理，破坏、偷盗共享单车的行为屡屡发生。据美团旗下摩拜单车发布的数据，截至2019年年底，共有近18.92万名用户通过App等渠道举报私占、破坏共享单车超过27.89万次，涉及车辆超过20.56万辆。

典型案例二：海口港西区某住户反映，该小区近段时间以来，安装在户外的40多个智能水表接连被盗，令用户苦不堪言，无法正常用水，严重影响了居民的日常生活。

3.1.1.2　漏洞攻击类安全事件

漏洞攻击类安全事件是指攻击者利用设备配置缺陷、协议缺陷、程序缺陷等漏洞，对设备实施攻击的安全事件。攻击者可利用终端的软件漏洞，或者通过植入木马、病毒、恶意代码等方式入侵或控制物联网设备，并最终导致服务失效。

典型案例一：从2019年3月7日傍晚开始，包括首都加拉加斯在内的委内瑞拉国内大部分地区持续停电超过24小时。停电导致加拉加斯地铁无法运行，并造成大规模交通拥堵，学校、医院、工厂、机场等都受到严重影响，手机和网络也无法正常使用。据国内外媒体报道，委内瑞拉电网陆续遭受了五轮攻击，攻击者利用位于玻利瓦尔州（南部）古里水电站的计算机系统漏洞发起攻击，最终给整个国家带来了不可估量的损失。

典型案例二：2019 年3 月，武汉光谷微锋科技公司（化名）的多台物联网终端设备出现故障，自助洗衣机、自助充电桩、自助吹风机、按摩椅、摇摇车、抓娃娃机等均脱网无法正常运行。经查，此系竞争对手利用漏洞将终端设备恶意升级，同时模拟终端设备，以每秒3 000～4 000条的速度给服务器发送伪造的离线报文，导致100余台设备系统损坏、10万台设备离线。

典型案例三：2019年，研究人员在智能门锁Smart Deadbolts中发现了一种流行的智能锁漏洞，攻击者可以利用这些漏洞远程打开房门并闯入房屋［1］。

3.1.1.3　拒绝服务攻击类安全事件

拒绝服务攻击类安全事件是指利用设备、平台缺陷，或者通过暴力攻击的手段，以大量消耗网络带宽等资源，从而影响服务正常运行为目的的安全事件。物联网终端数量庞大且自身安全能力不足，攻击者可以将物联网终端俘获为傀儡机，向网络发起拒绝服务攻击。

典型案例一：2016年10月，攻击者利用摄像头安全漏洞，通过恶意软件对美国西海岸大批量摄像头进行控制，进而对DNS服务器发起分布式拒绝服务（Distributed Denial of Service，DDoS）攻击，导致大面积通信服务处于瘫痪状态，包括通信网络、公共服务、社交平台等。在此次攻击事件中，黑客充分利用了DNS服务公开性、DNS访问匿名性、DNS查询复杂性的特点发起攻击，更重要的原因是物联网设备安全机制的缺失。

典型案例二：2016年6月，美国一家普通的珠宝在线销售网站遭到了黑客的攻击，美国安全公司Sucuri在对这一事件进行调查时发现，该珠宝店的销售网站当时遭到了泛洪攻击，在每秒35 000次的HTTP请求（垃圾请求）下，该网站无法提供正常的服务。安全研究人员对此次攻击中的数据包来源进行分析后发现，这些垃圾请求全部来源于联网的监控摄像头，攻击者将25 000个摄像头组成“僵尸网络”发起了DDoS攻击。

典型案例三：2017年2月，美国某大学5 000多台物联网终端遭到恶意软件感染，并被远程操控形成“僵尸网络”，导致校园网络服务出现异常。其中，绝大多数物联网终端为校园自动售货机。

3.1.1.4　隐私数据泄露类安全事件

随着物联网应用的高速发展，涉及用户隐私的海量数据被各类物联网设备采集、记录，数据的安全隐患越发严重，攻击者在攻破物联网终端、网络、平台之后，能够窃取用户的隐私数据。

典型案例一：2015年11月，香港玩具制造商VTech遭遇网络入侵，近500万名成年用户的姓名、电子邮箱地址、密码、住址及超过20万名儿童的姓名、性别和出生日期外泄［2］。一个月后，一位研究人员又发现美泰公司生产的联网型芭比娃娃中存在漏洞，该漏洞允许黑客拦截用户的实时对话。

