了解智慧物联网之漏洞与攻击

随智慧物联网快速发展,当物联网设备暴露在网路环境中,相关的资安议题也须关注。当前物联网之资安问题可投射于传统资讯系统常见的资安漏洞及攻击模式,例如影响数据传递的机密性、完整性及真实性等。以下将依据资安漏洞对智慧物联网攻击分成四个面向做说明(图5)。

针对实体攻击

若攻击者在智慧物联网实体上很靠近系统的网路或设备,发起实体攻击便是最可预期的,常见的实体攻击如下:

‧篡改:指对设备或通讯连接进行实体上修改的行为。

‧注入恶意代码:向实体设备注入恶意代码以入侵装置,使攻击者能发动其他攻击。

‧假节点注入:将攻击节点插入既有网路节点中,用以控制数据流。

‧睡眠拒绝攻击(Sleep Denial Attack):攻击者向供电设备提供错误输入,使电池保持在供电状态,导致电池耗尽而关闭。

‧RF(Radio Frequency)干扰:攻击者发送噪音讯号给传感器节点,引发DoS攻击,从而阻碍通讯。

举例来说,包括针对智慧物联家居设备插入攻击性随身碟使家居功能失效,或是输入程式码让机器失去原有硬体功能,丧失实体效能。

针对网路攻击

透过操纵网路系统来发起智慧物联系统攻击并且造成损害,常见的网路攻击包括以下几种:

‧流量攻击:攻击者会尝试获取不管是传入设备或是从设备传出的机密讯息或其他数据。

‧选择性转发:恶意节点会更改、丢弃或选择性地将某些讯息转发到网路中的其他节点,使得到达目的地的讯息不完整。

‧中间人攻击:攻击者窃听或监视两个智慧物联设备之间的通讯,并存取其私人数据。

‧阻断服务攻击:受到入侵的节点因讯息的泛滥或连接请求导致速度降低,甚至破坏系统伺服器或网路资源来攻击特定目标。

2014年加密程式库OpenSSL安全漏洞的影响,若投射在智慧物联网上即是一绝佳案例,由于此程式库广泛使用在网路的安全协定,使得不管是伺服器端还是客户端,都有可能受到骇客攻击,导致伺服器私钥及客户对谈密码被窃,造成使用者资料被盗取,以及双方在通讯时的内容被拦截,例如可能造成车联网的轨迹误判或是医疗感测器的失效,因此网路通讯安全性对于智慧物联网相当重要。

针对软体攻击

透过使用恶意软体,像是木马程式、病毒或蠕虫等,攻击者可以入侵并感染系统以篡改数据或窃取讯息。若于智慧物联网系统当中攻击实现,可能会导致云端智慧物联网设备中数据受到恶意软体入侵,进而影响整个云端或数据中心。

举例来说,2016年曾发生「Mirai」僵尸网路病毒入侵网路监控摄影机,或是「Tinba」恶意软体感染美国银行系统,导致伺服器无法负荷或是资料被窃取,无法继续提供网路服务,迫使整个系统装置瘫痪;而若于智慧物联系统实现软体病毒攻击,所影响的层面将更是横向的系统延伸,而非单一的系统。

图5 物联网攻击分类。(资料来源:作者自制)
针对数据资料攻击

数据资料的重要性,随着智慧物联网系统的发展而提升,保持数据资料的正确性,才能维持智慧物联网设备间连接安全。因此,若数据保全上没有安全机制,便是一个关键破口。常见的数据安全议题如下:

‧数据不一致:针对数据完整性的攻击,会导致传输中的数据或储存中的数据前后不一致。

‧未经授权的存取:存取控制是系统授予用户访问权限,并拒绝未经授权的用户访问。透过未经授权的存取,恶意用户可以获得数据所有权或机密资料。

‧数据泄露:以未经授权的方式泄露个人、敏感或机密的数据。

举例来说,2016年英国商用软体Sage曾遭到受到内部人员未经授权的访问攻击,公司员工使用未经授权的访问权限来窃取私人客户讯息,使得约280间企业的员工个人资料被窃取,类似概念若套​​用于智慧物联网应用,将可能同时泄漏智慧物联网系统后台所保存智慧物联设备使用者个人资料,影响层面更广。

研拟资安防护对策建立健全认证机制

智慧物联网在运作时牵涉到许多系统的结合,因此由前述攻击分类可知,所有物联网系统中的元件都可能遭到入侵,这也导致物联网资安防护相对于传统电脑资安更为复杂,并更需要各种防护技术与软硬体上的合作。

因此,在建构及维护物联网系统时,资安议题必须融入系统的每个层面,尤其必须体认到整个网际网路上的节点,将不再只是单一系统的个人电脑或是伺服器,而是包含整体智慧物联网物件,才会使个别装置到整个物联网都能兼顾功能及安全。

除了既有的传统资安对策,在智慧物联网之间建立健全的认证机制,绝对是必须且首要工作,借此防止设备内之机密讯息遭到窜改或窃取,减少设备间资料交换的信任危机,保护物联网设备的安全。以下分为实体与虚拟两个面向加以探讨:

实体面向:采用不可复制功能

在实体防护方面,可以使用实体不可复制功能(Physically Unclonable Function,PUF)技术,这是一种类似电子指纹的功能,用于识别设备或硬体,使设备具有唯一性的实体金钥,并具有低成本及可扩充性的应对优势,防止设备讯息之篡改、窃取或是身分伪造。

Author: bwg