物联网安全

2011年下半年，中国黑客曾彻底摧毁美国商会服务器，并通过毁灭性的后门链接，入侵美国商会游说小组的网络。美国商会官方承认，黑客已获取任意访问商会计算机系统的授权，并已窃取从核心电子邮件至国际商贸文件至企业会议备忘录在内的所有信息。总而言之，美国商会已成为完全传统式APT型黑客攻击的受害者。在众多类似黑客攻击的案例中，让我对这次黑客攻击记忆深刻的原因在于，当实施黑客攻击后的清理进程时，调查者发现国会山建筑中的一个恒温器装置正在和中国境内的一处IP地址不断通信。   物联网安全 如果您读到此处，您是否会发现，现在您已拥有多件可以连接互联网的装置，而在五年前，您根本无法使用此类装置访问互联网？ 这正是”物联网”的本质所在。互联网曾是通过集线器连接计算机及服务器的网络。从这一点来说，物联网的扩张速度如此之快，以至于我都已对计算机本身定义感到模糊。现在，几乎所有事物都有其IP地址并都可以连接互联网：汽车、家用电器、医疗设备、电话、游戏机、谷歌开发出的互联网接入眼镜，我甚至听说现在已有可以发送推特消息的啤酒桶龙头。 如果把互联网安全性比作迷宫，则迷宫的进出口越多，就越容易逃离迷宫。同样的道理，连接网络的设备越多，黑客攻击网络的机会也就越多。简而言之：每个设备都代表进入网络的可行途径，推而广之，每台机器也是如此。 连接网络的设备越多，黑客攻击网络的机会也就越多。简而言之：每个设备都代表进入网络的可行途径，推而广之，每台机器也是如此。 连接网络的设备越多，黑客攻击网络的机会也就越多。简而言之：每个设备都代表进入网络的可行途径，推而广之，每台机器也是如此。 对于系统管理员及IT团队来说，这无疑是一场噩梦。越来越多的企业都不得不采用自带移动设备（BYOD）策略。 可以设想，让大量员工在其个人对现代科技拥有不同理解程度的条件下，将成千上万的不同设备连接至企业网络中，将是多么可怕的一幕。我可以肯定是，对于并不太了解网络支持技术的我们来说，这将是一种无形的威胁。 在物联网中存在着更为明显的威胁。对于苹果、谷歌、微软及其他计算机巨头公司中负责设计操作系统及软件的工作人员来说，他们首先考虑的问题就是安全性。确实，这些工作人员正在通过各种技术工具或补丁包处理已出现的所有漏洞及缺陷，但至少这些工作人员在考虑有关安全性的问题。 另一方面，对于可以调节附近游泳池中化学物质的工业控制盒来说，我不敢确定此类控制盒产品的设计者，在使控制盒连接互联网，以便于游泳池操作员可以定期远程调节泳池内化学物质的时候，是否考虑过安全问题。相同的逻辑可以扩展到一切可被黑客攻击的机器：带有公共利用概念，但可被黑客利用无线技术攻击的装置、通过内嵌方式安装的医疗设备（如心脏起搏器及胰岛素泵）、或大型商务飞机等等。从电视至新时代智能计量装置在内的任何事物都可能成为潜在的受攻击对象，但当前仍未有人为此类装置或设备设计安全保护产品。当前，功能强劲的互联网安全防护产品通常仅可以保护计算机免受恶意软件感染。对于此类可连接互联网的小装置来说，却无任何安全防护壁垒。 如果您认为我们在这里虚张声势，那么请阅读有关卡纳僵尸网络的相关资料，该僵尸网络曾因2012年互联网普查结果而名噪一时 在美国，可对此类事物提供保护的唯一方法是，推行相关的国家监管法律。 在美国，可对此类事物提供保护的唯一方法是，推行相关的国家监管法律 从互联网连接整体角度来看，当前的现实是：过多的设计者为获取大量利润，设计出过多相互并不兼容的系统，以向用户推出可操作的产品；但当把产品推向市场时，却未对产品提供必要的安全保护措施。在美国，可对此类事物提供保护的唯一方法是，推行相关的国家监管法律。不幸的是，鉴于此类法律将对获利企业造成广泛影响；因此，此类法律不太可能完成起草进程，更不可能完成立法进程。在华盛顿特区的立法者人群中，”监管”是个不太受欢迎的词汇。 美国食品及药品管理局及国家安全部门的工业控制系统计算机应急响应小组（ISC-CERT）已开始通过合作形式，试图使医疗设备生产企业采用更为严格的安全保护措施。该项合作仅可处理有限的安全需求；特别是，在考虑到近期ISC-CERT建议，使400余种医疗设备在使用默认登录证书的条件下，可以访问关键设备设置界面的条件下，更是如此。建议、指导准则及其他无约束力的警告，不太可能解决这一问题。眼下我们将不得不在无安全保护的条件下生活。您可以做到的仅是保持时刻警惕的心态。

