光“大”不足以成為BAT，想要成為BAT必須身處戰(zhàn)略要道。除了時(shí)下火熱的人工智能、共享經(jīng)濟(jì)、XaaS，還有一個(gè)老生常談、又常談常新的領(lǐng)域，在不知不覺(jué)中已經(jīng)發(fā)生了質(zhì)變，它就是正在從“科技”走向“文化”的物聯(lián)網(wǎng)安全。
 

　　一如19世紀(jì)末，被經(jīng)典物理體系認(rèn)為是“大廈已經(jīng)建成，只剩修修補(bǔ)補(bǔ)”的兩朵烏云，終推開(kāi)了量子力學(xué)的全新大門(mén)。如今，在大多數(shù)公司熟視無(wú)睹或束手無(wú)策、在巨頭們視之為配角、處于但內(nèi)涵已經(jīng)被重新定義的物聯(lián)網(wǎng)安全領(lǐng)域，正在醞釀著新生的BAT。
 

　　永遠(yuǎn)不要覺(jué)得物聯(lián)網(wǎng)安全事件離你很遠(yuǎn)，如果你自認(rèn)為有足夠的能力和免疫力應(yīng)對(duì)各種安全漏洞，呵呵，“萬(wàn)物病毒”算是找對(duì)人了。
 

　　物聯(lián)網(wǎng)安全已經(jīng)遠(yuǎn)遠(yuǎn)超出了互聯(lián)網(wǎng)安全的范疇，重要的事情說(shuō)三遍，物聯(lián)網(wǎng)安全不是涼菜，不是咸菜，不是配菜，它是主菜中的硬菜。
 

　　人工智能掀起第三次世界大戰(zhàn)？先過(guò)了物聯(lián)網(wǎng)安全這關(guān)再說(shuō)
 

　　腦部神經(jīng)元樹(shù)突跌宕起伏(“說(shuō)人話！”“哦，腦洞大開(kāi)”)的特斯拉CEO馬斯克一直致力于揭穿AI崛起的“陰謀”，本周再放絕句：人工智能可能引發(fā)第三次世界大戰(zhàn)。馬斯克的這個(gè)警告與俄羅斯總統(tǒng)普京在上個(gè)周五發(fā)表的人工智能觀點(diǎn)遙相呼應(yīng)。普京說(shuō)，誰(shuí)能成為人工智能領(lǐng)域的，世界格局就可能被誰(shuí)重塑。
 

 

　　馬斯克認(rèn)為目前各國(guó)對(duì)人工智能統(tǒng)治權(quán)的爭(zhēng)奪可能引發(fā)第三次世界大戰(zhàn)，而人工智能時(shí)代的戰(zhàn)爭(zhēng)并不是由某國(guó)領(lǐng)導(dǎo)人發(fā)起的，一切都將實(shí)現(xiàn)自動(dòng)化。人工智能會(huì)自動(dòng)規(guī)劃戰(zhàn)略，自動(dòng)部署戰(zhàn)術(shù)，找出獲勝幾率高的戰(zhàn)法。
 

　　說(shuō)話之時(shí)，也許馬斯克忘了，早在2014年，特斯拉電動(dòng)汽車被攻破之后，已經(jīng)屢屢用親身實(shí)踐證明，黑客可以遠(yuǎn)程控制汽車，輕而易舉的完成開(kāi)鎖、鳴笛等操作。
 

　　現(xiàn)實(shí)情況是，比“萬(wàn)物互聯(lián)”更先到來(lái)的是“萬(wàn)物皆危”，如果說(shuō)，擔(dān)心第三次世界大戰(zhàn)“人工智能”上場(chǎng)是杞人憂天，那么密集的物聯(lián)網(wǎng)漏洞和活生生的病毒卻已日漸白熾化了。
 

