Allion Labs /?Felix Kao
在物聯(lián)網的世界，不分產業(yè)、不分產品大小等級；只要有連網功能，就可能在網絡上遭受攻擊，進而造成您個人財產損失甚至人身損失；而企業(yè)也將面臨病毒蓄意攻擊，導致中控主機當機、產線中斷，蒙受金錢損失。因此，透過安全檢測找出潛在風險與其威脅強度是廠商的當務之急。在「物聯(lián)網中自由、便利與安全的恐怖三角關系，您選擇了誰？」-上篇，百佳泰特別針對廠商「輕忽安全嚴重性」或是「不知該怎么選擇方案」等種種的僥幸心態(tài)與不安，介紹了由百佳泰開發(fā)的一套快速有效、符合成本效益的「安全檢測方案」，將依照物聯(lián)網裝置特性、潛在安全風險以及應用情境，來驗證產品的風險等級，檢視產品的安全漏洞，并提供完整安全報告讓您有效加強安全弱點。
在了解我們的檢測方案之后，現(xiàn)在，就透過我們安全專家來分享物聯(lián)網裝置的實測案例，讓讀者更加貼近百佳泰安全檢測。
百佳泰安全實驗室 智能燈泡案例分享
就算只是一個藍牙燈泡，亦可能隨時成為殭尸網絡的一份子
本篇分享的測試案例待測物為支持藍牙低功耗網絡（Bluetooth Low Energy Mesh）燈泡，可透過手機安裝對應的App后由手機的控制接口操作燈泡，不僅僅控制開關，亦可與手機的鏡頭連動觸發(fā)仿色功能，手機播放音樂時亦可設定為隨著節(jié)奏隨機跳色；在多人用戶之間亦可指定權限或轉移主控制權，連上云端之后可以透過IFTTT channel與語音助理設置連動，功能堪稱相當完備。一個聯(lián)機單純且無直接上網的裝置貌似安全，但若從安全檢測角度仔細審視，潛在風險其實遠比想象中高出許多。
首先，我們將燈泡的聯(lián)機邏輯展開，從安全檢測的角度來檢視，實體裝置共有三個，分別為燈泡、App載體（手機）以及云端數據庫；而聯(lián)機則可拆分為近端聯(lián)機以及云端聯(lián)機如下圖示1：
圖示1：資安網絡聯(lián)機架構
百佳泰的安全驗證項目共有數十個項目，從測試結果得知，大部分的潛在風險竟來自于控制燈泡的APP（如下圖2），相信這結果令大家感到十分意外吧？！言下之意，黑客可偷取強度較弱的APP軟件密碼，便可遠程控制接口操作用戶的智能燈泡，恣意開關燈泡裝置，在不該開啟的時候刻意浪費消耗電力。讀者再想想，若是將燈泡換成監(jiān)視商場的IP攝影機，黑客便可輕易關閉攝影機，而讓盜竊者有機可趁。
圖示2：安全報告弱點分析比重
另外，根據國際級的漏洞評鑒系統(tǒng)（Common Vulnerability Scoring System，CVSS）的條件來推估報告中每項測試的風險等級，測試的藍牙燈泡裝置竟存在7個具有中高風險程度以上的漏洞，風險等級為4（風險程度從0到4，由低至高），有較高的可能被黑客利用并且攻擊，需要立即采取修正措施。
從報告結果我們可歸納出一個結論，并非只有物聯(lián)裝置才會有風險，在物聯(lián)網的世界，不論是實體裝置、APP軟件、云端數據庫或是傳輸聯(lián)機，只要有安全漏洞，就極可能遭受攻擊！然而，消費者在第一時間總是將責任歸咎于裝置品牌廠商，并不會抱怨后端配合的相關廠商。事實上，裝置品牌商配合的APP開發(fā)商、網絡營運商以及云端服務器廠商，都應該需要做好安全防護措施，甚至應該有稽核檢查表，挑選符合安全標準的廠商，并檢視其安全能力！
導入開發(fā)階段的 Software軟件驗證方案
如上一篇我們提及，「安全是一個風險控管的行為」，這如同人類每年需要定期做健康檢查來評估掌控自身狀況；而事實上，預防勝于治療，安全軟件開發(fā)周期始于產品設計，雖然產品設計時間導入安全會增加開發(fā)時間，但是事后修補所付出的成本反而越高且面臨的風險也越大，因此識別產品所面臨的威脅、評估風險、考慮安全需求及檢視安全設計是在設計時間皆需要思考的；廠商于開發(fā)階段時，透過白箱檢測方式的源碼靜態(tài)涵式庫分析，得以避免具安全風險的編程內容及避用不安全函式庫等，以確保程序的安全性，百佳泰專業(yè)軟件實驗室的開發(fā)團隊，具備各項程序語法能力，能夠站在“開發(fā)者”的角度設計測試案例，確保測試中的路徑都可以被分析、執(zhí)行，以提供開發(fā)人員程序代碼優(yōu)化的反饋。
圖示3：白箱測試，又稱透明盒測試，不同于黑箱測試驗證軟件的功能性，主要在測試應用程序的內部結構與運作
廠商除了在安全軟件功能開發(fā)上需要投入相當時間與心力，另在整個物聯(lián)網產品開發(fā)周期，包括在EVT、DVT階段是否落實安全相關開發(fā)準則、MP前是否通過一道重要關卡「安全檢測」等，實際測試產品是否存在安全漏洞，評估產品潛在風險，預先檢視產品上線后所可能面臨的資料安全攻擊。廠商唯有厘清每一個環(huán)節(jié)可達到的安全程度，方為確保產品安全信心的最佳判定依據。
百佳泰的安全檢測服務是物聯(lián)網裝置的神隊友
百佳泰能夠針對各產品特性及使用情境，提供快速有效、符合經濟效益的安全檢測方案，從物聯(lián)網產品得五大連網架構-裝置固件、裝置控制APP、云端服務器、近端聯(lián)機以及遠程聯(lián)機切入，提出適切的國際標準的安全風險檢測，像是目前較知名的OWASP Top 10系列、IEC 62443系列等，透過網絡安全測試項目，替您的產品做安全把關。百佳泰深知，若產品滿足國際安全標準要求，更可明確彰顯產品其安全保證等級。
對于大多數的制造商而言，信息安全必須防守的范圍太大，其中最直接且有效的方式，是透過安全檢測來宣告產品的隱私數據保護、完整性、以及可用性三大能力，此三大能力依據不同的應用情境會有不同的比重，例如：隱私數據在消費者市場相當重視，對于工業(yè)而言數據的完整性及可用性則需優(yōu)先考慮；無論在何種使用情境，透過百佳泰的客制化安全檢測服務，皆可忠實呈現(xiàn)產品在資料安全上的風險指標。