文/唐小引

世界頭號黑客凱文·米特尼克（Kevin Mitnick）曾在一次採訪中表示——世上從無可以將我們從黑客入侵中保護起來的完美的防禦方式，更沒有完全安全的系統，「你所能做的就是儘可能做好自己的防禦，儘量減少做自己可能受到威脅的操作」。而當全球互聯裝置迎來爆發式的增長，物聯網環境下所暴露出的安全問題也是層出不窮。在人工智慧等各項新興技術推動著物聯網發展的同時，我們可以如何去保障資料儲存裝置的安全性？作為開發者，我們又需要注意什麼？本期《近匠》，我們從 IoT 安全防護著手，特別專訪了啟明星辰安全研究中心副總監侯浩俊，請他為我們一解物聯網安全攻防之道。

安全研究之路

CSDN：首先，請您做個自我介紹，包括個人經歷及負責工作。

侯浩俊： CSDN 的讀者們大家好，我是侯浩俊，成都電子科技大學碩士，畢業之後進入啟明星辰 ADLab（積極防禦實驗室）工作至今，目前主要負責 ADLab 的漏洞研究團隊。

CSDN：您的團隊日常工作有哪些？有著怎樣的風格或共同特徵？

侯浩俊： 日常的工作基本都是圍繞著漏洞研究展開的，諸如漏洞挖掘、漏洞分析以及漏洞利用等，我們的研究領域覆蓋傳統桌面與伺服器作業系統及主流應用、移動平臺、車聯網和物聯網等。每個研究員都有自己確定的研究領域，長期對該領域相關軟體系統開展深度研究分析和漏洞挖掘工作，同時也會及時對熱點漏洞和安全事件進行分析；我們自主挖掘的漏洞會報送國際 CVE 或國家 CNVD 和 CNNVD 幫助廠商進行修復；有價值或有意思的技術研究也會以深度分析文章的方式分享給大家；高質量的研究成果會去安全峰會做議題演講；對外界公佈的一些危害較大的熱點漏洞，我們還會第一時間推出檢測工具以幫助大家能夠快速進行自查，及時止損。

區別於研發團隊，我們是個技術研究隊伍，大家是因為對安全研究的興趣走到了一起，大部分時間都是在自己感興趣的研究領域積累和發力。在興趣驅動的前提下，每個人對工作都表現出了專注、執著以及解決難題時不達目的不罷休的特質，有時為了分析某個漏洞或驗證某個想法，通宵達旦都是家常便飯。研究工作的特殊性需要不斷學習新技術以及研究新領域的安全問題，在這個過程中大家都秉持著開放和樂於分享的精神，互相從對方身上汲取養分促使整個團隊研究能力的提升。

CSDN：您的團隊在過去的一年裡是否遭遇過重大的安全事件或難題？最終是如何攻克的？

侯浩俊： 在過去的 2016 年和近期爆出了很多影響力頗大的漏洞和安全事件。漏洞方面例如 OpenSSL 若干嚴重漏洞、Windows 輔助登入服務的提權漏洞、通殺所有 Windows 系統的“BadTunnel”漏洞、存在於 iOS 的 ImageIO 框架中的遠端程式碼執行漏洞、跨協議攻擊的“DROWN”漏洞、核心級“Dirty Cow”漏洞、Struts2 的若干遠端程式碼執行漏洞以及被認為 2016 年最具影響力的“ImageTragick”漏洞等。

安全事件方面例如：烏克蘭的電力門、TeslaCrypt 勒索軟體、Maktub Locker 勒索軟體、Mirai 殭屍蠕蟲、“黑雀”攻擊（由 ADLab 首次發現並提出），以及近期的 CIA 洩露事件和 Shadow Brokers 洩露事件等。針對第一時間獲悉的嚴重漏洞和安全事件資訊，我們會啟動內部的應急響應機制，收集或編寫漏洞利用，收集目標樣本進行深度分析，及時對外發布安全預警公告和檢測工具，另外相關特徵也會提供給產品線提高公司產品防禦能力。