　　近由丹麥技術(shù)大學(xué)、厄勒布魯大學(xué)、俄羅斯因諾波利斯大學(xué)等機(jī)構(gòu)聯(lián)合完成的研究“The Internet of Hackable Things”(本宮譯作“萬(wàn)物互危”)，量化了物聯(lián)網(wǎng)設(shè)備的風(fēng)險(xiǎn)：
 

 

　　各國(guó)政府都已經(jīng)意識(shí)到了物聯(lián)網(wǎng)安全是致命短板，紛紛出臺(tái)相關(guān)的法案。本周一，美國(guó)國(guó)會(huì)通過(guò)了一項(xiàng)法案，目的是要求向美國(guó)政府出售的物聯(lián)網(wǎng)設(shè)備必須滿足某些安全標(biāo)準(zhǔn)。在此之前，美國(guó)國(guó)土安全部(DHS)已經(jīng)發(fā)布了《物聯(lián)網(wǎng)安全指導(dǎo)原則》。歐盟委員會(huì)也正在起草新的網(wǎng)絡(luò)安全標(biāo)準(zhǔn)，主要針對(duì)物聯(lián)網(wǎng)設(shè)備劃分網(wǎng)絡(luò)安全等級(jí)。
 

　　在接受采訪時(shí)，美國(guó)政府官員憂心忡忡的說(shuō)：“或許在未來(lái)的幾年里很快就會(huì)誕生大約200億的物聯(lián)網(wǎng)設(shè)備，聯(lián)邦政府使用了其中的數(shù)百萬(wàn)套。更要命的是幾乎所有設(shè)備都采用硬密碼而且無(wú)法在線升級(jí)，很顯然我們會(huì)遇到巨大的麻煩。”
 

　　物聯(lián)網(wǎng)安全已經(jīng)上升到了國(guó)家戰(zhàn)略的高度，可見(jiàn)“萬(wàn)物皆危”的殺傷力和攻擊力有多恐怖。
 

　　無(wú)疑，物聯(lián)網(wǎng)正在驅(qū)動(dòng)新一輪的行業(yè)變革，但是在很多行業(yè)中，安全需求不同，各行業(yè)安全方案既不全面也不成熟，在安全風(fēng)險(xiǎn)評(píng)估及應(yīng)對(duì)方面并沒(méi)有明確的思路，換言之，當(dāng)下物聯(lián)網(wǎng)公司的安全現(xiàn)狀就是一盤(pán)散沙，孱弱地不堪一擊。
 

　　從當(dāng)前標(biāo)準(zhǔn)和聯(lián)盟組織的進(jìn)展來(lái)看，物聯(lián)網(wǎng)安全尚處于起步階段，以指南和框架為主，能夠用于指導(dǎo)產(chǎn)業(yè)落地的具體技術(shù)標(biāo)準(zhǔn)非常缺乏。整個(gè)產(chǎn)業(yè)急需標(biāo)準(zhǔn)和聯(lián)盟組織加大相關(guān)安全標(biāo)準(zhǔn)的投入，以加快安全標(biāo)準(zhǔn)的輸出，促使物聯(lián)網(wǎng)產(chǎn)業(yè)的健康、快速發(fā)展。
 

 

　　互聯(lián)網(wǎng)安全一心“謀財(cái)”，物聯(lián)網(wǎng)安全直接“害命”
 

　　物聯(lián)網(wǎng)與互聯(lián)網(wǎng)的本質(zhì)區(qū)別在于，物聯(lián)網(wǎng)是一個(gè)自我運(yùn)轉(zhuǎn)的生態(tài)系統(tǒng)，物聯(lián)網(wǎng)中的“物物”更逼近生物屬性。創(chuàng)造物聯(lián)網(wǎng)安全市場(chǎng)的“工匠”只有一個(gè)：人性的惡。人性中的“惡”有多大，物聯(lián)網(wǎng)安全市場(chǎng)的規(guī)模就有多大。雖然IDC、Gartner、麥肯錫、CB Insights等機(jī)構(gòu)紛紛發(fā)布物聯(lián)網(wǎng)安全市場(chǎng)規(guī)模的研究報(bào)告，但是參考意義不大，因?yàn)槿诵灾械膼阂呀?jīng)超出了科學(xué)所能統(tǒng)計(jì)和預(yù)測(cè)的范疇，物聯(lián)網(wǎng)安全除了技術(shù)，還有藝術(shù)和文化。
 

