物联网(IoT)=互联网威胁(Internet of Threats)？

[[424329]]

物联网预示着连接对象的新时代。随着工业 4.0 继续向智能家居和智慧城市发展，物联网创建的生态系统与制造业有着深远的影响，这些智能家居和智慧城市依赖于创建沉浸式生态系统的数字设备集成系统。

然而，物联网安全吗?企业和个人应注意哪些潜在风险?

如今，有超过86亿个物联网连接。根据ABI Research的市场数据，到2026年，这一数字将增长近三倍，达到236亿。随着这种扩展水平，确保安全性是物联网的基础至关重要，但行业在创建新设备时是否对此给予足够重视?

《2021年SonicWall网络威胁年度报告》对网络安全进行了广泛的研究。今年的报告将大流行病暴露和加剧的安全问题考虑在内。

报告指出：“2020 年 3 月，大量员工连续数月收拾个人办公室物品和设备在家工作，同时创造了大量新的攻击媒介。”

“在 2020 年，SonicWall Capture Labs 威胁研究人员记录了 5690 万次物联网恶意软件尝试，增长了 66%，表明潜伏的网络犯罪分子的策略正在发生变化。”

此外，英国是受勒索软件影响第四大的国家，攻击次数为 850 万次，占全球所有攻击的 4.2%。随着大流行病蔓延，劳动力迁移，物联网设备成为黑客的后门，整个欧洲的攻击率上升了 48%。

Palo Alto网络公司对14个国家的企业进行了调查，得出的结论是57%的物联网设备容易受到攻击。该报告进一步揭示，许多公司在尝试应用强大的物联网安全实践时正陷入困境。只有五分之一(21%)的受访IT决策者报告已经实施了使用微细分将物联网设备包含在自己严格控制的安全区域的最佳程序。

现如今，部署的物联网设备范围非常广泛，涵盖从医疗保健到农业的各个行业和部门。在如此广泛的部署环境下，保护这些设备可能是一项挑战。

Acronis 网络保护研究副总裁 Candid Wüest 在与 Maddyness 交谈时解释了通常影响安全物联网处理方式的困境：“不幸的是，安全和隐私对于大多数物联网设备来说仍然不是最重要的。这对供应商和消费者都差不多，他们不要求安全或很少愿意为额外的安全功能支付更多费用。”

“对于大多数最终用户来说，无法从包装上判断产品的安全级别。这就是为什么各种用户协会要求对物联网产品进行认证和简单易懂的解释的原因之一。 5G 与物联网的广泛集成可能会增加可直接从互联网访问的设备数量，这可能导致更多受损的物联网设备被用作僵尸网络的一部分，例如进行 DDoS 攻击。”

数字生态系统

5G的推出加速了物联网设备的开发和部署。无论是支持制造业转型还是迎来智慧城市和智能家居时代，正在创建的数字环境往往没有密切关注这些网络和设备必须包含的安全性。

随着物联网生态系统的扩展，很少有消费者了解正在开发的攻击媒介。例如，配备物联网的烤面包机应该可以正常工作并包含集成的安全协议，但通常情况并非如此。

并非所有物联网设备都是一样的。这可能是某些 IoT 设备内置的安全级别的重要影响因素。GSMA 在他们的报告中明确指出：“许多物联网设备旨在实现低功耗、低复杂性和低成本、长寿命和户外运行。低成本的物联网设备可能具有有限的加密能力、小内存和受限的操作系统。”

“结果是该设备可能无法执行‘互联网级’加密或包含‘安全硬件’，并且它们可能会受到物理或局部攻击，从而危及存储在其中的数据的安全性和隐私性。”

让每台设备的安全协议保持最新并不是消费者所渴望的。更令人担忧的是，大量的物联网设备将是自主运行的。

M2M(机器对机器)通信对于创建每个人都可以使用的服务网络至关重要。

但是，如果没有全面而强大的安全更新，这些无人值守的网络很容易受到攻击。无缝连接到可用网络的需求提供了极大的便利，但也可能为恶意攻击打开大门。

ITRS 集团 IT 全球负责人 Reza Moqadasi 告诉 Maddyness 更好的安全性即将到来：“大多数努力都是在国家层面组织的。例如，在过去两年中，作为英国政府国家网络安全战略的一部分，对如何提高消费者物联网产品和相关服务的网络安全进行了审查。”

