应用程序漏洞使物联网设备容易受到攻击

物联网设备再次成为这个假期的热门礼物。 IoT 是物联网的首字母缩写词，它不仅仅是一个流行词。这一趋势代表着产品的制造和使用方式发生了巨大转变，因为网络连接被添加到了以前不打算具有此功能的产品中。

因此，当您的牛奶用完时，您的冰箱会向您发送一条短信：IoT。在您的手机上提供使用图表的恒温器：是的，物联网。 Barracuda Networks 的 CTO Fleming Shi 表示，基本上，任何能够连接到除计算机、手机、平板电脑或路由器之外的网络的消费设备都被视为物联网设备。

不过，物联网设备的安全性一直是一个大问题。尽管进行了改进，但新类型的漏洞仍然存在。例如，梭子鱼实验室团队最近使用物联网安全摄像头来帮助说明一种新威胁：物联网凭证泄露，它利用网络和移动应用漏洞来破坏物联网设备。

攻击者可以利用某些物联网设备使用的 Web 应用程序和移动应用程序中的漏洞获取凭据，然后可以使用这些凭据查看视频源、设置/接收/删除警报、从云存储中删除保存的视频剪辑以及读取帐户信息.攻击者还可以使用凭据将自己的固件更新推送到设备，更改其功能并使用受感染的设备攻击同一网络上的其他设备。

为了说明这种威胁，梭子鱼 实验室团队最近对连接的安全摄像头进行了研究，并在摄像头的网络应用和移动应用生态系统中发现了多个漏洞：

利用这些漏洞，该团队能够执行以下攻击以获取凭据并破坏物联网设备，所有这些都无需与设备本身直接连接。

如果攻击者可以通过使用受损或恶意网络拦截移动应用程序的流量，他们就可以轻松获取用户密码。这是它的工作原理：

1. 受害者使用手机连接到受感染/恶意的网络。

2. 连接的相机应用程序将尝试通过 https 连接到供应商的服务器。

3. 恶意/受损网络将连接路由到攻击者的服务器，该服务器将使用自己的 SSL 证书并将通信代理到供应商的服务器。

4. 攻击者的服务器现在持有用户密码的未加盐的 MD5 哈希值。

5. 攻击者还可以篡改供应商的服务器和应用程序之间的通信。

这种类型的攻击依赖于允许用户与其他用户共享对所连接摄像头的设备访问权限的功能。要共享设备，接收方需要在物联网供应商处拥有有效帐户，发送方需要知道接收方的用户名，恰好是电子邮件地址。

1. 攻击者会在设备名称中嵌入 XSS 漏洞，然后与受害者共享该设备。

2. 一旦受害者使用 Web 应用程序登录他的帐户，XSS 漏洞就会执行并与攻击者共享访问令牌（作为变量存储在 Web 应用程序中）。

3. 使用该访问令牌，攻击者可以访问受害者的帐户及其所有注册设备。

通过这项研究，梭子鱼实验室团队设法在不直接连接到设备本身的情况下破坏了物联网设备（连接的相机）。这使攻击者的生活更轻松。不再扫描 Shodan 用于易受攻击的设备。

相反，攻击将针对供应商的基础设施执行。这种威胁也可能影响其他类型的物联网设备，无论它们的功能如何，因为它利用了设备与云通信的方式。

毕竟，错误不是产品固有的，而是开发人员的流程、技能和意识所固有的。随着物联网设备的访问和访问控制转移到云服务，漏洞也随之而来，使得梭子鱼实验室团队发现的攻击类型成为可能。

创建物联网解决方案的供应商需要保护用于运行这些设备的应用程序的所有方面。物联网设备是分布在家庭、学校和办公室的传感器，它们是攻击者的潜在切入点。每个客户的网络都是对服务器核心和其他客户的开放。

网络应用防火墙是物联网供应商需要采取的最关键的保护措施之一，旨在保护服务器免受第 7 层 HTTP 流量的影响。制造商还需要加强对网络层攻击和网络钓鱼的保护。

云安全也很重要，它为物联网应用程序及其运行的基础设施提供可见性、保护和修复。横向移动暴露的可能性很大且很复杂，因此采取适当的安全预防措施是关键。

在购买物联网设备时，除了便利性和价格之外，消费者还需要考虑安全性。以下是一些需要考虑的提示：

研究设备制造商 — 一些生产物联网设备的公司了解软件安全。大多数要么是现有公司，其专长在于制造正在连接的物理产品，要么是试图尽快将设备推向市场的初创公司。在这两种情况下，适当的软件和网络安全措施常常被忽视。
在供应商的其他设备中查找现有漏洞 — 如果一台设备存在漏洞，很可能来自同一家公司的其他具有类似功能的设备也存在漏洞。最终，拥有安全设备历史的供应商很可能会在未来制造安全设备。
评估对过去漏洞的响应 — 如果供应商对报告漏洞的人做出响应并通过固件更新快速解决该问题，则预示着他们对安全性和未来产品的展望是个好兆头。

不幸的是，关于物联网设备安全状况的可用信息量少得惊人。理想情况下，我们需要建立一个物联网产品都具有安全评级的世界，就像汽车一样。消费者在投资物联网设备之前应该被告知。

此博客的作者是 Barracuda Networks 的 CTO Fleming Shi

物联网技术