蘋(píng)果的架構(gòu)也不能完全避免攻擊
發(fā)布時(shí)間:2015-05-13隨著可穿戴設(shè)備市場(chǎng)走熱,,可穿戴設(shè)備追求市場(chǎng)定位分層的同時(shí),針對(duì)不同消費(fèi)者,,將開(kāi)發(fā)越來(lái)越豐富的功能性產(chǎn)品,。
但因?yàn)榭纱┐髟O(shè)備產(chǎn)生的數(shù)據(jù)涉及諸多個(gè)人隱私,廠商應(yīng)如何突破新興領(lǐng)域的安全問(wèn)題成為關(guān)注焦點(diǎn),。
國(guó)內(nèi)互聯(lián)網(wǎng)安全漏洞平臺(tái)烏云網(wǎng)一位網(wǎng)絡(luò)工程師告訴21世紀(jì)經(jīng)濟(jì)報(bào)道記者,,可穿戴領(lǐng)域目前還沒(méi)有相關(guān)網(wǎng)絡(luò)安全的技術(shù)標(biāo)準(zhǔn)。作為新興產(chǎn)物,,可穿戴設(shè)備產(chǎn)生的數(shù)據(jù),,介于個(gè)人網(wǎng)絡(luò)數(shù)據(jù)與醫(yī)療數(shù)據(jù)之間。但它模糊了兩者的邊界,,醫(yī)療數(shù)據(jù)屬于強(qiáng)監(jiān)管行業(yè),,有許多規(guī)范限制著;網(wǎng)絡(luò)數(shù)據(jù)則是弱監(jiān)管領(lǐng)域,,不同廠商保障數(shù)據(jù)的能力良莠不齊,,即使以最低要求,對(duì)數(shù)據(jù)進(jìn)行加密,,可能有些廠商也做得不好,。
而從可穿戴設(shè)備的數(shù)據(jù)流來(lái)看,從設(shè)備到傳輸網(wǎng)絡(luò),、控制端以及云端,,整個(gè)過(guò)程較以往更為復(fù)雜。所以,,端到端的保護(hù)也必不可少,,比如整個(gè)傳輸過(guò)程的加密、用戶端的增強(qiáng)型認(rèn)證(生物特征識(shí)別,、多因子認(rèn)證等),、云端更強(qiáng)的權(quán)限控制和隔離等等。
就可穿戴設(shè)備的信息安全問(wèn)題,,21世紀(jì)經(jīng)濟(jì)報(bào)道記者專訪了國(guó)內(nèi)頂級(jí)安全團(tuán)隊(duì)――世界頂級(jí)黑客大賽Pwn2Own上連獲三屆冠軍的keen team成員,,高級(jí)安全員何淇丹。
《21世紀(jì)》:有廠商反映,,自己掌握的一些數(shù)據(jù)被相關(guān)公司,,如保險(xiǎn)、醫(yī)療單位等盯上,,如今可穿戴設(shè)備產(chǎn)生的數(shù)據(jù)是否已經(jīng)進(jìn)入黑產(chǎn)的關(guān)注領(lǐng)域,?此類數(shù)據(jù)如果發(fā)生泄露會(huì)出現(xiàn)怎樣的影響?
何淇丹:是的,。至少?gòu)囊酝鶃?lái)看,,黑客受利益或競(jìng)爭(zhēng)對(duì)手驅(qū)動(dòng)入侵醫(yī)院,、藥物機(jī)構(gòu)竊取數(shù)據(jù)的案例并不罕見(jiàn),可穿戴設(shè)備作為新出現(xiàn)的熱門領(lǐng)域自然也早已受到黑產(chǎn)關(guān)注,。由于可穿戴設(shè)備的天然屬性,,其與用戶個(gè)人信息具有更強(qiáng)的綁定程度,一旦泄露對(duì)用戶隱私會(huì)造成毀滅性打擊,,甚至威脅到用戶的人身健康和安全,。
《21世紀(jì)》:是否發(fā)生過(guò)可穿戴設(shè)備廠商或相關(guān)生產(chǎn)企業(yè)信息泄露的案例?該泄露是由什么原因造成,?該事件是如何解決的,?
何淇丹:發(fā)生過(guò)。國(guó)內(nèi)有可穿戴設(shè)備廠商在去年被報(bào)告存在越權(quán)漏洞,,導(dǎo)致攻擊者可以通過(guò)接口枚舉其他手環(huán)持有者的云端信息。后經(jīng)過(guò)與報(bào)告者溝通,,修復(fù)了該云端接口的鑒權(quán)問(wèn)題,。
此外,2014年國(guó)外研究者曾攜帶藍(lán)牙嗅探設(shè)備前往某馬拉松比賽現(xiàn)場(chǎng),,在起跑線和終點(diǎn)線共記錄到了563個(gè)不同設(shè)備的信息,,其中,大部分都沒(méi)有對(duì)信息做加密,,導(dǎo)致研究人員可以輕易獲取設(shè)備對(duì)外傳輸?shù)慕】敌畔?,并通過(guò)MAC地址和廣播的設(shè)備名定位到具體的設(shè)備和佩戴者。該攻擊演示了可穿戴數(shù)據(jù)未加密所帶來(lái)的隱私風(fēng)險(xiǎn),。
《21世紀(jì)》:可穿戴設(shè)備的平臺(tái)中,,如Apple Watch中含有大量第三方應(yīng)用,這些應(yīng)用是否會(huì)同樣獲得用戶在手表應(yīng)用時(shí)產(chǎn)生的隱私數(shù)據(jù),?這些應(yīng)用是否增加Apple Watch等設(shè)備被攻破的可能性,?為什么?
