物联网消息协议具有重大安全隐患，你造吗？

原文：IoT messaging protocol is big security risk
作者： Tom Olzak,
译者：安翔
审校：苏宓

主流的 IoT 消息传递协议缺乏加密机制和足够的设备认证安全性。

许多 IoT 产品供应商采用的 MQTT（消息队列遥测传输）协议（用于 IoT 通信的 Oasis 标准）的实现是不安全的，其正在驱使企业和家庭网络上的 IoT 设备的高风险。尽管云安全联盟推荐使用 TLS 与 MQTT 进行安全通信，但大多数供应商依然会忽视传输安全性，所有通信都是开放和可用的。此外，认证通常也是被忽略的。

MQTT 定义

MQTT 是一种轻量级协议，在需要消息传递时将设备连接到服务器或者其他管理系统。这使得它非常适用于带宽使用受到严格限制的网络应用场景。但是，MQTT 标准不提供加密。供应商或企业必须自己为其解决方案添加加密功能。另外，虽然服务器可以验证设备，但 Oasis 标准中并没有机制使得设备可以验证服务器。

风险

如果认证系统存在问题，则无法实现任何可用的设备认证。Lucas Lundgren 去年报告了一个具有安全风险的例子。Lundgren 声称他发现了大约60,000个IoT 消息代理，它们允许访问却不进行身份验证（McAuley, 2017）。随着物联网的快速发展，我们可以认为这个数字已经显著增加了。Lundgren 表示，由于 MQTT 的不安全配置，它可以迅速攻破医院、监狱和卫星的控制系统。

一些供应商确实为其 MQTT 解决方案进行了加密。并且，第三方供应商提供了任何 IoT 设备可以安全附加的解决方案，使 IoT 的壮大过程更加安全。问题是大多数企业尤其是小企业和家族企业的高层管理人员，都不会提出正确的问题，也没有保障第三方安全性的预算。

面临的挑战

那么谁应该为物联网安全负责呢。最终，进行必要的风险评估并进行必要的控制调整的责任落在了我们安全专业人员手中。但是，鉴于物联网会在商业、家庭和各种规模的组织，包括没有安全团队的组织中使用，因此这并不是一个长期的解决方案。我同意国土安全部“保障物联网安全性的战略原则”（如下）一文，即人人都有责任应对物联网安全性挑战：

1. 物联网开发人员在设计和开发物联网设备、传感器、服务或任何组件时，都应当考虑到安全性。

2. 物联网制造商应当提高消费者设备和供应商管理设备的安全性。

3. 通过物联网设备提供服务的服务提供商应当考虑到这些物联网设备提供的功能的安全性，以及实现这些服务的基础设施的基础安全性。

4. 工业和商业层面的消费者（包括联邦政府和关键基础架构所有者和运营商）作为引导制造商和服务提供商关注物联网设备安全的主导者（ 换句话说，需求安全 ）。

结论

然而事实上除非消费者和企业的强制要求，这些原则并不是所有人都会自觉遵守。例如，微软和 Adobe 在很大程度上推动了消费者的安全性执行力，改善了违规相关的不良公共关系。我并不希望看到高度破坏性的事件发生时，才能让 IoT 开发人员、制造商、服务提供商和物联网用户具备安全意识并采取安全策略。也许这种破坏事件在不久的将来无法避免，安全专业人员也有责任在物联网项目中弥补教育和验定方面的缺失。