物联网嵌入式系统居安思危

作者：James 来源：hkitblog

有人担心物联网引申新一轮资料外泄风暴，新增的设备并不是传统个人计算机或智能装置般具有一定防护功能，可能意味着为攻击者提供更多潜在切入点来入侵企业。很多这些设备都属于嵌入式系统范畴，该领域的专家担心，从嵌入式技术令人担忧的历史来看，这种技术可能给企业带来最严重的安全风险。

物联网令Stuxnet恶梦随时翻生

传统嵌入式设备包含很小的芯片组，并通常有「精简版」的Linux操作系统。日常见的嵌入式设备例子有USB闪储记忆装置，而令伊朗核电厂受感染的Stuxnet正是利用USB记忆装置潜入内部系统。其他诸如联网打印机，甚至还有现在的硬盘驱动器固件与Equation间谍软件就有密切关系。

物联网的出现让该类别的设备正迅速增加，将网络功能扩展到广泛的设备中，这些设备以前从没有过这种功能，例如恒温器和雪柜等办公设备。这样一来，企业可能很快就会发现他们网络中出现更多新的攻击点，令企业资料在危机之下，专家并不确定这些新一代嵌入式设备是否已经解决了传统的安全漏洞。

更新慢成最大隐忧

嵌入式系统历来都会使用大量专有组件，并没有与其他系统共享太多共同电路，这意味着当发现漏洞时，由于成本或资源限制，漏洞不太可能得到修复。现代嵌入式系统开始与其他流行移动设备共享一些相同的内部系统组件（例如ARM芯片），但嵌入式设备通常必须在几年甚至几十年受到支持，这又会导致一些新的问题。

手机更新迅速，但嵌入式系统应用周期会较长，手机快速迭代的过程并没有出现在持续使用10年到20年的嵌入式设备中，调试这些设备的团队会继续向前发展，所以安全过程很有限。除了嵌入式系统需要的支持水平，即使有可用的软件更新，企业可能都会忽视这些设备，例如打印机或者智能温控器这些被认为很低生产价值的东西，管理层愿意花多少成本来确保其安全性？

最常被忽略的嵌入式威胁之一是VoIP会议电话和其他有录音设备，因为可以在不被察觉的情况下打开来记录敏感信息。物联网的普及意味着企业将面对更广泛类型设备带来的安全问题，可穿戴设备和其他设备都可能会进入企业网络，而且通常它们没有内置安全控制。智慧空调或咖啡机等设备将为企业及家居带来新风险，这些设备的支持责任可能很模糊，因为它们可能属于物业管理者，而不在企业IT部门的职权范围。

统一安全设计

专家指出目前还不知道在长期来看新的嵌入式设备是否将比过去得到更好的支持，但保护嵌入式设备的关键是在一开始就安全地设计设备。企业必须在一开始设计硬件和固件时，就确保它们可以防止恶意软件访问或物理篡改，硬件可以在现场进行升级来修复漏洞和安全漏洞，这非常常见，但在你进行这个过程时如果没有全面思考，你将制造更多问题。安全的设计包括防止对设备的物理篡改、加密以及硬件数字签名。

这些硬件不仅在安装之前会检查安全性，在第一次运行之前也会进行检查。但这可能很困难，所以企业可能需要改变嵌入式设备政策。从企业的角度来看，这是关于允许什么连接到网络，使用端点保护来阻止除白名单产品以外的设备，这应该会让企业非常严格地明确哪些可以连接到网络，我认为我们将会看到企业开始限定允许联网的设备。

Wind River Systems公司物联网解决方案高级主管Alexander Damisch同意这种说法。Damisch建议企业安全地设计自己的基础设施，这可能包括在发送或接收企业网络的数据之前对设备进行身份验证；因为很难检测嵌入式固件中的恶意软件，监控流量是关键。这就是说，企业需要在一定程度上管理个人设备，这是使用者不喜欢的事情，但另一种选择是，让用户根本就没有访问权限。最关键的不是阻止个人设备，而是让用户知道系统被设计成这样，这可以帮助员工更容易地接受这种做法。

对网关背后或虚拟系统中的易受攻击嵌入式系统进行隔离，这通常是更具成本效益的做法，并允许更新网关规则来阻止新的威胁，毕竟嵌入式系统可能会变化，因为它们没有被设计为经常更新。

找到安全薄弱的地方，然后把它放在虚拟系统，或者在前面部署网关，从而监控和加密其中的所有流量，安全应该是从开发过程就开始考虑的因素。