2011年下半年，中国黑客曾彻底摧毁美国商会服务器，并通过毁灭性的后门链接，入侵美国商会游说小组的网络。美国商会官方承认，黑客已获取任意访问商会计算机系统的授权，并已窃取从核心电子邮件至国际商贸文件至企业会议备忘录在内的所有信息。总而言之，美国商会已成为完全传统式APT型黑客攻击的受害者。在众多类似黑客攻击的案例中，让我对这次黑客攻击记忆深刻的原因在于，当实施黑客攻击后的清理进程时，调查者发现国会山建筑中的一个恒温器装置正在和中国境内的一处IP地址不断通信。

 

物联网安全

如果您读到此处，您是否会发现，现在您已拥有多件可以连接互联网的装置，而在五年前，您根本无法使用此类装置访问互联网？ 这正是”物联网”的本质所在。互联网曾是通过集线器连接计算机及服务器的网络。从这一点来说，物联网的扩张速度如此之快，以至于我都已对计算机本身定义感到模糊。现在，几乎所有事物都有其IP地址并都可以连接互联网：汽车、家用电器、医疗设备、电话、游戏机、谷歌开发出的互联网接入眼镜，我甚至听说现在已有可以发送推特消息的啤酒桶龙头。

如果把互联网安全性比作迷宫，则迷宫的进出口越多，就越容易逃离迷宫。同样的道理，连接网络的设备越多，黑客攻击网络的机会也就越多。简而言之：每个设备都代表进入网络的可行途径，推而广之，每台机器也是如此。

连接网络的设备越多，黑客攻击网络的机会也就越多。简而言之：每个设备都代表进入网络的可行途径，推而广之，每台机器也是如此。

连接网络的设备越多，黑客攻击网络的机会也就越多。简而言之：每个设备都代表进入网络的可行途径，推而广之，每台机器也是如此。

对于系统管理员及IT团队来说，这无疑是一场噩梦。越来越多的企业都不得不采用自带移动设备（BYOD）策略。 可以设想，让大量员工在其个人对现代科技拥有不同理解程度的条件下，将成千上万的不同设备连接至企业网络中，将是多么可怕的一幕。我可以肯定是，对于并不太了解网络支持技术的我们来说，这将是一种无形的威胁。

在物联网中存在着更为明显的威胁。对于苹果、谷歌、微软及其他计算机巨头公司中负责设计操作系统及软件的工作人员来说，他们首先考虑的问题就是安全性。确实，这些工作人员正在通过各种技术工具或补丁包处理已出现的所有漏洞及缺陷，但至少这些工作人员在考虑有关安全性的问题。

另一方面，对于可以调节附近游泳池中化学物质的工业控制盒来说，我不敢确定此类控制盒产品的设计者，在使控制盒连接互联网，以便于游泳池操作员可以定期远程调节泳池内化学物质的时候，是否考虑过安全问题。相同的逻辑可以扩展到一切可被黑客攻击的机器：带有公共利用概念，但可被黑客利用无线技术攻击的装置、通过内嵌方式安装的医疗设备（如心脏起搏器及胰岛素泵）、或大型商务飞机等等。从电视至新时代智能计量装置在内的任何事物都可能成为潜在的受攻击对象，但当前仍未有人为此类装置或设备设计安全保护产品。当前，功能强劲的互联网安全防护产品通常仅可以保护计算机免受恶意软件感染。对于此类可连接互联网的小装置来说，却无任何安全防护壁垒。