CSDN：作為一位專業的安全人員，您認為在安全方面有什麼不可逾越的紅線嗎？

侯浩俊： 作為普通公民遵紀守法是必須謹守的底線，而作為安全從業人員，這更是顯得尤為重要。我們要謹遵如《中華人民共和國網路安全法》等一系列國家相關法律法規的要求，對於專案涉密人員更要時刻繃緊防止涉密資訊洩露之弦、安全之弦，我們日常所有的安全研究或者相關業務的開展都要以此為基本前提。

CSDN：您認為一名優秀的安全從業人員需要具備哪些素質？或者說，您希望與什麼樣的人共事？

侯浩俊： 首先需要具備的素質就是知道什麼堅決不能碰、不能做，就是上面提到的不要違反職業操守，不要觸碰法律法規的紅線。安全的領域其實非常廣，任何一個細分領域需要具備專業的知識和技術儲備，因此專業能力必不可少。對比傳統行業，網際網路發展迅猛，相應的新領域新技術不斷湧現，勢必帶來的相關安全問題也是新穎多樣的，這就需要安全從業人員時刻保持一顆“海綿”心態，迅速學習吸收新知識以應對新挑戰。安全的很多細分方向（比如漏洞研究）的研究領域越往後走人數越少，相應的在一個團隊裡能交流的人也越少，所以大家要有抱持開放和分享的態度，多在內部和外部做交流，互相借鑑互相成就。

另外，對於做安全的人來講一定不能把安全做“窄”了，要有大局觀。安全一直以來都是作為產品或業務的“附屬品”，隨著他們的改變而變化，但是如果想把安全作為終身的事業去追求，可能需要跳出這口“井”，時刻保持對整個行業的生態和發展動向的關注，未雨綢繆地進行一些探索。總體來說在工作中，我們更傾向於跟那些有職業操守，時刻保持技術好奇心並樂於分享、有探索精神，將安全當成興趣樂在其中且執著既定目標的人共事。

CSDN：您的團隊最為關注物聯網安全的哪些方面，當前正在深度研究的是？

侯浩俊： 物聯網所涵蓋的範圍非常廣，應用領域也很多，我們通常側重跟使用者切身利益直接相關的安全問題，例如非授權訪問、資訊洩露、資金安全甚至人身安全等。

現階段的研究領域主要包括智慧家居、智慧機器人、共享單車（汽車）和車聯網等。所有在研究中發現的問題，我們都會及時通知權威機構告知廠商幫助他們儘快修復以使受影響使用者隱私及人身財產安全更有保障。

在物聯網安全方面，我們所面臨的問題及有效對策

CSDN：在物聯網安全的體系結構中，從感知層到應用層您認為哪方面的安全問題最為嚴重？

侯浩俊： 在物聯網的體系構架中從感知層、傳輸層到應用層各層扮演的角色不同（其構架如下）所面臨安全問題也截然不同。

1. 感知層負責通過 RFID、各類感測器、GPS、鐳射掃描器、二維碼等採集原始資訊，並且感知節點之間要協同工作，通過感測器網路等實現資料的匯聚和傳輸，感知節點受限於自身計算資源所限，抗攻擊能力很弱；大多節點長期處於無人值守狀態，易受侵；節點與節點或節點與匯聚點之間存在著若干情況下的身份認證脆弱問題。

2. 傳輸層負責把感知層收集的資訊傳輸到應用層進行處理，由於物聯網是構建在網際網路基礎之上，故在傳輸的過程中所有目前存在在網際網路中的威脅同樣也對物聯網構成危害（DoS 攻擊、中間人攻擊等），而且在物聯網環境中跨異構網路的攻擊更為突出。

3. 應用層根據自身的業務需求，通過應用支撐子層對資訊進行處理以滿足使用者需求，應用於諸如智慧家居、智慧交通、智慧電力、智慧物流、智慧醫療等領域，該層主要因應用需求的多樣性以及其支撐子層所採用的如分散式、雲端計算、大資料等不同的安全策略所面臨著整體的安全構架問題，另外在各個領域的應用中最嚴重的安全威脅來自使用者隱私資料的洩露，以及由此導致的支付風險甚至人身安全風險。

