资讯 政企安全
此为临时链接,仅用于文章预览,将在时失效

360谭晓生:智能硬件安全要从芯片设计抓起

作者:张丹
2016/07/25 12:31


360谭晓生:智能硬件安全要从芯片设计抓起

过去,IT与OT是两个世界。二者互不相通,搞信息技术的与搞工控的也互不了解,各网络中存在的安全问题状况也不尽相同。OT网络相对封闭,没有太多的攻击者,厂商考虑更多的是“物理安全”,即生产过程的安全性。

现在二者已融为一体。万物互联,从硬件生产厂商到用户个人,无处不存在智能化,安全威胁的攻击面也被扩大。攻击者可以从厂商生产到销售的任何一个环节中下手,对厂商的生产经营活动产生影响,在扰乱生产秩序的同时,还会增加厂商的生产成本。如:

一些流程工业的工厂,阀门都是电控阀门,旋转多少完全是通过网络控制,攻击者入侵后,很容易扰乱阀门的操作程序。而阀门的寿命通常很有限,来回折腾,阀门很快就会报废,更换成本则是上万美金。

可以说,IOT时代,安全变成了一种挑战。上周,雷锋网采访到了360首席安全官谭晓生,跟他聊了聊智能硬件厂商安全相关的问题,以下是采访问答整理。

360谭晓生:智能硬件安全要从芯片设计抓起

Q:360似乎在智能硬件方面有着自己的野心,并一直关注IOT安全问题,在您看来,IOT时代的安全问题发生了哪些新变化?

A:IOT时代的安全问题分个人与厂商两种情况。个人使用的家居用品、摄像头、空调、冰箱、洗衣机,包括门锁现在都智能化了。如果摄像头被入侵,就可能面临着“被”直播,如果门锁有漏洞,没有经过授权门就可以“被”打开。面对这些安全隐患,用户个人会将问题抛给厂商,他们会考虑自己买的智能硬件产品是否相对安全。智能硬件厂商会选择跟安全厂商合作,让安全厂商来进行产品安全评估,并提供解决方案。

但厂商不同。厂商的智能化,主要体现在生产机械方面。如果车床的螺丝钉需要更换,机械手可以自动化挨个进行更换。更换任务是通过生产管理系统下达的。生产管理系统就是IT网络,而IT网络的安全问题解决方案有很多。

Q:对于企业来说,IOT是个机遇。但对于攻击者,IOT其实提供了更多的攻击途径,现在常见的攻击方式有哪些,该如何避免?

A:智能硬件需要通过网络设备与其他设备产生通信,通信协议是第一类攻击点。智能硬件需要通过第三方设备或平台来进行管理,如手机、iPad等,这些平台或设备就是第二类攻击点。手机或iPad上可以控制正能硬件的App,或App与控制平台之间的协议,是第三类攻击点。

对于这些攻击并没有什么灵丹妙药,只能从产品安全做起。从产品设计阶段就要考虑到可预见的攻击类型,协议是否安全,固件更新机制是否有问题。保证产品生产出来就是相对安全的,并要在今后的运营生命周期里进行监测。

Q:目前安全厂商可以做的有哪些?

A:拿360来说,我们现在的主要策略是做安全研究,发现问题,根据需求提出改进建议,帮助用户建立一个安全运营体系。如,我们是国内最早搞摄像头安全研究的,会将研究结果提供给厂商,告诉他们摄像头有什么样的漏洞,该如何改进。其次,通过出安全研究报告的方式,会对行业起到一种警示作用,让厂商意识到安全威胁的严重性。每年ISC的HackPwn上大家会看到许多的智能硬件被破解,通过这种曝光会引起厂商们的注意,推动他们对安全问题进行改进。

Q:有没有可能知道智能硬件厂商存在一些共性的安全问题,在它生产之前就能够提供一套比较标准的解决方案,帮助它防范?

A:有可能。可以出一些安全参考设计,比如摄像头,厂商应该考虑哪些因素使你的摄像头相对安全,安全厂商可以给出一些参考方案或安全组件建议。但这会涉及到厂商商业利益的问题。智能硬件的制造,控制成本很重要。安全设计方案可能会提高制造成本。厂商是否从你提供的安全解决方案中获得利益,这种商业模式还没有被创造出来,所以目前这样做的还比较少。

Q:除了与安全厂商合作,智能硬件生产者还可以怎么做?

A:生产者应该重视IOT安全问题。还是拿360来说,我们从电路板的设计就开始考虑安全问题。比如我们的摄像头造出来,安全人员拆开看过后说不行,电路板的设计有安全问题,就重新再改。其次,我们会考虑部件如何能够做到安全的升级,如何防止在升级过程中不被篡改。再次,我们会考虑通信协议接口与后台管理平台的安全性。在产品最终发布之前,安全人员会不断进行漏洞测试,还会邀请白帽子来进行众测。

Q:智能硬件升级通常会带来一些新的问题,厂商对升级也有抵抗心理,该如何看待这种现状?

A:如果开始做设计时,把升级机制考虑好,升级带来的风险是可控的,还可以通过提前做实验等方式来避免。但一些IOT设备升级操作的门槛非常高,可保证性也比较低,比如厂商把手环卖给了上亿人,现在需要升级其中的固件,就有着一定的操作难度。一些升级可能还会带来额外成本。这是现实,没有什么特别好的解决方法。

Q:IOT安全在企业安全中占有怎样的角色?

A:IOT安全问题,目前对企业来说,并不是最主要的安全威胁。就像我们要把一个容器填满,会先扔石头,最后灌沙子。因为最占空间的是石头,企业安全问题也是一样,把一些最基础的活干好,就能解决大部分的问题。漏洞管理、用户身份管理、网段划分管理、数据备份这些都是构筑安全防线长城中最基础的事情,把这些做好,就会大大增加攻击者的攻击难度。

长按图片保存图片,分享给好友或朋友圈

360谭晓生:智能硬件安全要从芯片设计抓起

扫码查看文章

正在生成分享图...

取消
相关文章