如果您认为我们在这里虚张声势，那么请阅读有关卡纳僵尸网络的相关资料，该僵尸网络曾因2012年互联网普查结果而名噪一时

在美国，可对此类事物提供保护的唯一方法是，推行相关的国家监管法律。

在美国，可对此类事物提供保护的唯一方法是，推行相关的国家监管法律

从互联网连接整体角度来看，当前的现实是：过多的设计者为获取大量利润，设计出过多相互并不兼容的系统，以向用户推出可操作的产品；但当把产品推向市场时，却未对产品提供必要的安全保护措施。在美国，可对此类事物提供保护的唯一方法是，推行相关的国家监管法律。不幸的是，鉴于此类法律将对获利企业造成广泛影响；因此，此类法律不太可能完成起草进程，更不可能完成立法进程。在华盛顿特区的立法者人群中，”监管”是个不太受欢迎的词汇。

美国食品及药品管理局及国家安全部门的工业控制系统计算机应急响应小组（ISC-CERT）已开始通过合作形式，试图使医疗设备生产企业采用更为严格的安全保护措施。该项合作仅可处理有限的安全需求；特别是，在考虑到近期ISC-CERT建议，使400余种医疗设备在使用默认登录证书的条件下，可以访问关键设备设置界面的条件下，更是如此。建议、指导准则及其他无约束力的警告，不太可能解决这一问题。眼下我们将不得不在无安全保护的条件下生活。您可以做到的仅是保持时刻警惕的心态。