對於感知層、傳輸層和應用層任何一層遭到攻擊，都會影響到整個系統和最終的端使用者，但從當前情況看，應用層的安全問題尤為突出。

CSDN：對於當前物聯網安全的需求，有哪些有效的對策？如攻擊檢測、防禦、通訊保護等方面。

侯浩俊： 從技術的角度，物聯網安全需求源自所面臨的安全問題。感知層應對策略：

1. 提高節點與節點之間以及節點與匯聚點之間的身份認證複雜度；
2. 限制節點的惡意發包行為，防禦 DoS 攻擊；
3. 備份關鍵節點，提高容侵和恢復能力。

傳輸層應對策略：

1. 通過金鑰管理機制保證內部通訊安全；
2. 利用網際網路僵木蠕特徵庫資源進行入侵檢測和病毒檢測；
3. 端到端的認證和金鑰管理協商機制，選擇較強的加密演算法。

應用層應對策略：

1. 開發過程中注重安全編碼；
2. 加強使用者身份認證；
3. 通過加密儲存日誌和資訊洩露溯源技術提高事後追責的不可抵賴性；
4. 重要資料必要時的自毀技術等。

從管理的角度，物聯網的安全需要以政府和行業主管為主體，加上權威的第三方機構參與來共同進行規劃管理。除了技術和管理等手段，還需要出臺相應的法律法規進行約束。

CSDN：從軟體開發層面來講，作為開發者需要注意什麼？可否分享一下您的經驗總結及建議？

侯浩俊： 對於物聯網，我們一般的研究方法都必然包含使用逆向工程分析定位相關軟體或庫的脆弱點，這些問題反映出正向開發中存在的一些不好的程式設計習慣以及在安全設計之初欠缺考慮的地方（當然不止包涵這些）。例如：

1. 使用風險函式；
2. 閉門造車實現一些功能，而這些功能更安全的實現在 SDK 裡早已存在；
3. 明文儲存使用者敏感資訊；
4. 硬編碼金鑰；
5. 未使用加密協議傳輸重要資料；
6. 產品釋出時未刪除除錯資訊；
7. 過分依賴框架，導致框架產生的安全問題波及到開發目標；
8. 程式設計工具的汙染影響到通過其開發的目標上；
9. 私有協議設計實現過於脆弱；
10. 沒有采取必要的混淆加固措施；
11. 對安全漏洞響應不及時，更新不及時，修補不徹底。

CSDN：當物聯網迎來人工智慧、混合現實等諸多新興技術時，關於物聯網裝置、平臺以及系統的安全問題又該如何與之結合呢？

侯浩俊： 人工智慧與物聯網是天生一對，據思科的預測，2020 年全球線上的物聯網裝置數量會達到 500 億，這些裝置每時每刻都會產生大量資料，而這海量的資料資訊需要一種方式來進行分析，應用於不同的領域區別出“有用”和“冗餘”內容，進而幫助人類智慧做出決策，這種方式非人工智慧莫屬。對於通過二者的結合來滿足安全需求，目前已經有公司在做類似的事情，例如利用人工智慧透過物聯網提供的預測模型檢測並阻止可疑行為，利用人工智慧分析內外部極大數量的元資料相互的關聯性來檢測企業異常流量，利用人工智慧對移動應用進行精確有效分類，初步鑑定應用是否攜帶惡意內容等。

物聯網改變著人們的生活方式，VR（虛擬現實）/AR（增強現實）/MR（混合現實）技術的發展改變著虛擬世界和物理世界的表現形式以及逐步縮小著二者的邊界，這其中 MR 便是 AR/VR 和物聯網的結合，它無縫地結合現實和虛擬世界，使使用者體驗更沉浸、互動更直接自然。但由此也會帶來一些安全挑戰，比如模擬出來的虛擬資訊的完整性、保密性和可用性問題，我們是否應該相信眼前所見並且不被誤導？我們如何確保在增強使用者體驗的同時保護自己的隱私等？目前，由此產生的安全問題尚未顯現，但是歷史經驗告訴我們提前一步思考安全問題總是沒錯的。

