智能住宅存隐患：谁在偷窥你的生活?

提到联网住宅，人们会自然认为自己才是家里的主人。但不幸的是，黑客的攻击可能让你因为这种技术的发展而深受其害。

马克·吉尔伯特(Marc Gilbert)对此深有体会。为了照顾2岁的女儿，他在家里装了IP摄像头。但今年8月，摄像头被黑客入侵，导致熟睡中的女儿遭到黑客的“隔空辱骂”。

类似的事情其实并不少见，这也凸显出所谓的智能住宅技术普及过程中面临的一大障碍。

这样的黑客攻击绝非小事。如果说住宅是人们身份的延伸，那么恐怕没有什么地方能比那里更能给予我们庇护，让我们安心。也正因如此，对智能住宅技术的入侵，自然会让我们心生恐惧。

谁在盯着谁?

曾几何时，破解车库遥控器的无线电频率还是一种普通人难以接触到的高科技，但现在却几乎成了小儿科。

如今，陌生人已经可以掌控他人的家用摄像头，甚至入侵联网电视和恒温器。这显然令人毛骨悚然，甚至会带来切实的破坏。

摄像头可以用来窃取登录信息，而恒温器则可以透露主人是否在家。电视原本是帮助我们进入虚构世界的窗口，但现在却成了外人偷窥我们日常生活的隐秘渠道。

例如，智能电视上既有摄像头、麦克风，还能安装应用、上网冲浪，功能已经越来越接近电脑。不仅如此，它也跟电脑一样可以入侵。用户不仅可能被自己家的电视监控，甚至会被引诱到恶意网站，导致敏感信息被窃。

安全评估公司iSEC Partners首席安全工程师阿隆·格拉塔菲奥里(Aaron Grattafiori)是这方面的专家。他和他的同事约什·亚沃(Josh Yavor)在今年的拉斯维加斯黑帽安全大会上向观众演示了成功入侵三星智能电视的过程。

格拉塔菲奥里通过邮件解释称，他使用那款电视的网络浏览器攻破了它的前置摄像头，控制了DNS设置，并向其他应用植入了类似于病毒的代码。他表示，之所以能完成这种攻击，是因为三星智能电视的很多应用(包括Skype和Twitter)都是用Javascript和HTML5编写的，而且使用了Binary API(应用编程接口)，使之极易受到攻击。

最终，格拉塔菲奥里和亚沃轻松将他们的恶意代码植入到电视里，不过三星后来修补了这一漏洞。

宝宝摄像头失控

为了照看宝宝，吉尔伯特购买了Foscam的IP摄像头，但那款产品的软件却存在重大安全问题。在安装过程中，Foscam使用了默认的用户登录名，也就是最经典的admin用户名，但并没有提醒用户自行更改。

更改初始登录信息是所有安全专家的首要建议，大概是因为很多用户都疏忽了这一点。事实上，任何联网设备都会有一套默认的身份验证程序，可以被黑客轻而易举地攻破。而由于Shodan专用搜索引擎可以方便用户寻找各种上网家电，所以要找到家用路由器和IP摄像头便更加容易。

对Foscam来说，黑客还可以直接解析*.myfoscam.org名空间，因为多数联网的Foscame摄像头都会列出主机名称。这些方式都可以帮助黑客找到巨大的宝藏。

当然，安全问题并非Foscam摄像头独有。通过苹果旗舰店和百思买销售的IZON监控摄像头最近也被曝存在与默认登录名有关的安全问题。

Foscam已经发布了软件补丁，催促用户更改用户名和密码。然而，这或许仍然不能彻底解决这类问题。因为无论技术水平高低，科技用户通常都无法及时更新软件。

选择一个独特而难以猜测的用户名是十分重要的，而且非常必要，但仍然不能保证100%的安全。家住休斯顿的吉尔伯特表示，他家里的路由器有密码保护，而且启用了防火墙。IP摄像头同样设置了密码。

