您是否是 OEM 和系統(tǒng)集成商中的一員，將互聯(lián)網(wǎng)連接和服務(wù)添加到最初不打算這樣做的設(shè)備中？如果你是，那么你知道，通過將這些產(chǎn)品連接到互聯(lián)網(wǎng)，客戶正在發(fā)現(xiàn)新的收入形式，在某些情況下，是全新的商業(yè)模式。更重要的是，他們能夠使當(dāng)前的產(chǎn)品更有價(jià)值和更具成本效益。

隨著我們繼續(xù)看到越來越多的互聯(lián)網(wǎng)連接設(shè)備，我們必須承認(rèn)它們將容易受到攻擊，遠(yuǎn)程禁用或以其他不良方式受到損害 - 每種情況都嚴(yán)重威脅到這些新商業(yè)模式的整個(gè)基礎(chǔ)。

請考慮以下家庭自動(dòng)化領(lǐng)域中的示例。它是物聯(lián)網(wǎng)（IoT）最大的消費(fèi)者應(yīng)用程序之一，也可能是攻擊者最有利可圖的應(yīng)用程序之一。犯罪分子如何處理存儲(chǔ)在可能被認(rèn)為是相當(dāng)無害的家庭自動(dòng)化設(shè)備（如IP連接的智能恒溫器）中的信息？好吧，這些設(shè)備是為了學(xué)習(xí)你的習(xí)慣而構(gòu)建的。它們旨在識(shí)別或“學(xué)習(xí)”您何時(shí)在家和何時(shí)離開，以便它們可以優(yōu)化用于加熱和冷卻房屋的能量。你可以猜到我要去哪里。他們會(huì)知道你的習(xí)慣并跟蹤你的日常工作 - 對于那些想不請自來的人來說，這是聳人聽聞的素材。

還記得三星智能電視的案例嗎？為了能夠響應(yīng)語音命令，它不斷“聽”您的聊天，解釋它，然后甚至可能將其發(fā)送給“授權(quán)”的第三方。是的，我是認(rèn)真的。早在2013年，智能電視就被證明是可破解的（沒有鎖定安全性的不是）。這是一個(gè)完美的例子，證明了對多個(gè)可訪問性級別的需求。在Smart TV的情況下，只有一個(gè)可能的用戶帳戶，該用戶（即攻擊者）可以訪問設(shè)備上的任何內(nèi)容。

通過隱蔽實(shí)現(xiàn)安全

在過去許多情況下，產(chǎn)品開發(fā)人員會(huì)依賴這樣一個(gè)事實(shí)，即他們的設(shè)備太少，對黑客來說太無趣，無法試圖利用它們。換句話說，這些設(shè)備是晦澀難懂的 - 表面上是網(wǎng)絡(luò)上未知的節(jié)點(diǎn)。不幸的是，這種策略將不再有效。預(yù)計(jì)在未來五年內(nèi)將有數(shù)十億臺(tái)設(shè)備連接到互聯(lián)網(wǎng)（具有各種各樣的功能），這些曾經(jīng)“不感興趣”的設(shè)備將成為非常誘人的利用目標(biāo)。

這個(gè)特定的網(wǎng)站致力于揭示存在，如果可能的話，連接到互聯(lián)網(wǎng)的設(shè)備類型。此類設(shè)備可能是網(wǎng)絡(luò)攝像頭，恒溫器或任何其他連接到Internet的家庭自動(dòng)化設(shè)備。通過此網(wǎng)站，訂閱者可以掃描和搜索一系列連接的設(shè)備。

現(xiàn)在，如果您在這種情況下依靠晦澀難懂來保護(hù)您，則可能不必?fù)?dān)心更改默認(rèn)的root密碼。此密碼由供應(yīng)商設(shè)置為始終相同的名稱，因?yàn)槿绻J(rèn)密碼始終相同，則編寫文檔非常簡單。對消費(fèi)者來說，這是個(gè)壞主意。..

