你有沒有注意過, 在《星球大戰》這部電影中, “我有一種不詳的預感”這句話出現過多少次？這個反復出現的梗讓影片具有連續性、富有小幽默, 還有對未來體驗的預期, 是觀看每一部續集時值得期待的彩蛋/小驚喜。不過我的問題是, 在日常生活中這句話的出現頻率不會太高。
然而, 在#TheSAS2018上我多次想到這句話。今年, 策劃組在大會第二天安排了一系列研討會。正如物聯網研討會負責人Denis Makrushin所指出的, 研討會的目的是提供實際動手體驗, 而不是進行傳統的演示。此外, 研討會面向的是參加大會的各類觀眾, 而不僅僅是核心安全研究人員。
對我來說, 大會中新增加的這個環節聽起來滿不錯的。但我主要關注的是通信和行銷方面；如果我參加研討會, 那麼我的角色應該是提高人們對大會中這一環節的關注, 或者吸引社交網路上的更多人觀看。我走進這間會議室, 腦中想著如何說服Makrushin同意通過播客與我通話, 但我發現他有另外的想法：”好的, Jeff, 我會做播客, 但條件是你得參加這個研討會。”
我有一種不詳的預感。
根據大會手冊中的該環節摘要, 研討會的內容是物聯網實踐學習, 更具體地說, 是檢查物網設備的安全性。我們將研究如何提高聯網設備的安全性。
但這個似乎不在我擅長的技術範圍內。當然, 我以前也在Raspberry Pi上構建過Retropi系統, 但不過是把遊戲拖放到模擬器中罷了。
挑戰
David Jacoby招手讓我坐到Raspberry Pi電腦鍵盤後面, 他正在為研討會做準備, 這時我感到越來越擔心。我是第一個到這間會議室, 所以他向我詳細說明了流程：在接下來的一個多小時裡, 我會作為其中一隊的成員, 與另一隊展開競爭, 構建符合以下標準的家庭安全設備：
- 必須基於開源技術而構建；
- 必須使用網路分段；
- 必須通過VPN訪問；
- 不得使用預設密碼；
- 必須可供任何人使用。
很簡單, 對吧？我有一種不詳的預感。
隨著研討會即將開始, 越來越多的人來到會議室, Jacoby和Marco Preuss把與會者分成兩組。另一組中有在不同安全領域工作過的人。我所在的組有卡巴斯基實驗室的一名公關同事、一名記者以及我本人。太好了。
在研討會開始之前, 又有一位元會編碼的軟體發展人員加入我們, 所以情況更樂觀了一點。然後Jacoby通知我們, 因為時間關係 – 馬上要舉行閉幕式了 – 我們只需展示理論上的設計, 而不用真正建立一個工作設備。這讓我們都鬆了一口氣。
規劃一個完美的聯網設備
隨後……我們立即動手, 動筆設計並談論如何使用開源技術來保護智慧家居系統。我們要做的第一個決定是要把Raspberry Pi用作路由器還是防火牆。這兩種做法各有優點, 但我們最終決定考慮使用OpenDNS以及資料表來創建白名單。從VPN的角度來說, 我們計畫運行的是OpenVPN和PiVPN。此外, 我們還把向網路上的設備分配我們的證書, 為理論家居系統的訪客提供訪客網路。
我們對自己設計的系統很滿意。這種安全系統並不算難。經過約一個小時的辯論和思想交流之後, 現在是向Jacoby和Preuss展示我們的工作成果的時候了。
在第一隊的理論產品受到不斷挑剔時, 我們還很自信。聽到第一種解決方案有10個地方不符合所有標準後, 輪到我們的解決方案了。我們的隊員很好地表達了我們的想法, 我們確信自己的點子會成為下一個百萬美元的投資目標 – 《創智贏家》, 我們來了。然而, 評判方對此卻有不同的想法, 他們從我們的解決方案中挑出了一個又一個問題。
並沒那麼簡單
畢竟, 這正是研討會的目的。我們在談到IoT災難和安全故障的案例時, 最後總是以高姿態地呼籲IoT開發商把安全放在第一位, 但在研討會上, 通過親自動手, 我們才真正體會到, 相比把概念落到實處, 使其安全、易用, 只是提出概念再容易不過了。
保護智慧家居系統要比想像中困難得多, 而且在研討會中身為”安全分析師”的一群人是無論如何也不可能想出神奇的”獨角獸”產品來確保萬無一失的。
研討會迫使我們的團隊離開舒適區, 去思考隨著越來越多的設備接入互聯網, 我們會面臨的非常現實且日益嚴重的問題。雖然每個人都會”失敗”, 但對我來說, 研討會在#SAS2018期間可謂獨樹一幟, 因為這是一項積極的挑戰, 而不只坐在那裡聽取某些研究報告 – 即便是胡鬧的研究。
如果您的家裡已經有聯網設備, 你想知道它們的安全性, 請嘗試使用我們的物聯網掃描程式。你還應該盡可能地提高設備安全性, 從更改預設密碼一直到確保固件即時最新。
資料來源：https://www.kaspersky.com/blog/in-defense-of-the-iot/21760/