谷歌以用户隐私及安全性作为筹码，推行”视频群聊”服务

针对谷歌在圣弗朗西斯科召开的I/O会议上，针对明显缺乏隐私保护问题的讨论事项，我们近期已撰文予以列述。尽管在该会议上，并未讨论过多隐私保护事项，但谷歌公司所采取的行动却比任何言语更有说服力。当谷歌公司计划推出新即时消息平台以取代其长期使用的”聊天”应用程序时，有关用户隐私保护的问题更加明显。   正如我们积极倡导保护用户隐私性的朋友——”电子前沿基金会”所强调的内容，谷歌所采取的行动可以让人理解，该公司使用新”视频群聊”服务平台，取代有些过时的”聊天”服务平台可能产生两种后果：一种是谷歌为推行其新颖的消息通信服务，将大幅缩减对可扩展式即时消息及出席协议（XMPP）的技术支持。对于XMPP这一开源性通讯工具来说，曾因受益于谷歌公司提供的技术支持，而得以广泛应用。 使用XMPP意味着，用户可以使用”谷歌聊天”工具向AOL即时通讯及其他若干聊天服务供应商的用户，实现跨平台的即时通讯。使用XMPP还意味着可使用”离线记录”（OTR）加密程序为”谷歌聊天”的开源式框架提供支持。请不要混淆谷歌的”离线记录”功能及”离线记录”加密程序，稍后我会对两者之间的区域稍加解释。而”视频聊天”却不支持上述两种功能。 第二中且似乎更具相关性(但实际影响力更低)的后果是，在新推出的”视频群聊”平台中，用户将不再可以针对所有聊天内容，采用”删除记录”选项。”删除记录”选项的功能如其字面意义所示：在打开该功能的条件下，谷歌公司无法将您通信中的聊天历史记录归档。尽管如此，用户仍可完成记录删除进程，但仅可基于联系人至联系人的方式删除记录。 谷歌公司对此解释称： “我们已对谷歌聊天及谷歌语音聊天的历史记录设置项做出变更。您可以关闭个人聊天记录，但您将不再可以使用关闭所有聊天历史记录的选项.” 谷歌公司正在以开源式聊天软件平台的用户安全性及隐私作为筹码，推行新视频群聊平台。对于谷歌公司来说，可通过更华丽、更复杂及无缝连接的方式，使谷歌自身和先前不一致的应用程序更好的融合在一起。 谷歌公司正在以开源式聊天软件平台的用户安全性及隐私作为筹码，推行新视频群聊平台。对于谷歌公司来说，可通过更华丽、更复杂及无缝连接的方式，使谷歌自身和先前不一致的应用程序更好的融合在一起。 什么，是这样吗？上述聊天平台的改变，不仅表示用户使用的不便利性稍微增加，而且我们的反应还可以体现对虚假在线表示愤怒的集体倾向，不是吗？除上述不满之外，经仔细思考后，我们可以发现停止XMPP将可能产生更为严重的后果。 正如EEF的帕克 希金斯（Parker Higgins）所 述，对于希望使用OTP加密功能且隐私意识较强的用户来说，将无法继续使用该加密功能。略具讽刺性的是OTR加密的本质是加密通信协议，而谷歌公司已过渡滥用该数据。对于谷歌公司来说，关闭记录仅意味着无法归档即时通信消息，和加密功能的使用时间无任何相关性。事实上，OTR是”确保在线通信安全的关键组件。”当两名用户使用OTR时，除这两名用户之外，其他人（包括服务提供商）全都无法访问两人之间的通信内容。使用原有的XMPP框架，可使得用户掌控自己的聊天服务器，并可使得其他非谷歌用户在和谷歌用户通信时，使用OTR加密程序。而这一切都将发生改变。 希金斯撰文声称：”有鉴于此，用户仅可选择使用谷歌聊天服务器，或删除未使用谷歌聊天服务器的聊天对象。更糟糕的是，谷歌用户不会注意到下述变化：谷歌用户将无法再次和使用jabber.org的聊天对象、fsf.org的成员或任何其他使用XMPP服务器的聊天对象正常聊天。 本文所要指出的重点是，尽管无任何谷歌官方应用程序支持OTR，但用户应可绕过该壁垒使用OTR，其原因在于XMPP具有开放型框架。换句话说，谷歌公司正在以开源式聊天软件平台的用户安全性及隐私作为筹码，推行新视频群聊平台。对于谷歌公司来说，可通过更华丽、更复杂及无缝连接的方式，使谷歌自身和先前不一致的应用程序更好的融合在一起。此类不一致的应用程序诸如：谷歌聊天、谷歌语音聊天、谷歌+视频群聊等（请不要将谷歌+视频群聊和相同名字的新聊天平台相混淆）。 我们绝大多数人或许会对谷歌感到失望。谷歌公司层在用户数据隐私保护及安全性方面功勋卓著，但最终我们将需使用已用户隐私安全为筹码的新服务平台。对于真正需要使用安全保护聊天应用程序的用户来说，我们已编辑出一份安全保护性良好的媒体列表。在该列表中排行首位的是Skype，但是我们也已给出相关提示：即便是列表中的媒体，也可能会受到政府监视。 平心而论，”谷歌聊天”应用程序在八年前，计算机至计算机间即时通信刚开始兴起时，是一款极为伟大的应用程序，该应用程序行业也使用”聊天”应用行业予以命名。事实上，谷歌聊天也曾经过不断进化的演变进程，使用户可以实现跨平台之间的即时通信。但是，永久连接式设备和不同独立设备及操作系统（如，What’s App网站、黑莓、Facebook聊天服务）社交信息通信的发展，致使用户产生新需求，并最终致使基于SMS的文本信息服务及原有的聊天服务最终被新聊天服务所取代。 Verge网站发布了一遍有关此方面的绝佳综述性文章。该文章不但详细介绍了视频群聊服务平台，并准确阐述了使用视频群聊服务对谷歌公司的意义。鉴于即时通信服务的发展已远远落后于移动信息服务的发展，因此视频群聊服务似乎已成为谷歌公司必须实施的服务方式。该文章绝对值得一读。    

提示
注册