未更改的默認(rèn)根密碼是黑客登錄并命令相機(jī)的公開邀請。他們有效地通過遠(yuǎn)程控制獲得查看和錄制視頻的完全控制，而所有者完全不知道。

您可能已經(jīng)讀過一個(gè)關(guān)于嬰兒和父母用作嬰兒監(jiān)視器的網(wǎng)絡(luò)攝像頭的故事。父親走進(jìn)孩子的房間，聽到一個(gè)男人通過攝像機(jī)的音頻揚(yáng)聲器說話，敦促孩子“醒來”。當(dāng)父親走進(jìn)房間時(shí)，攝像機(jī)平移，另一端的人開始對他粗俗地大喊大叫，直到他拔掉攝像機(jī)的插頭。

這只是為什么互聯(lián)網(wǎng)安全在未來幾年將非常重要的眾多例子之一。它需要成為互聯(lián)設(shè)備制造商的頭等大事。

這些設(shè)備中的大多數(shù)都運(yùn)行Linux，這是世界上最受歡迎的運(yùn)行嵌入式設(shè)備的操作系統(tǒng)。在本文中，我們將探討在保護(hù) Linux 連接設(shè)備時(shí)需要考慮的幾種技術(shù)。

在我們進(jìn)入具體細(xì)節(jié)之前，重要的是要深入了解安全風(fēng)險(xiǎn)，確定與此類業(yè)務(wù)攻擊相關(guān)的潛在成本，并最終學(xué)習(xí)如何設(shè)計(jì)軟件并適當(dāng)?shù)亟⒅悄馨踩呗浴?yīng)該說，額外的安全性確實(shí)是有代價(jià)的，通常是在性能損失，功能受限和額外開發(fā)成本方面。

為了說明這些注意事項(xiàng)，我希望您考慮在筆記本電腦或工作站上運(yùn)行增強(qiáng)的安全軟件的體驗(yàn)。我說的是防病毒軟件，驅(qū)動(dòng)器或文件系統(tǒng)加密以及訪問控制軟件。我們大多數(shù)人都欣賞這些程序提供的額外安全性。但是，我可能偏離了基礎(chǔ)，我猜大多數(shù)讀者有時(shí)會(huì)禁用部分或全部這些功能，特別是如果您是開發(fā)人員并且正在嘗試運(yùn)行一些CPU密集型任務(wù)，安裝可能未被IT“批準(zhǔn)”的軟件工具或?qū)嵱贸绦?，甚至運(yùn)行執(zhí)行大量文件系統(tǒng)訪問的程序，例如從源代碼構(gòu)建Linux發(fā)行版。

保護(hù)連接的 Linux 設(shè)備

在這里，我將分享一些簡單的方法，您可以使您的嵌入式Linux產(chǎn)品更安全地抵御某些類型的威脅，而無需安裝太多額外的軟件或?qū)Ｓ校ㄉ虡I(yè)）軟件。

禁用并刪除（或不安裝）不必要的服務(wù)

Linux的一個(gè)很好的方面是，在開發(fā)過程中利用網(wǎng)絡(luò)服務(wù)來調(diào)試和部署應(yīng)用程序是多么容易。這些服務(wù)（TFTP、SFTP、SSH、NTP、gdb 服務(wù)器等）也是攻擊者目標(biāo)最豐富的一些入口點(diǎn)。在生產(chǎn)期間，您應(yīng)該只在 Linux 平臺(tái)中實(shí)現(xiàn)特定所需的服務(wù)，并使用端口掃描程序（如 nmap）來檢查打開的端口（例如，偵聽服務(wù)）。

使用防火墻

防火墻的基本原因是在內(nèi)部和外部網(wǎng)絡(luò)之間提供屏障。這是網(wǎng)關(guān)或路由器的關(guān)鍵功能，因?yàn)閮?nèi)部網(wǎng)絡(luò)被認(rèn)為是開放和受信任的。有許多適用于 Linux 的可用防火墻解決方案。其中包括 iptables/網(wǎng)絡(luò)過濾器、肖爾沃爾和 UFW（簡單的防火墻）。有不同級別的功能、易用性和可配置性［5］［6］［7］。

格拉森

Grsecurity 是 Linux 內(nèi)核源代碼的一組補(bǔ)丁，可提供增強(qiáng)的安全性。它為內(nèi)核提供了基于角色的訪問控制 （RBAC） 系統(tǒng)，以便進(jìn)程（和用戶）只能訪問最少數(shù)量的文件，僅此而已。此外，它還提供了一個(gè)捆綁的補(bǔ)丁，其中包含一個(gè)名為PaX的不同名稱。PaX提供其他安全功能，可以通過創(chuàng)建執(zhí)行空間保護(hù)來消除某些其他類型的攻擊，例如緩沖區(qū)溢出。它還可以解決進(jìn)程的空間布局隨機(jī)化問題，以擊敗依賴于了解任務(wù)的默認(rèn)虛擬內(nèi)存組織（緩沖區(qū)溢出和其他攻擊）的攻擊［8］。

