一般認(rèn)為家庭網(wǎng)絡(luò)沒有任何值得黑客攻擊的目標(biāo)，但2016年發(fā)生的Mirai僵尸病毒攻擊事件，大大地改變了所有人對智慧居家的安全認(rèn)知。

以Mirai為例，病毒通過不斷掃描家用物聯(lián)網(wǎng)設(shè)備，例如無線路由器或攝像機(jī)等，第一代病毒只是利用連網(wǎng)設(shè)備默認(rèn)的賬號密碼嘗試登錄，就可順利地感染了數(shù)以百萬計的家用設(shè)備，并且利用這些被感染的設(shè)備，成功對電信運(yùn)營商發(fā)起大型分布式阻斷服務(wù)攻擊（DDoS攻擊）。過去的DDoS攻擊，通常黑客只能使用數(shù)千至數(shù)萬臺僵尸服務(wù)器來攻擊，只要運(yùn)營商逐一將IP隔離，便可順利阻擋;但Mirai卻可輕易地發(fā)動數(shù)百萬臺設(shè)備，發(fā)起超過1TB流量的攻擊，以致許多運(yùn)營商束手無策。

有鑒于此，各國開始重視物聯(lián)網(wǎng)設(shè)備的安全，從美國前總統(tǒng)奧巴馬提出的「國家網(wǎng)絡(luò)安全行動計劃（Cybersecurity National Action Plan）」，所衍生出的UL2900安全標(biāo)準(zhǔn)，到OWASP的IoT安全十大漏洞，而***工業(yè)局跟資策會匯集產(chǎn)業(yè)界意見后推出的《視頻監(jiān)控系統(tǒng)網(wǎng)絡(luò)攝像機(jī)網(wǎng)絡(luò)安全標(biāo)準(zhǔn)》也在今年正式上路。另一方面，網(wǎng)絡(luò)攝像機(jī)被植入后門以及家用路由器中毒等安全事件層出不窮，智慧居家安全逐漸上升為國土安全議題，如2017年初D-Link跟華碩的路由器便曾遭美國聯(lián)邦貿(mào)易委員會（FTC）控告，后來雖達(dá)成和解，但美政府重視智慧居家安全的程度可見一斑。

IoT設(shè)備將成黑客主要攻擊目標(biāo)

連網(wǎng)設(shè)備使威脅無所不在，為何黑客開始以IoT設(shè)備作為目標(biāo)呢？原因有以下幾點(diǎn)：

1

同構(gòu)型設(shè)備數(shù)量眾多，且遍布全球，例如：一旦破解某品牌攝像機(jī)，其他攝像機(jī)駭入方法大同小異，可快速擴(kuò)散病毒。

2

IoT設(shè)備永遠(yuǎn)連網(wǎng)，所以易攻擊，也是擔(dān)任跳板的絕佳目標(biāo)。

3

IoT設(shè)備運(yùn)算資源少，因此無法安裝傳統(tǒng)防毒或安全防護(hù)軟件。

4

IoT設(shè)備大多沒有自動更新軟件的功能，舊款軟件上的漏洞容易被滲透。

5

多數(shù)IoT設(shè)備支持云端及App聯(lián)機(jī)，造成黑客更易從App去逆向破解或云端滲透。

讀者接下來可能要問，為什么這么多網(wǎng)絡(luò)安全公司，卻無法提供適當(dāng)?shù)陌踩雷o(hù)呢？事實(shí)上，目前絕大多數(shù)的網(wǎng)絡(luò)安全防護(hù)技術(shù)，仍建立在非常古老的特征碼掃瞄基礎(chǔ)下，原理是將已捕捉到的病毒樣本行為特征萃取出來成為病毒數(shù)據(jù)庫，再比對進(jìn)來的網(wǎng)絡(luò)流量及封包。舉例來說，就像是進(jìn)出機(jī)場海關(guān)時，海關(guān)人員比對通緝犯照片，如果長相跟通緝犯神似，就會被攔下;但若尚未被登錄在通緝犯名單中，或是經(jīng)過整形易容，便可以順利通關(guān)。

