劉繼順：智能物聯時代網絡空間安全態勢分析
責編：gltian ｜2018-06-20 14:29:23摘要：劉繼順從分析智能物聯時代的安全事件入手，結合國家網絡空間安全的法律法規，深入分析智能物聯領域的安全威脅面、攻擊原因和攻擊點，以網絡攝像機等為例分析攻擊方式，并從技術、標準、認證、創新金融服務等角度提出相應安全對策。
劉繼順????公安部第三研究所，國家網絡與信息系統安全產品質量監督檢驗中心，網絡安全專家
我們現在的主要關注點是在智能物聯時代。這樣的時代下，它的網絡空間有什么樣的變化？有哪些新特點？它的安全態勢如何？
我們周圍的很多設備都已經逐漸聯網。有數據顯示，在2016年，全球正在使用中的智能聯網設備已經達到64億臺。到2017年，它的數量已經超過全球人口總數，年增長速度大約在30%左右。預計到2020年，全球聯網的智能設備的數量將達到240億臺。
為什么會有這么多設備接入網絡呢？因為全球都在進行各種戰略。比如，平安城市、智慧城市、智能制造2025、德國的工業4.0，這使得各行各業都連到網上。比如，公安行業、金融行業、電力行業、智慧建筑、數字化儀表、供應鏈、FID標簽、礦業開采、工業自動化、工業機器人、移動支付等等方面都會有所應用。
國務院發布《關于大力推進信息化發展和切實保障信息安全的若干意見》指出“智能安防、智能交通、智能醫療、與智能家居等9大領域是智慧城市建設的堅實基礎”。
據工信部的數據，預計到2020年，中國物聯網的整體規模將超過1.8萬億元。智能安防產業在國內生產總值中占千分之7，增速達到13%，國內安防市場增速超過全球平均增速。安防系統中的核心是視頻監控，市場年復合增長率超過12%，而IT市場的年復合增長率只有6%左右。安防市場的市場規模不斷擴大，視頻監控已經占到49%，其他的還有防盜報警、實體防護、樓宇對講、出入口控制等等。
隨著智能化、信息化的發展，擴大了的網絡空間的安全事件頻出。2007年，當時美國副總統迪克·切尼心臟病突然發作，懷疑是他的心臟除顫器無線連接功能被暗殺者利用。這被認為是物聯網攻擊造成人身傷害的案例之一。
2013年，美國黑客發布了一個視頻，他利用一款基本型的民用無人機可以控制定位周圍的無人機站隊，形成僵尸無人機網絡。我們前不久也做過一個實驗，利用無線發射器發射GPS的定位信號，這個定位信號可以干擾正在巡航中的無人機。無人機收到信號以后可以被我們控制，改變航向、高度，甚至可以迫降。
在汽車方面。2015年，安全專家利用比亞迪的云服務漏洞開啟比亞迪汽車的車門、發動汽車、開啟后備箱。寶馬有220輛汽車配備了數字服務系統，這個服務系統存在安全漏洞，可以攻下寶馬品牌下一系列品牌。
如果說以上案例只是侵犯到個人安全，2008年的土耳其石油管道爆炸事件侵犯到的是國家安全。土耳其石油管道從里海到地中海的1099英里長的輸油管線遭到黑客攻擊。黑客首先入侵了該石油管理部門的網絡系統，然后安裝了一個惡意軟件，并關閉了警報、切斷了通信聯系，給管道內的原油大幅度增壓，由于管道內壓力不斷增大，該石油管道最終發生了爆炸，爆炸火焰高度達到150英尺。這個事件很簡單，最初只是攻入了管線上的視頻監控攝像頭，控制攝像頭的權限以后，以此為跳板，不斷向內部攻擊，獲得提權，獲得油壓的控制權。
美國的斷網事件也是轟動一時。美國互聯網在黑客攻擊下出現大面積癱瘓，這次攻擊主要是DDOS攻擊，利用攝像頭、路由器的弱口令漏洞。黑客利用病毒不斷的掃描聯入互聯網的物聯網設備，物聯網的防護水平確實是低于PC機、手機，很容易獲取大量的肉雞。利用肉雞，在適當的時機發起分布式的DDOS攻擊。