斷續(xù)器

RBAC 的目標(biāo)是最大程度地減少用戶或進(jìn)程對系統(tǒng)其余部分的特權(quán)。例如，許多基于Linux的互聯(lián)網(wǎng)連接系統(tǒng)可以實(shí)現(xiàn)許多因特網(wǎng)服務(wù)，包括Web服務(wù)器，以及安全外殼（SSH）服務(wù)器。這些提供了對設(shè)備的不同級別的訪問，允許用戶使用漂亮的用戶界面（通過Web服務(wù)器）進(jìn)行簡單的配置更改或使用SSH進(jìn)行更精細(xì)的更改。RBAC 可以根據(jù)用戶的特定角色限制用戶訪問的沙盒，以讀取、寫入和執(zhí)行。這類似于基于 Linux/Unix 組限制對文件的訪問，其中 RBAC 中的角色類似于組。

RBAC 實(shí)際上如何幫助保護(hù)你的設(shè)備？對于初學(xué)者，您可以設(shè)置一個(gè)策略來限制所有用戶（甚至包括 root 用戶）對特定文件和系統(tǒng)服務(wù)的訪問。如果使用不同的漏洞來獲取 root 用戶，則攻擊者可能無法獲得成為 root 用戶時(shí)通常期望的對系統(tǒng)的完全訪問權(quán)限。

乘客功能

PaX（安全性的一部分）有助于抵御緩沖區(qū)溢出攻擊。緩沖區(qū)溢出是指攻擊者將數(shù)據(jù)注入進(jìn)程的堆棧，允許他們更改程序流并執(zhí)行惡意代碼。

許多現(xiàn)代處理器架構(gòu)實(shí)現(xiàn)了一個(gè)位 （NX），它將內(nèi)存部分標(biāo)記為可執(zhí)行文件。PaX 用于關(guān)閉對所有數(shù)據(jù)部分的執(zhí)行權(quán)限，并可以禁用對內(nèi)存中所有可執(zhí)行部分的寫入權(quán)限。這樣，即使攻擊者能夠?qū)崿F(xiàn)緩沖區(qū)溢出，也可以阻止他們將代碼加載到指定的可執(zhí)行內(nèi)存中。

此外，PaX 還會(huì)在加載進(jìn)程時(shí)隨機(jī)化它們的地址空間。大多數(shù)進(jìn)程將加載到虛擬內(nèi)存的特定區(qū)域，加載庫，并將堆棧放置在已知的內(nèi)存位置（映射）中。這使得攻擊者很容易運(yùn)行緩沖區(qū)溢出，因?yàn)槎褩Ｎ挥谕晃恢谩Ｍㄟ^隨機(jī)化堆棧位置，除了內(nèi)存的其他部分之外，它確實(shí)使運(yùn)行緩沖區(qū)溢出變得困難，因?yàn)椋ˋ）攻擊者必須猜測堆棧的位置，或者（B）攻擊者可能會(huì)覆蓋一段可執(zhí)行代碼并使進(jìn)程本身崩潰。

實(shí)施和配置

grsecurity的大多數(shù)功能不需要額外的配置，這對于其他Linux安全增強(qiáng)功能（例如SELinux）來說是不能說的。

通過下載內(nèi)核版本的修補(bǔ)程序，然后使用修補(bǔ)程序?qū)嵱贸绦驅(qū)⑿扪a(bǔ)程序更改應(yīng)用于內(nèi)核源代碼樹，可以實(shí)現(xiàn) grsecurity。在編譯內(nèi)核之前，您需要配置構(gòu)建選項(xiàng)以實(shí)現(xiàn) gr 安全性。有很多選項(xiàng)，但您可能希望首先將GRKERNSEC_CONFIG_AUTO設(shè)置為 Y。這將提供為內(nèi)核配置 grsecurity 的最簡單方法，并且可能是開發(fā)的良好基準(zhǔn)。

將其包起來（安全，連接時(shí)）

對于物聯(lián)網(wǎng)產(chǎn)品，在設(shè)計(jì)之初就將安全性構(gòu)建到產(chǎn)品中是絕對必要的。如果您不這樣做，您將使業(yè)務(wù)的關(guān)鍵部分受到攻擊。就是這么簡單。您構(gòu)建的安全級別需要與給定受感染設(shè)備相關(guān)的風(fēng)險(xiǎn)相匹配。但是，請記住，您可以做一些相當(dāng)簡單的事情來大大提高保護(hù)級別。

審核編輯：郭婷