物联网采用停滞：为何炒作未能兑现承诺
如果Gartner炒作周期是准确的风向标，物联网（IoT）正进入“幻灭低谷期”。近期研究显示，约60%的试点部署未能兑现承诺。虽然孤立项目可能受挫，但更广阔的市场尚未因设备饱和而预示着顶峰到来；相反，新采用的步伐正在放缓。
阻碍物联网增长的几大因素
一个主要问题是给根本不需要联网的设备强行添加连接功能。以“物联网鱼缸”为例，它监控投喂、温度和水质。Pen Test Partners合伙人Ken Munro指出，一家安装该鱼缸的赌场因位于芬兰的该设备泄露了10GB数据。这说明保护不力的物联网终端如何成为企业网络的后门，导致凭证窃取和数据外泄。
设备寿命担忧
许多组织选择更换设备而非更新固件，这让长期投资回报率蒙上阴影。即使设备仍在服役，问题依然存在：制造商是否会提供持续的支持和安全补丁？随着时间推移出现的漏洞，若制造商缺乏资源或意愿发布更新，甚至彻底撤回支持，将使设备长期暴露在风险中。
暴露的漏洞
制造商难以保护现有的庞大安装基数。Shodan公开数据库列出了数千个已部署的物联网设备——包括工业控制系统——及其IP地址、操作系统和软件版本等详情。结合FCC发布的即将上市设备原理图，攻击者可识别易受攻击的型号并利用默认凭证。有事件显示，一名技术人员公开发布了全年每日登录凭证的“超级密码”列表，凸显供应链安全的松懈及机密数据泄露的容易程度。
面对这些风险，部分供应商转向数据变现。向第三方出售使用数据虽能创收，却进一步侵蚀用户隐私。例如，扫地机器人的户型数据可能在暗网出售，楼宇管理系统（BMS）数据可能助长针对智能恒温器的勒索软件攻击。
前行之路
有人主张终端用户应承担更多责任，但许多人安装后从未重新配置设备。即使做了更改，默认PIN码或密码往往依然脆弱——四到六位数字可在数小时内被破解。信心缺失的根源仅仅是糟糕的安全设计，制造商必须采取行动。
安全最佳实践包括：安全的移动应用开发、健壮的会话管理、Web服务的端到端加密、无线标准的严格实施、禁用未使用接口（串口/调试端口）、设备端的混淆与密钥安全存储、确保固件加密和数字签名。除非供应商优先落实这些措施，物联网采用将继续受阻。一起针对普遍接口（如80端口）的高调恶意软件事件，可能永久动摇市场信心。通过行业标准或监管监督建立信任，刻不容缓。
作者：Ken Munro，Pen Test Partners合伙人
物联网技术