关于物联网安全,你自认为了解的一切都是错误的
听取有关保护物联网设备安全的建议,你可能会被告知,安全级别应该调整以应对可能的威胁。例如,联网家庭恒温器的设计应防止爱好者和严重黑客的妥协。但通常的建议是,没有理由担心某个民族国家会窥探你家里的恒温器。毕竟,难道朝鲜没有更好的事情去做,而不是在你的房子里乱动温度吗?
这种关于物联网安全的理念听起来完全合理。这是完全错误的。
原因来自普林斯顿大学的研究人员在去年的USENIX安全研讨会上的一份报告。他们发现,攻击者有可能抓住高功率消费设备(如空调和加热器)的控制权,对电网发动大规模协同攻击。其理念是渗入大量高瓦数物联网负载,以便同时开启或关闭所有负载。模拟结果显示,这些恶作剧可能会导致从局部断电到大规模停电的各种情况。
普林斯顿大学研究人员设想的攻击方式已有先例。2016年,Mirai僵尸网络病毒通过拒绝服务攻击使几家主要网站瘫痪。(僵尸网络这个名称源于Mirai通过一组中央服务器控制受感染的设备。)攻击是通过看似无害的物联网设备发生的,这些设备包括家庭路由器、空气质量监测器和个人监控摄像头。研究人员估计,在其鼎盛时期,Mirai感染了超过60万个易受攻击的物联网设备。
Mirai证明了破坏大量物联网设备是多么简单。最初的版本只是尝试了一套固定的64种常见的默认登录/密码组合。Mirai通过随机扫描互联网寻找目标并进行攻击,找到了易受攻击的设备。一旦它控制了一个物联网设备,Mirai软件就会向攻击服务器报告,然后感染该设备。
普林斯顿大学的研究人员发现,需求突然增长30%会导致电网发电机失灵。他们认为,敌人需要在目标地区使用约9万台空调或1.8万台热水器才能完成这一壮举。
在一个区域打开负载,而在另一个区域关闭负载也会造成进一步的破坏。根据基尔霍夫定律,电力在电网中流动,因此一旦发电机启动,电网运营商几乎无法控制电力的流动。一个地区不断增长的需求会造成线路超载和故障,而这又会导致进一步的连锁线路故障。研究人员说,尤其危险的是连接相邻电力系统的联络线。
即使黑客没有成功地关闭电网,他们也会极大地提高电网的运营成本。当需求超过计划容量时,电网运营商必须从备用发电机购买额外的电力。来自这些发电机的电力通常比来自普通来源的电力成本要高得多。研究人员进行的模拟显示,高峰时段电力需求增加5%,发电成本就会增加20%。
所有这些都应该会让你在下次听到安全专家沾沾自爱地声称消费者物联网设备不需要受到组织良好的网络战机构的保护时,三思。
Lee teschler |执行编辑