我們看到了這么多的安全事件，觸目驚心。它背后的攻擊目的是什么呢？一般來講分為幾個類別。土耳其的案例就是危害國家安全；如果我們想攻擊人身安全，它可以威脅到人的生命。如果是智能門鎖，我可以攻擊它，在你不知不覺的情況下進入到你的家里；可以通過攻擊竊取信息，進行惡意敲詐。在國外是有這樣的案例的，把智能設備鎖住，如果不支付一定的費用，設備不能恢復正常。如果你不認為聯網設備很重要，是不是不需要防護呢？其實不是。通過這樣一個簡單的設備攻入到網絡內部，可以把它作為攻擊的跳板。土耳其的例子就是通過網絡攝像頭為跳板進入油壓控制系統。或者是成為肉雞，造成大量的僵尸網絡，這給互聯網帶來的威脅是相當大的。
物聯網的攻擊手段，最常見的是利用弱口令、默認口令，進行設備的劫持，獲得設備的控制權；或者進行信息的竊取。如果說是有執行能力的設備，通過信息的篡改，可以進行物理攻擊。
攻擊方式，以智能聯網鎖為例。很多高端樓盤會安裝智能門鎖，用起來比較方便，可以聯網進行遠程操控。如果它的安全防護做的不是很好，它容易造成很多的安全隱患。可以通過嗅探的方式，這種方式在滲透中是比較常見的。可以嗅探它的銘文密碼。智能門鎖的最大特點是用電子鑰匙替代機械鑰匙。電子鑰匙其實就是一串數據。開門的時候，這串電子數據輸入到控制設備。藍牙是可以建立加密信道的，但大家并不開啟它。我們在進行產品檢測的時候遇到很多藍牙設備不開啟加密信道，但我們要求它必須開啟。藍牙設備沒有采用非銘文的傳輸，用銘文傳輸。很簡單，用一個藍牙的探測器就可以把它抓下來，抓包之后進行攻擊。
如果進行加密是不是就可以保證萬無一失呢？也不行。可以利用中間人的重放攻擊，把信號攔截，進行重放，門鎖還是可以被打開的。這需要結合更多的安全措施，標識、設備、時間戳。
還有服務器攻擊。物聯網設備都是上服務機，云上面會存在各種各樣的漏洞，攻擊者可以利用這些漏洞對云端的數據進行篡改，改成簡單一致的密碼，而且是永久有效的。用同步機制把命令下達下去，所有的門鎖都可以被控制。
這么多的安全事件引起了國內外的重視。以美國為例，先后出臺了《2010網絡安全法案》《2010網絡安全加強法案》《2015網絡安全法案》《2017年物聯網網絡安全改進法案》。
我們國內對網絡空間安全的重視是前所未有的，《網絡安全法》提出了“網絡空間主權”的概念，網絡空間是物理空間的延展。《網絡安全法》開宗明義，提出了“保障網絡安全、維護網絡空間主權”的概念，以此為目的制定《網絡安全法》。《網絡安全法》第5條的內容，監測防御處置網絡安全風險和威脅，保護關鍵信息基礎設施免收攻擊、侵入、干擾和破壞。對于關鍵信息基礎設施是這樣定義的，一旦遭到破壞、喪失功能或者數據泄漏可能嚴重危害國家安全、國計民生、公共利益的關鍵信息基礎設施，在網絡安全等級保護制度上的基礎上，實行重點保護。信息基礎設施處在虛擬的網絡空間和物理空間的交匯面上，一旦被黑客利用攻擊，它會對關鍵信息基礎設施的安全性造成非常大的影響，影響國家安全和社會安全。
去年，中共中央國務院發布《關于開展質量提升行動的指導意見》，《意見》中指出“下大力氣全面提高質量，推動我國經濟發展進入質量時代。充分釋放國家質量基礎設施的效能，充分利用目前的標準、檢測、認證等手段來提升質量能力。強化產品信息安全和隱私保護，提高關鍵元器件的制造能力。提高產品的安全、環保、可靠性等要求和標準。建立健全產品損害賠償、產品質量安全責任保險和社會幫扶并行發展的多元救濟機制。加強政府采購需求確定和采購活動組織管理，將質量、服務、安全等要求貫徹到采購文件制定、評審活動、采購合同簽定全過程，形成保障質量和安全的政府采購機制”。
國家政策的制定是有原因的。2017年6月18號，質檢總局開展了對智能攝像頭質量安全風險監測。在市場上抽查了40批次，其中有32批次存在不同程度的安全問題。比如，惡意代碼防護、身份鑒別、弱口令校驗、訪問控制等等。
