San Bruno 是一个古雅的中产阶级住宅郊区，距离旧金山国际机场不远。而在 San Bruno 的 地下，是使用互联网作为其通信主干，由 SCADA 软件控制的天然气管道。 2010 年 9 月 9 日，因短路导致操作室误认为实际关闭的阀门是开启的状态，使得系统不同部位的管道压力传感器读数快速上升。那些刚从芭蕾舞和足球训练场上回家的人们不知道的是，技术人员在那时正疯狂地试图分离和解决问题。下午六时十一分，一个被腐蚀的管道破裂，形成了一个燃烧的火球。爆炸撕裂了附近所有街区：八人死亡，十七个房屋被烧毁。PG＆E 公司因此受到 16 亿美元的罚款。
事故调查报告将本次的灾难归咎于不合标准的管道以及技术层面上的错误。没有任何迹象表明软件出错是人为的，也没有恶意软件侵入的踪迹。乔·韦斯（Joe Weiss）认为：“这就是关键所在，即使没有恶意病毒，物联网也会发生新的漏洞和安全隐患。”
Joe Weiss 是一位六十多岁、矮小并戴着眼镜的工程师。他四十年来一直从事工程和自动化工作，其中在久负盛名的 Electric Power Research Institute（EPRI，电力研究所）工作了 15 年。他的称号多得都足以让他成为一位国会议员：CISM、CRISC、IEEE 高级研究员、ISA 研究员等等；所有职称都证明了他作为工程师的专业知识和资质。他的经验也很丰富——例如，他为核电站自动化系统制定了安全标准。
对于以上的事件，Joe Weiss 表示，整个问题关键在于，人们尝试使用互联网控制那些过去从未打算用互联网来控制的设备。其中包括发电厂或工厂的工业系统、能源网络的管理电力设备、医院的医疗设备、智能家居系统等等。
物联网（IoT）的典型成功案例是一个名为 Nest 的圆形壁挂式设备。由两位前苹果公司工程师发明的 Nest，现以 32 亿美元现金被谷歌（Google）收购了。Nest 本质上是个与互联网连接的仪器（自动温度调节器，或恒温仪），但它还拥有学习用户的行为并自行调整房屋温度的功能。它会从互联网中检测用户的邮政编码所代表的地区，从而勘测天气情况，并相应调整。最新型号的Nest与门锁、灯光、窗帘和相机相连。与大多数藏匿在工厂和办公大楼内物联网设备不同，Nest 会呈现在家中一个突出的位置上——事实上，它控制了整个房子，并且在近年来的消费电子行业中变得相当受欢迎。
但是，在 2016 年 1 月中旬， 一个月前的软件更新导致 Nest 出现了问题。纽约时报记者 Nick Bilton 是这样描述他的个人经历，“我认为 Nest 温控器已经彻底坏了。上个星期，我曾心爱的“智能”恒温器碰到了一个奇怪的软件错误，从而使电池电力耗尽，让我们家在半夜冻的半死。”
“虽然我已经将恒温器设置在 70 度，但是我的妻子和我在凌晨 4 点被我们正在大哭的宝宝吵醒。”Nest 已经彻底坏去，软件故障导致电池耗尽。成千上万的 Nest 用户也因坏掉的 Nest 而醒来，因为随着它的损坏，暖气也彻底关闭了。其他用户抱怨说，他们的家庭报警系统在无明显原因的情况下在半夜被触发，将他们从深度睡眠中吵醒，使他们十分恐慌。 Nest 表示道歉，并建议用户执行复杂的九个步骤来恢复家庭控制系统。
该漏洞利用了现有的计算机网络，而这个计算机网络对于我们大多数人来说是透明的，并已成文全球基础设施的关键部分，它被称之为物联网（IoT）。 “现在的物联网只是一个营销术语，因为曾经已经有人在数百万台机器联网之后就考虑过了，”Weiss 向我们解释道，“可怕的是，大部分物联网产品可以通过公共互联网被连接、访问。” “ 一切都是相互连接的”这个概念让 Joe Weiss 彻夜难眠。
Joe Weiss 所担忧害怕的事还是在 2016 年 10 月发生了。当时连接到互联网有超过100,000 台的视频监控摄像机被一个黑客组织破坏，变成僵尸网络，从而使用其大量的流量进行分布式拒绝服务攻击（DDoS），导致最大的互联网地址查找站点之一的 Domain Name System（域名系统）服务器受到攻击。最终结果是，直到攻击者决定结束攻击前，数百个大型网站不可用。而这些摄像头缺少阻止恶意软件的防火墙。通常，与摄像头类似的设备需要密码才能访问，但生产厂商会在源代码中加入他们专门的密码，这样生产厂商就可以保证他们的访问权限。一旦这种所谓的硬编码密码出现在互联网黑市，这些物联网产品就很容易被恶意使用。在 2015-2020 年间将会有数十亿种像摄像头这样的设备上线，这种数量级的机器（被恶意使用）足以破坏互联网本身，以及任何网站或网络。