CSDN：最後，對於企業和個人來講如何保護自己免遭黑客攻擊？可否分享一些有效的安全防禦手段？

侯浩俊： 首先，現實一再證明並不存在絕對安全的系統，也就說沒有萬全之法能使得企業和個人免受攻擊。在這個萬物互聯時代裡，我們能做的就是接受自己隨時可能遭受網路攻擊的前提假設，多為安全做些考量。

針對企業，部署縱深的防禦體系以及嚴格遵守日常安全管理規範，儘量將潛在的攻擊抵禦在門外。構建完善的事中預警機制和事後應急處理機制，以應對一旦攻擊無法避免，也能將危害降到最低的情形，也就是威脅可控。

針對個人而言，無論是處於主機互聯還是移動互聯時代，遭受攻擊最嚴重危害還是個人隱私資料（檔案、照片、支付資訊等）洩露。而到了物聯網時代，除了個人隱私資料洩露的形式更加多樣化（比如攝像頭被攻擊）外，攻擊還可能帶來人身安全的威脅（車互聯被攻擊、心臟起搏器被攻擊等）。

因此除了我們之前一直建議的個人使用者要不斷加強安全意識重視安全，養成良好的安全習慣（避免弱密碼的陋習、各種賬號儘量一號一密定期更新、不要輕易點選一些來歷不明的連結或者照片、謹慎連線公共 Wi-Fi、慎重上傳隱私或者敏感內容等）外，建議大家在選購物聯網相關裝置方便自己日常生活的同時一定要把產品的安全性作為和產品功能性同等重要的因素考量。做到這些，基本就能抵禦很多安全隱患了，但如果還是懷疑或發現被攻擊了，及時諮詢專業人士，必要的時候拿起法律武器保護自己。

匠人·匠物·匠心 —— 《近匠》語錄推薦

《近匠》是 CSDN 於 2013 年 12 月正式推出的訪談欄目，其意思即為「走近工匠」，走近深耕於移動應用、物聯網領域的工具及服務開發商們，聽他們怎麼看待現在的開發工作，自己精雕細琢出來的工具有何特點。也希望能夠對工具的實際能力進行一番羅列與剖析，幫助開發者找尋到趁手的「兵器」。詳情可以從【1】【2】瞭解。

在今年萬物智慧互聯的背景下，我們特別推出《近匠》物聯網 TOP 100 系列訪談專題，走訪來自物聯網領域（感知層、網路層、平臺層、應用層及安全）卓越的軟硬體工具及服務提供商，既以此窺探整個行業的趨勢走向、前沿技術及業務實踐情況，向開發者傳播更好的產品開發、設計互動等經驗，也幫助來自物聯網領域的企業團隊及其產品在開發者圈中擴大知名度及更深層次的瞭解。如果您及團隊有報道需求，歡迎通過郵件（jiawd#csdn.net，請將#改成@）進行聯絡，我們將在24小時內進行回覆。

• 初級的智慧化是依靠晶片，而真正把物聯網智慧化領上一個新臺階的，卻是由晶片所產生的資料。物聯網的智慧化程度取決於其對資料整合的能力與高度，對複雜資料的整合能力越高，服務就越“智慧”。 —— Sudha Sundaresan，Ayla Networks 雲平臺工程部主管

• 目前物聯網行業產業鏈條長，導致分工協作的複雜性加大，產業有待進一步的標準化。其次，物聯網產品經理角色缺失，如何把消費者的訴求和廠商的訴求結合到一起，既要做到洞悉使用者需求，又要藉助物聯網探索企業新的商業模式，也是一個需要不斷去探索的過程。 —— 孫志東，AbleCloud CTO

• 任何一個 IoT 的解決方案，都會有兩個端，終端裝置和雲端應用。在這兩個地方緊緊契合使用者的需求，花時間做到最好。從技術人員的個人角度來說，中間的這個部分，很有難度，天然地會很吸引人花時間去深挖，但是，請不要把寶貴的時間用來重新發明輪子，因為你是做車的，並不是做輪子的。 —— 趙東煒，SENSORO CTO