何淇丹:Apple對(duì)Apple watch的設(shè)計(jì)在架構(gòu)上力圖避免這個(gè)問(wèn)題,,第三方應(yīng)用在watch上并不以獨(dú)立的形式存在,,而是以iPhone應(yīng)用的附屬形式存在。Watchkit App在訪問(wèn)數(shù)據(jù)時(shí)需要獲得用戶權(quán)限許可,,包括健康,、位置請(qǐng)求在內(nèi)。但是由于Apple watch提供了單獨(dú)聯(lián)網(wǎng)和藍(lán)牙通訊的功能,,這些是自然的攻擊面,。雖然蘋(píng)果在架構(gòu)上力圖避免,但并不能保證這種隔離是萬(wàn)無(wú)一失的,。所以這個(gè)答案是有可能的,。
《21世紀(jì)》:一般可穿戴設(shè)備都要與手機(jī)設(shè)備連接使用,,這是否為攻擊者增加了一個(gè)突破口?是否會(huì)降低手機(jī)的安全性,?手機(jī)廠商應(yīng)如何保證可穿戴設(shè)備接入的安全性,?
何淇丹:理論上是可能的。因?yàn)榭纱┐髟O(shè)備與手機(jī)間通過(guò)藍(lán)牙通訊,,如果手機(jī)對(duì)設(shè)備端考慮不嚴(yán)密,,是有可能導(dǎo)致問(wèn)題的出現(xiàn)。廠商在設(shè)計(jì)時(shí)應(yīng)遵循最小攻擊面,、最大防范的原則,,對(duì)設(shè)備和數(shù)據(jù)訪問(wèn)做好隔離。
《21世紀(jì)》:在可穿戴設(shè)備的信息保護(hù)上,,對(duì)硬件廠商有什么要求呢,?
何淇丹:廠商應(yīng)對(duì)數(shù)據(jù)嚴(yán)格進(jìn)行符合工業(yè)標(biāo)準(zhǔn)的高強(qiáng)度加密,例如密鑰長(zhǎng)度達(dá)到至少256位的AES加密,。根據(jù)數(shù)據(jù)使用場(chǎng)景的不同,,有更詳細(xì)的要求:在征得用戶允許后進(jìn)行大數(shù)據(jù)挖掘時(shí),應(yīng)嚴(yán)格遵循匿名原則,。對(duì)數(shù)據(jù)進(jìn)行模糊化處理,,應(yīng)去除具有識(shí)別度的用戶信息,防止泄露用戶個(gè)人隱私,。在單純作為云端數(shù)據(jù)管理工具時(shí),,應(yīng)使用用戶生成或指定的密鑰對(duì)數(shù)據(jù)進(jìn)行不對(duì)稱加密,密鑰可存儲(chǔ)于用戶自身設(shè)備上,,達(dá)到對(duì)用戶透明而對(duì)廠商不透明,。
廠商在設(shè)備與云端和終端通訊過(guò)程中應(yīng)嚴(yán)格使用加密傳輸技術(shù),并嚴(yán)格校驗(yàn)對(duì)端身份,。例如,,傳輸過(guò)程中使用的RSA公鑰應(yīng)至少有1024-2048位長(zhǎng)。
同時(shí)廠商應(yīng)加強(qiáng)對(duì)IT設(shè)備,、相關(guān)服務(wù)器和員工辦公設(shè)備的安全加固,、日志審計(jì)和入侵檢測(cè)工作,防止遭到APT形式的入侵,。
《21世紀(jì)》:國(guó)際上是否有一些經(jīng)驗(yàn)可以參考,?若發(fā)生此類泄露事件,又是如何懲處的,?
何淇丹:蘋(píng)果在這方面是一個(gè)典范,,其公開(kāi)的相關(guān)信息可供相關(guān)企業(yè)參考。可穿戴設(shè)備收集的數(shù)據(jù)在美國(guó)屬于Personally identifiable information (PII),,為聯(lián)邦法律所明確要求持有機(jī)構(gòu)須加以保護(hù)并具有保密義務(wù),。企業(yè)對(duì)于報(bào)告漏洞的安全研究者也應(yīng)持有歡迎和合作的態(tài)度,與安全社區(qū)共建安全,。
監(jiān)督機(jī)關(guān)應(yīng)對(duì)相關(guān)企業(yè)實(shí)施數(shù)據(jù)保護(hù)的監(jiān)督,,并對(duì)違反守則、泄露數(shù)據(jù)的企業(yè)予以行政處罰,,嚴(yán)重者追究相關(guān)責(zé)任人的刑事責(zé)任,。