医疗保健是物联网供应商迫切广泛推广的一个市场 。据估计，到 2020 年，物联网在医疗领域的市场可能达到 1170 亿美元。正在或即将被纳入物联网的设备类型包括起搏器、可植入心脏除颤器、胰岛素泵、IV 泵（包括处方止痛药）和心肺机。这么做的优势似乎很明显——这些设备可以检测身体情况，甚至可能在没有医生帮助的情况下管理治疗。
但问题在于，正在急速进入物联网的医疗行业在网络安全方面没有很好的记录。BitSight 是一家位于波士顿以网络安全为标准的公司。它对比了医疗保健、金融、零售、公用事业和联邦机构这五个行业，并挑选了医疗保健行业中的2500家公司作为代表，来与其他行业的公司进行比较，结果显示医疗保健行业的网络安全等级是这五个行业中最差的。另一家位于波士顿的网络公司 Veracode 也研究了五个行业，但使用了不同的指标——它调查了软件中已知的漏洞被解决百分比。据调查，在制造业中，有80％以上的问题得到了解决；而医疗保健行业的解决率是制造业的一半，只有40%。更可怕的是，目前使用的所有医疗软件应用，有四分之三具有已知的漏洞。
当英国国民健康服务局（NHS）在2017年5月被“WannaCry”勒索软件袭击时，医疗保健行业的这些漏洞才有了很大的曝光度。数以万计的计算机的内容被加密，操作员只能向恶意软件的制作者支付数百美元以重新获得访问权限。在恶意软件扩散之后，NHS必须取消成千上万已预约的手术和会诊，将无数生命置于危险之中，这次事件对英国医疗服务造成了巨大破坏。这个问题在很大程度上是由于医疗保健技术本身的性质，往往不鼓励系统管理员升级他们的系统。因为医疗设备长期的运行的性质，它们往往使用着很老软件，以致制造商不再为他们发布新的“固件”升级，从而导致设备不知道该如何更新更安全的操作系统。因此，如果管理员要升级其计算机的操作系统，那么医疗设备将不再工作。
Weiss 表示，那些绑定到物联网中医疗设备和其他现有的机器，并没有足够快的处理器或足够大的内存来进行最简单的安全措施。“在较旧的控制系统处理器上，执行简单的病毒针对性更新可能会导致长达两到六分钟的停机时间。而这只是日常的病毒针对性更新！”因此，Weiss 认为，保护物联网的第一步是使用更快的处理器和更多的内存来构建全新的设备。换句话说，价值数十亿美元的机器需要大幅度的更换或升级。
发生这些大规模被黑的情况，除了技术原因之外，也有文化、意识层面的原因。即使软件公司创建修补程序来修复新发现的漏洞，但人们并不对于软件安全以及对安装更新补丁保持警惕。这就是为什么微软在采取了措施后，使用 Windows 10 操作系统的安全补丁和软件更新变得越来越困难的原因。最近 WannaCry 在 NHS 引起的混乱可能会在让医疗管理人员大幅重视升级系统的速度，但整个物联网行业还有很长的路要走。
直到网络安全被大量消费者和企业视为真实存在和直接关切的问题之前，我们仍然会看到多媒体领域的大规模服务中断现象。在此之前，互联网将继续成为网络犯罪分子可肆意驰骋的新狂野西部。而作为一名开发者，我们是否可以转守为攻，利用已有的技能有效猎杀黑客。7 月 1 日，由 CSDN 主办的「一天掌握物联网全栈开发之道」在线峰会，中国科学院微系统与信息技术研究所博士李知周将与 WRTnode 创始人罗未、Ruff CTO 郑晔、ThoughtWorks 软件开发工程师黄峰达、阿里 IoT 事业部蓝牙物联架构设计与研发技术专家刘彦玮、前飞利浦半导体资深工程师刘凯、叶帆科技创始人兼 CEO 刘洪峰共同从安全方案、整体架构、技术栈、应用开发平台到实战经验，希望通过一天的时间，帮助开发者快速掌握物联网全栈开发之道。目前峰会 7 折优惠倒计时 1 天，火热报名中，预购从速。报名通道：http://edu.csdn.net/huiyiCourse/series_detail/42。
原文：The “Internet of Things” is way more vulnerable than you think—and not just to hackers
作者：Richard Clarke & RP Eddy
翻译：汤益榕
责编：屠敏，技术之路，共同进步，欢迎技术投稿、给文章纠错，请发送邮件至tumin@csdn.net。
5211
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