然而，入侵者还是拿到了这款摄像头的控制权，具体方法有可能是通过暴力破解实现的，也有可能是更加复杂的黑客技术。已有信息显示，这名黑客来自欧洲。

家门大开

联网家用产品可以通过多种方式接入网络，有的用蓝牙，因此号称可以使用设备配对协议来预防未经授权的访问行为。还有的直接接入WiFi网络。飞利浦Hue灯泡、Dropcam摄像头、Nest恒温器和火警报警器、贝尔金WeMo设备等产品都可以直接接入路由器，从而通过互联网访问，所以可以直接通过网站或移动应用实现远程监控。

另有一些产品使用了别的方法，例如家住俄勒冈的托马斯·哈特利(Thomas Hatley)家里就使用了这样一套系统。他家安装了Insteon住宅自动化系统，可以利用无线电信号和已有的线路通讯。但仍然需要通过互联网与外界相连，所以仍然无法避免攻击事件的发生。

当《福布斯》编辑喀什米尔•希尔(Kashmir Hill)远程攻入他的住宅，并获得了住宅自动化系统的控制权后，他感到颇为震惊。通过这种方式，希尔虽然身在纽约，但却可以轻易掌控哈特利家的各种设备，从电扇到灯泡，再到车库门，无所不包。她发现，希尔家的这套系统甚至在默认状态下不需要密码保护，而这却是最基本的安全要求。

Insteon只是联网住宅中使用的多种通讯系统之一，其他较热门的网络还使用了Zigbee和Z-ware无线协议，从而方便设备彼此“沟通”，并实现远程操控。

“由于Zigbee是一套开放系统，所以已经有很多相关的安全研究。但Z-ware却是一套封闭系统，相关研究并不多。”格拉塔菲奥里说。不过，由于这类协议较为模糊，或者比较专业，所以不会构成太大的担忧。

然而，随着住宅自动化系统以及家庭安保和控制系统的进步和流行，这种情况可能发生变化。虽然住宅自动化系统在美国的普及率大约只有3%，但却已经孕育出了一个价值15亿美元的行业。据路透社报道，分析师预计“智能住宅”产品要不了多久就将实现两位数的增长。

这也难怪Zigbee和Z-ware这样的协议会成为黑客大会和安全研究人员的关注重点。他们发现，贝尔金的WeMo或许是最容易攻克的系统，因为这类设备缺乏安全协议和认证手段。安全公司SensePost的安全研究人员贝赫朗•弗拉迪(Behrang Fouladi)通过WeMo的操作系统成功控制了这款设备，并且监控了它与开关和iPhone之间的通讯信息。

“我不担心是否有人会远程开关我家的灯，”弗拉迪说，“但门锁和动作传感器之类的东西一旦被入侵，就会产生严重的后果。在这方面做出妥协的代价会更高。”

企业加强评估

专门开发联网家庭系统的公司都很重视安全性。例如，SmartThings就会对所有合作伙伴的应用和设备进行一一测评，确保其符合他们的安全标准。该公司发言人说：“我们会进行安全测试，确保一切都符合标准。”

该公司的白皮书还列出了众多协议，从个人身份号码到两步验证措施，再到防火墙、数据加密和沙盒。他们甚至会将SmartThings的使用中心设置为特殊的模式后，再与Zigbee或Z-wave设备配对，以此将恶意设备拒之门外。

iControl公司为ADT Securities Services、Comcast、时代华纳有线、Cox和Rogers等公司的联网住宅服务提供技术，他们也通过与供应商和合作伙伴的配合来确保设备开发、软件开发和服务管理都符合相应的安全要求。

该公司还负责所有联网电子设备的软件管理。iControl执行副总裁吉姆•约翰逊(Jim Johnson)说：“我们通过中央服务器管理所有设备或平板电脑的软件。一旦我们需要升级软件，都会向订阅该服务的用户住宅自动推送更新。”

毫无疑问，安全漏洞对服务提供商来说将是一场噩梦。对消费者同样如此，如果没有了安全感，再大的便利也将变得毫无价值。