特征碼掃描也遇到相同的問題，以現(xiàn)今病毒攻擊手法變化及散播之快，防毒公司往往來不及公布新的病毒特征，或者病毒特征不斷變形，還未拿到病毒樣本就已掃遍全球，此即為零時差攻擊。再加上物聯(lián)網(wǎng)裝置里面的CPU及內(nèi)存為了節(jié)省成本，大多配備僅足夠應(yīng)付設(shè)備使用的最低硬件規(guī)格，難以再容納一個龐大的安全防護(hù)軟件嵌入，更遑論有儲存龐大病毒數(shù)據(jù)庫的空間。雖然目前有安全廠商宣稱采用云端病毒數(shù)據(jù)庫，掃描引擎只需送上云端比對即可，但這種做法一方面增加了流量的延遲時間，再來增加使用者對自身隱私是否也被上傳云端的疑慮，且仍然無法解決零時差攻擊的問題。

智慧居家的安全防護(hù)建議

究竟黑客是如何駭入這些成千上萬的設(shè)備？通常他們會采購一些目標(biāo)設(shè)備來測試漏洞，這些設(shè)備大多為保護(hù)機(jī)制較弱且有開放外網(wǎng)連入，例如路由器或是網(wǎng)絡(luò)攝像機(jī)。一旦找到攻擊方法，幾乎同類型又保護(hù)不全的設(shè)備皆會列入攻擊名單中，黑客即可開發(fā)出可自動掃描此類IoT裝置的爬蟲程序，然后在網(wǎng)絡(luò)上四處掃描該裝置的外網(wǎng)漏洞;如果順利入侵家中路由器或攝像機(jī)，這些程序則會再透過內(nèi)網(wǎng)掃描來入侵其他設(shè)備，簡直防不勝防。

針對智能居家使用者的自我防護(hù)，筆者建議如下：

1

盡量使用歐美品牌或***品牌有外銷美國實(shí)績，有經(jīng)過認(rèn)證更佳，通常這些廠商不會建置后門，而且對于出現(xiàn)新的安全漏洞時，也較快釋出更新的軟件或韌體。

2

更改家中所有設(shè)備的默認(rèn)密碼成為強(qiáng)密碼，如能定期更新密碼會更加安全。

3

定期更新軟件。

4

家中筆記本電腦及手機(jī)應(yīng)盡量安裝封閉式的操作系統(tǒng)，避免使用開放系統(tǒng)。

5

務(wù)必將不必要的云服務(wù)以及在外遠(yuǎn)程透過App連回家中設(shè)備的服務(wù)關(guān)閉，因?yàn)檫@些服務(wù)極可能成為黑客程序滲透的漏洞。

6

勿隨便開啟及回復(fù)不明電子郵件，尤其要確認(rèn)寄件人的郵件地址，因寄件人名稱可以被偽冒，一定要在寄件人字段上按鼠標(biāo)右鍵確認(rèn)寄件人地址，筆者就常收到偽裝成微軟或蘋果公司寄來，要求輸入密碼確認(rèn)的釣魚郵件。

除把握上述要點(diǎn)之外，現(xiàn)在也有許多新創(chuàng)網(wǎng)絡(luò)公司在研究新的物聯(lián)網(wǎng)防護(hù)技術(shù)。以美國新創(chuàng)公司Forceshield發(fā)明的「動態(tài)變形網(wǎng)頁（Dynamic Transformation）」技術(shù)為例，當(dāng)使用者用瀏覽器瀏覽經(jīng)由Forceshield網(wǎng)關(guān)軟件保護(hù)的網(wǎng)頁，所看到的網(wǎng)頁原始頁為亂碼，而且每次皆不同 （如圖一），因此將它利用在物聯(lián)網(wǎng)設(shè)備的管理頁面時，黑客的病毒程序無法讀懂網(wǎng)頁原始碼內(nèi)容（如圖二），只能放棄攻擊。此種技術(shù)不但輕薄短?。?小于2MB），可輕松嵌入IoT設(shè)備、不須更新特征碼，相同技術(shù)可運(yùn)用在App及云端運(yùn)用上，能擋住大多數(shù)僵尸病毒的自動化攻擊，已獲得許多大型網(wǎng)站及IoT設(shè)備使用。

隨著IoT裝置持續(xù)增加，強(qiáng)化智能裝置的連網(wǎng)安全已經(jīng)刻不容緩，期望未來有愈來愈多的新創(chuàng)公司投入IoT安全防護(hù)，以滿足用戶安心使用智能居家設(shè)備的需求。