【PT展2019】奇虎360吴业超：360安全大脑之IoT防御体系(2)

另外一个调研也是之前的一个报告，其实厂商在IoT里是第一道关口，厂商做的东西不安全的话，会导致整个的安全性能降低。我们调研33%的安全厂商是不考虑这个安全性，出厂的时候不会设置一些安全模块的。64%的厂商出场是设置弱密码，但这个弱密码又没有强制用户改变，比如设置123456、8888888之类的，用户用了之后又没有强制改变弱口令的策略。另外2/3的厂商在受到漏洞的时候，三个月内不会修复的。我们之前发现了一个Dlink的漏洞报给厂商大概6个月的时间，厂商没有修复，后来一个黑客跟我们撞洞了，说那我就发吧，就发到网上了，厂商他开始重视了，因为有人在攻击他们了，那时候就开始修了，已经到6个月了，其实影响非常非常大了。

威胁不止于当前，IoT的东西不仅仅是关系到人身安全，也关系到国家的安全，包括一些网络战，现在的网络战已经从网络或者原来的系统移动到了运大物移智。之前上午讲安全问题已经转移到基础设施的打击，说一个典型案例，当年乌克兰2007年的时候遭受了一次全国大规模停电，这次停电是因为被黑客攻击，也是国家级的网络战。攻击的手法很简单就是发了一个邮件给内部员工，内部员工看了以后总统令和调度令，启动了一个红病毒，这台机器就变成了一个跳板，之后黑客通过这台机器向电厂移植了震网病毒，就控制了整个电厂，导致乌克兰大面积的停电超过10小时还是几个小时。所以基础设施的打击，对国家对城市都是有非常非常大的影响，面临的威胁，我们怎么做呢？在安全方面是非常非常重要的。

刚才说到电厂，IoT的威胁产生的蝴蝶效应也是非常非常多的，这个图里说的，火力发电、核电厂、普通电厂、水电厂，一旦被攻击可能影响到整个国家整个诚实的问题，比如我们的动力机车是靠电的，工厂的生产，还有平时城市里的基础设施。IoT最典型的就是它需要电，如果一旦没有电了，这个问题是非常大的。

另外包括卫星定位系统，包括自己的加油站，如果一旦受到攻击也是非常严重的问题，整个IoT或者军工、互联网企业一旦被攻击了，会直接影响到一些国家或者个人的安全，严重的可能会导致经济下滑。

可以举几个例子，跟大家切实相关的已知的安全问题。先说三个点，第一个是敏感信息的泄露，比如说一个设备在里面泄露了一些账号密码或者一些个人信息，第二个是远程的弱密码，能远程直接控制的，第三个是预置后门，不一定是厂商留的后门，有可能是厂商留的调试口等等。有几个点，可能涉及到隐私的安全，比如生物信息的安全，财产安全、人身安全。

第一个是2017年在网上传的某某摄像头多少钱，如果在网上买了之后就可以给你看谁谁家里的摄像头，这就涉及到未来智慧家庭的一些问题，最终这个问题是因为弱口令导致的。

另外是生物信息的安全，生物信息的安全包含指纹、虹膜、人脸，还有瞳孔等等的一些东西。现在支付宝在大力推这个东西，大家也可以在外面看到相关的机器，可以刷脸支付等等，支付宝保证绝对没有安全问题。其实这个东西之前在美国自动售货机上有一次被黑客攻击过，盗走了用户的生物识别信息就是人脸的信息，如果一旦这个东西被黑客攻击不能保证百分之百安全的，如果盗走了，你的手机等等都可以解开的。另外是门锁，门锁是保护家庭财产的第一道防线，门锁的破解也是非常简单的，像之前北京一个真实的案例，他用的复制卡，7秒钟的时间就开了。另外是人身安全，比如心脏起搏器，都是有安全问题的，如果可以直接控制，可以直接危害人身安全。(责任编辑：方向)