【51CTO.com快譯】

根據(jù)咨詢小組的意見，設(shè)備供應(yīng)商仍有大量改進(jìn)性工作要做。

[[177437]]

意大利物聯(lián)網(wǎng)初創(chuàng)企業(yè)MyClose公司正在檢測其產(chǎn)品能否正確在被觸及時向用戶手機(jī)發(fā)送警告。上圖為他們在2016年5月11日于加利福尼亞州圣克拉拉召開的物聯(lián)網(wǎng)世界大會上的展臺。

有時候真相更令人難以接受，但我們卻又無法置之不理。根據(jù)互聯(lián)網(wǎng)咨詢集團(tuán)BITAG上周公布的物聯(lián)網(wǎng)行業(yè)最新調(diào)查報告顯示，消費(fèi)者們顯然并不愿意對自己設(shè)備上的軟件進(jìn)行更新。

“基本上可以認(rèn)定，大多數(shù)最終用戶永遠(yuǎn)不會主動進(jìn)行軟件更新，”poadband互聯(lián)網(wǎng)技術(shù)咨詢集團(tuán)（簡稱BITAG）表示。其同時建議稱：應(yīng)當(dāng)建立起自動化安全更新機(jī)制。

而這樣的人性弱點(diǎn)已經(jīng)在BITAG發(fā)布的最新報告中得到全面體現(xiàn)。除了不愿主動更新外，其還指出相當(dāng)一部分消費(fèi)級物聯(lián)網(wǎng)設(shè)備仍在使用默認(rèn)的用戶名與密碼組合，無法實現(xiàn)身份驗證或者加密，或者很容易被惡意軟件轉(zhuǎn)化為網(wǎng)絡(luò)肉雞。

最后一點(diǎn)在此前已經(jīng)得到明確體現(xiàn)：一度令美國東海岸互聯(lián)網(wǎng)服務(wù)陷入癱瘓的Mirai僵尸網(wǎng)絡(luò)利用的正是大量安全攝像機(jī)及其它智能設(shè)備。

BITAG方面針對家居物聯(lián)網(wǎng)軟件與硬件供應(yīng)商提出了多項建議。包括思科、谷歌、AT&T以及Comcast在內(nèi)的各相關(guān)廠商應(yīng)當(dāng)在未來推出其它產(chǎn)品及服務(wù)之前，認(rèn)真立足這些建議考慮安全相關(guān)事宜。

要實現(xiàn)安全性提升，最基本的起點(diǎn)在于保證物聯(lián)網(wǎng)廠商作出正確的假定，即其產(chǎn)品當(dāng)中必然存在bug及安全漏洞。正因為如此，各廠商才有必要在不干擾用戶的情況下，提供可自動執(zhí)行的更新工具。

這從報告呼吁各設(shè)備制造商遵循一份安全最佳實踐清單，其中包括驗證全部通信、加密設(shè)備中的存儲數(shù)據(jù)并在設(shè)備遭到入侵時提供證書撤銷機(jī)制。

在默認(rèn)情況下，物聯(lián)網(wǎng)設(shè)備不應(yīng)被入站網(wǎng)絡(luò)連接所觸及，甚至包括同一家庭環(huán)境內(nèi)的其它設(shè)備，從而避免入侵活動引起的連帶反應(yīng)。單純依靠防火墻屏蔽非安全通信仍不足以徹底解決問題。

這份報告同時建議稱，物聯(lián)網(wǎng)設(shè)備應(yīng)當(dāng)使用IPv6，即互聯(lián)網(wǎng)協(xié)議的最新版本。其允許不同設(shè)備間通過互聯(lián)網(wǎng)實現(xiàn)端到端連接，且包含多種IPv4所不具備的安全功能。其他專家則提出，IPv6正是支撐數(shù)十億臺物聯(lián)網(wǎng)設(shè)備并為之提供惟一IP地址的必要前提。然而，在網(wǎng)絡(luò)中順暢切換至新型協(xié)議且不造成任何破壞性效果則難如登天。

BITAG還在報告中提到，除了安全性問題之外，目前的物聯(lián)網(wǎng)設(shè)備還存在其它一些癥結(jié)。部分制造商提供的設(shè)備能夠脫機(jī)工作，這是為了解決特定類型攻擊所造成的家庭互聯(lián)網(wǎng)中斷狀況。另外，如果與之配套的云服務(wù)發(fā)生故障，相關(guān)設(shè)備同樣應(yīng)該能夠正常運(yùn)行。

另外，BITAG還呼吁各廠商向消費(fèi)者明確提供產(chǎn)品出售后的服務(wù)保障周期，其中包括是否會在未來禁用其中的部分功能。Nest公司于2014年收購了Revolv的智能家庭中樞方案，然而在此之前以299美元高價購買相關(guān)產(chǎn)品的用戶今年早些時候曾發(fā)現(xiàn)其無法正常運(yùn)行。

那么是否存在一條推動家庭物聯(lián)網(wǎng)設(shè)備快速走向安全彼岸的捷徑？也許。BITAG建議建立起一種行業(yè)logo或者產(chǎn)品符號，證明其遵循當(dāng)前最佳實踐，從而幫助消費(fèi)者更有針對性地選擇設(shè)備。不過該集團(tuán)本身并不打算建立這樣一個龐大的項目。

原文標(biāo)題：How to make home IoT more secure: Assume the worst   原文作者：Stephen Lawson

【51CTO譯稿，合作站點(diǎn)轉(zhuǎn)載請注明原文譯者和出處為51CTO.com】