中央網信辦、工信部、公安部高度重視產品安全，去年分別召開多次會議，各種政策和管理辦法正在制定出臺過程中。
我們作為公安部領導下的國家級權威第三方機構，在網絡安全方面擔負著國家網絡與信息系統安全產品質量監督檢驗中心、公安部計算機信息系統產品質量兩方面的職責。我們參與制定了國家標準，尤其是《智能聯網設備口令保護指南》是網信辦特別提出的，最初是打算制定為強制性標準，后來是作為重點標準進行制定的，可能后期還會有進一步動作。公安行業標準方面做了《網絡攝像機技術要求》。我們制定了《物聯網終端設備》標準。在公安部、認監委、網信辦的支持下，開展了“社會公共安全領域智能聯網產品網絡安全認證”工作，不同于以往的安防功能認證，為政府采購機制的完善做好準備。我們也比較關注物聯網專用的產品測試研發工作。網絡安全的專用產品都要按照《網絡安全法》的要求進行檢測認證，拿到銷售許可，這個工作主要在我們這里實施。
智能物聯時代網絡安全的新問題。首先，物聯網設備的數量非常大，增長速度非常快，而且防護能力參差不齊。NB-IoT就是弱終端，它的處理能力是非常有限的。一般這種設備部署在無人值守的地方，可能是深埋地下或者是非常惡劣的環境下，不像PC、手機就在我們手邊，用起來非常方便。比較突出的是弱口令問題、硬編碼問題等等。弱口令問題說起來很簡單，就是口令設置的太簡單了。對于一個設備來講，這個問題很好解決。但是，對于海量設備，這個問題很難解決。我一個人要管幾百臺，甚至上千臺設備，讓我定期的更改口令，而且每一臺設備的口令設置成一致的是可以暴力破解的。人力所不可能就需要技術的創新和新產品來支撐。可喜的是這方面的產品已經陸續開始出現。
另外就是升級的問題。這些產品一旦部署下去，人很難接觸到它，我們甚至不知道它放在什么地方。但是，大家知道這些硬件、固件、軟件是有可能有漏洞的，而且肯定有漏洞。漏洞發現是一個動態的過程，不是靜態的過程。你現在發現沒有，過一段時間就可能法有漏洞，這很正常。漏洞的更新、管理是非常難以落地的問題。現在有很多廠家在做這方面的事情。
我們對等級保護提出了新的要求。這個標準已經在制定過程中，還沒有最后形成。網絡安全等級保護基本要求的第4部分是對物聯網安全擴展的要求，相信今后會被廣泛采用。
在制定的過程中，首先是根據等級保護思想研究通用的物聯網安全保護模型。然后，根據物聯網不同行業的不同應用研究信息保護等級的劃分，必須進行合理的劃分。第三是制定三級要求。最后在三級要求的基礎上進行增強或者削弱，變成四級或者二級的要求。一共分為五級，一級系統基本上可以自主管理的，五級系統基本上很難見得到。
在更大的網絡空間范圍內，挑戰和機遇并存。因為有了新的事物和新的變化，我們才有新的機遇。我們認為通過以下舉措可以提升安全：加強風險評估和安全培訓，提高安全意識。這是最重要的。因為安全在最大的程度上取決于人；加強技術合作，強強聯合，引進新技術。比如，強標識技術、安全準入技術、區塊鏈技術。目前的人機通信還好控制，很多設備之間的通信是缺乏設備之間的標識和認證的；建立智能物聯安全標準體系。比如，建立行業標準、國家標準、國際標準，提升物聯網安全能力；采購、使用符合標準要求、通過網絡安全認證的智能物聯產品，有利于保障網絡安全；落實質量提升計劃要求，開展網絡安全保險試水。
我們相信通過國家、社會各方的努力，一定能夠形成端、管、云完整的安全鏈，形成責任明晰、保障有力的有效安全機制。因為往往出了問題以后，大家會說這是你出了問題。比如，終端設備攝像頭出了問題，實際上這不是攝像頭單方面能解決的問題，應該形成一個安全鏈。切實提升智能物聯設備的網絡安全防護能力。通過大家的一起努力，能夠更好的維護智能物聯時代下的網絡空間主權安全。
下一篇：楊正軍:歡迎致辭