典型案例二：2017年3月，Spiral Toys旗下的CloudPets系列动物填充玩具遭遇数据泄露，敏感客户数据库受到恶意入侵。此次事故泄露的信息包括玩具录音、MongoDB（一种基于分布式文件存储的数据库）中的数据、220万个账户的语音信息等。这些数据被保存在一套未经密码保护的公开数据库中。

典型案例三：2017 年8 月，深圳某公司制造的17.5 万个物联网安防摄像头被发现存在遭受黑客攻击的隐患。这些安防摄像头提供监控和多项安全服务，产品包括网络摄像头、传感器和警报器等。然而，这些安防摄像头被曝存在漏洞，攻击者只要使用默认凭证即可访问摄像头的实时画面。

3.1.2　未来物联网安全威胁的发展趋势

相比于互联网和蜂窝移动通信网络，物联网覆盖范围更广，接入设备更加海量，应用和设备制造商更加分散，其安全风险和复杂性也呈正比增长。笔者认为，未来物联网安全威胁的发展趋势主要如下。

1.物联网终端的被攻击威胁呈显著上升趋势

物联网终端数量巨大，据全球移动通信系统协会（Group Special Mobile Association，GSMA）预测，2025年全球物联网终端连接数量将达到250亿个。物联网终端的种类众多，各个厂商的设备具有不同的功能，实现方式和安全水平不一，而且相对来说终端的安全性一般会弱于网络和平台。因此，巨量的物联网终端已成为物联网整体安全的薄弱环节，容易成为攻击者首选的入侵入口。而且物联网终端一旦被控制，并被利用向网络和平台发起攻击，将可能影响医疗、交通、电力、农业等重要行业，攻击影响极大。所以可以预见，未来对物联网终端的攻击会更加常见、范围更广且破坏力更强。

2.消费型物联网终端成为隐私泄露的重要渠道

由于大多数物联网设备7×24小时实时不断地采集、获取数据，在物联网架构中，设备之间的通信可以不需要人的参与，一些带有用户隐私信息的数据很容易被攻击者非法获取。攻击者可以通过入侵联网摄像头等消费型终端，获取用户是否在家或生活规律等敏感信息，严重情况下可能给用户带来财产和人身安全威胁［3］。

3.物联网DDoS攻击将较为常见

当下物联网威胁最主要的呈现形式仍然是通过“僵尸网络”发动大规模的流量攻击，这种威胁之所以在互联网中长期存在，有其背后的逻辑：从实施的难度、运营的成本、风险与收益来看，这是一种有效的攻击形式，其直接目标是使目标站点无法提供正常的服务，而背后的动机可能来自恶性竞争、勒索、政治等多种诉求。基于物联网设备发动的DDoS攻击，受利于网络带宽成本的降低，一台简单的设备就可以进行相当大的流量吞吐，加上其海量终端规模的优势，整个“僵尸网络”可以输出非常稳定的攻击流量，所以今后如Mirai这样的基于物联网设备的大流量拒绝服务攻击将可能成为常态。

4.基于物联网的新型基础设施成为国家安全的新战场

物联网应用渗透各垂直行业，智慧城市、智慧安防、智慧环保、智慧政务、智慧医疗、智能建筑等均是物联网应用的重要方面，快速的发展意味着更多的利益，安全风险也会如影随形。由物联网、工业互联网等支撑的关键基础设施已成为国家之间对抗的重要战场，未来，关系国计民生的水、电、交通、能源等均会因为经济或政治原因成为攻击者的重要目标，未来的攻击方式将更加复杂，威胁将扩展到多类型的大量设备。VPNFilter对乌克兰氯蒸馏厂的攻击就是一个很好的例子，该恶意软件针对大量路由器机型发动攻击，基于适用于不同架构的模块化机制，在设备重启之后仍能继续生存，并具备监控和拦截通过设备的流量的能力。

伴随着新基建的加快实施，万物互联时代正加速到来。与此同时，物联网安全隐患日益凸显。一方面，物联网终端和平台中存储了大量重要行业数据及用户隐私数据，这些数据存在被披露、泄露或不正当使用的风险，成为一些个人或组织非法牟利的手段，这些风险可能给个人带来严重的经济损失或人身伤害；另一方面，物联网网络是开放的，不法分子利用设备漏洞控制物联网设备发起流量攻击，不仅会造成网络瘫痪、应用和服务中断，还会威胁工业、能源、电力、交通等关键基础设施的安全，甚至会危害社会稳定和国家安全。