分析物聯(lián)網(wǎng)設(shè)備七大攻擊面及其應(yīng)對方案-全文預(yù)覽
【正文】 默認(rèn)用戶憑證（比如說常用的用戶名 admin）是物聯(lián)網(wǎng)安全設(shè)置問題上的一個巨大威脅信號，但這并不是唯一重要的設(shè)置，包括使用的端口、設(shè)置具有管理員權(quán)限的用戶、記錄（或不記錄）日志和事件通知，這些網(wǎng)絡(luò)參數(shù)都是應(yīng)該關(guān)注的以安全為中心的設(shè)置，應(yīng)該通過這些 安全設(shè)置來滿足各種部署需求。 2024 年 5 月，英國 pentestpartners 的安全研究人員發(fā)現(xiàn)，由于 zwave 協(xié)議安全類的 nodeinfo 命令完全未加密且未經(jīng)過身份驗(yàn)證，最終導(dǎo)致超過 1 億個物聯(lián)網(wǎng)設(shè)備容易受到黑客降級攻擊，允 許攻擊者在未設(shè)置安全性的情況下截獲或廣播欺騙節(jié)點(diǎn)命令類。由于用戶沒有在每個設(shè)備接口上進(jìn)行身份驗(yàn)證，因此物聯(lián)網(wǎng)網(wǎng)絡(luò)中的設(shè)備應(yīng)該要求它們之間進(jìn)行身份驗(yàn)證，以便攻擊者無 法使用隱含的信任作為進(jìn)入系統(tǒng)的憑證。首先是用戶身份驗(yàn)證。在 2024年的 44con 大會上，研究人員 mikejordan就演示了如何利用佳能的 pixma打印機(jī)的 web界面修改打印機(jī)的固件從而運(yùn)行 doom 游戲。正如 sam 在《卡薩布蘭卡（ casablanca）》中所吟唱的那般， hellip。但是麻煩的是，這些 web 用戶界面經(jīng)常也會為網(wǎng)絡(luò)犯罪分子提供同樣的易用性。 第 1 頁 共 8 頁 分析物聯(lián)網(wǎng)設(shè)備七大攻擊面及其應(yīng)對方案 針對物聯(lián)網(wǎng)設(shè)備的安全問題，需要提高黑客攻擊物聯(lián)網(wǎng)設(shè)備的成本，降低物聯(lián)網(wǎng)設(shè)備的安全風(fēng)險。對于物聯(lián)網(wǎng)應(yīng)用程序而言，良好的 web 用戶界面可以幫助用戶實(shí)現(xiàn)各項(xiàng)控制功能，設(shè)置設(shè)備，以及更快、更輕松地將設(shè)備集成到系統(tǒng)中。 幸運(yùn)的是，大多數(shù) web 用戶界面安全問題的補(bǔ)救措施與多年來向 web 開發(fā)人員反復(fù)灌輸?shù)膬?nèi)容相同，包括：驗(yàn)證輸入、要求強(qiáng)密碼（并且不允許在第一階段的初始設(shè)置后使用默認(rèn)密碼）、不公開憑據(jù)、限制密碼重試嘗試，以及確保密碼和用戶名恢復(fù)程序 的可靠性等。 第 2 頁 共 8 頁 威脅案
電大資料相關(guān)推薦
鄂ICP備17016276號-1