“该计划被称为‘设计安全’，为物联网制造商和开发商制定了行为准则。通过确保全球贸易伙伴遵守相同的最佳实践，有可能在减轻物联网消费者的隐私和安全风险方面取得先机。”

新安全

正在采取措施使物联网安全成为这些设备的集成和标准组件。FIDO(Fast IDentity Online)联盟最近宣布了他们的 FIDO Device Onboard 协议，旨在解决入职过程中的物联网安全问题——正如它通过其 FIDO 身份验证标准所做的那样，以帮助解决全球数据泄露问题。

FDO 规范已达到建议标准状态，并且是开放和免费实施的。最初，该规范针对工业和商业应用。

FIDO 联盟执行董事兼首席营销官 Andrew Shikiar 表示：“FIDO Device Onboard 标准建立在联盟不断努力的基础上，旨在通过将这项工作扩展到物联网应用来帮助弥合当前网络上存在的安全漏洞。”

“企业认识到物联网的巨大潜力及其可为制造、零售、医疗保健、运输、物流等带来的巨大好处。模式需要立即转变，以便我们能够以更安全、更强大和更安全的身份验证方式推动物联网技术在工业和商业环境中的这些重要用途。”

谷歌 Android 安全和隐私副总裁 Dave Kleidermacher 也评论说：“如果没有行业合作和标准化，FIDO 联盟正在通过缩小网络安全漏洞来解决网络钓鱼的工作是不可能的。 FIDO 联盟自然适合使用这些相同的工具来解决对物联网基础设施的威胁。作为 FIDO 联盟成立之初的董事会成员，谷歌很自豪能够为这项新的标准化工作做出贡献，以更好地保护物联网。”

据悉，英国政府最近宣布将主要旨在保护智能设备的新网络安全立法列为优先事项，也加入了这一举措。

Thycotic 首席安全科学家 Joseph Carson 在评论这一发展时说：“新的英国提高智能设备安全性的法律是朝着正确方向迈出的可喜的一步，但是，它必须更进一步以确保它包含安全最佳实践这是解决方案的一部分。”

“透明度至关重要，因此在购买新的智能设备时，必须清楚供应商继续提供安全更新的时间，就像制造商的保修期或到期日期一样。这种类型的方法将为消费者在选择智能设备时提供明确的选择，将仅提供两年安全更新的供应商与提供五年安全更新的供应商进行比较。”

ITRS 集团的 Reza Moqadasi 也支持正在进行的方法，他表示：“围绕 5G 等新技术或物联网等系统的演进和采用所面临的安全和隐私挑战，强调需要关注解决此类挑战的方法在社会技术领域。

“网络安全和隐私问题需要跨学科合作，其中创新者、技术专家、社会科学家和政策制定者可以联合起来，为采用新概念、技术和系统制定安全的前进道路。”

Sectigo的物联网和嵌入式解决方案副总裁Alan Grau总结道，随着物联网空间的迅速扩展，安全也将随之扩大：“随着攻击载体的不断发展，组织采用能够确保其物联网系统完整性和安全性的安全解决方案变得越来越重要。

物联网设备安全的最佳实践包括强身份验证和安全软件更新——确保只能在设备上安装真实代码。

“对于像 Alexa’s Skills 这样涉及 Alexa 平台、第三方应用程序和第三方云服务的复杂系统，确保生态系统安全的综合方法至关重要。”

必须取得平衡，以确保物联网设备在一个强大的安全环境中继续为企业和消费者提供优势。由于物联网会破坏易受影响的网络，因此需要采取零信任措施，迫使所有物联网制造商实现最低安全水平。在这里，在为每个新的物联网设备考虑安全性时，标准对于确保明确的指导至关重要。