　　物聯(lián)網(wǎng)安全和互聯(lián)網(wǎng)安全絕非一個(gè)量級(jí)，完全沒(méi)有可比性。Mirai、Hajime、BrickerBot、WannaCry、“永恒之藍(lán)”等病毒動(dòng)不動(dòng)就在幾十分鐘攻克數(shù)以萬(wàn)計(jì)的設(shè)備，這樣的報(bào)道估計(jì)你已經(jīng)聽(tīng)膩了，這里再來(lái)兩個(gè)奇葩的給你換換口味。
 

　　一名黑客近通過(guò)魚(yú)缸入侵了一家賭場(chǎng)。這個(gè)倒霉的賭場(chǎng)剛好用智能魚(yú)缸養(yǎng)魚(yú)，因?yàn)樗梢宰詣?dòng)配置水溫和清潔度。黑客通過(guò)入侵魚(yú)缸的傳感器，進(jìn)而控制了計(jì)算機(jī)，然后進(jìn)行掃描，發(fā)現(xiàn)漏洞后進(jìn)入了賭場(chǎng)網(wǎng)絡(luò)中的其它部分。該黑客成功的在被發(fā)現(xiàn)并制止之前，利用魚(yú)缸把賭場(chǎng)10GB數(shù)據(jù)傳回位于芬蘭的一臺(tái)設(shè)備上。
 

　　OfO小黃車的新款智能鎖被兩個(gè)黑客輕松破解。原來(lái)這種鎖一般人拆解不了，因?yàn)樾酒貏e小，黑客們用特殊工具把里面的關(guān)鍵芯片取了出來(lái)，花了一個(gè)星期進(jìn)行“反向設(shè)計(jì)”。他們分析出了加密方式，可以在用戶關(guān)鎖時(shí)，在鎖和云端的通訊過(guò)程中，成功劫取通訊信號(hào)。他們還可以做到將獲得密碼的機(jī)制修改成“不認(rèn)識(shí)”云端發(fā)送的正確密碼，但其他任意密碼都可打開(kāi)車鎖。這意味著，“遵紀(jì)守法”的用戶開(kāi)不了鎖，其他別有用心的用戶反倒分分鐘開(kāi)鎖。
 

 

　　除了消費(fèi)產(chǎn)品領(lǐng)域，醫(yī)院、加油站、工廠、市政設(shè)施等聯(lián)網(wǎng)設(shè)備，更是物聯(lián)網(wǎng)安全的重災(zāi)區(qū)。設(shè)備遭受攻擊的風(fēng)險(xiǎn)越來(lái)越高，工業(yè)物聯(lián)網(wǎng)領(lǐng)域也難以幸免。
 

 

　　如你所見(jiàn)，工業(yè)物聯(lián)網(wǎng)領(lǐng)域并不是，安全漏洞更是數(shù)不勝數(shù)。截至2016年12月，據(jù)國(guó)家信息安全漏洞共享平臺(tái)(CNVD)、美國(guó)CVE、ICS-CERT、NVD等機(jī)構(gòu)發(fā)布的漏洞數(shù)據(jù)，與工業(yè)控制系統(tǒng)相關(guān)的漏洞達(dá)到984個(gè)。
 

 

　　工業(yè)物聯(lián)網(wǎng)相關(guān)漏洞涉及到的廠商分布廣泛，國(guó)內(nèi)有三維天地、南京舜唐、騰控、北京杰控、三維力控等，國(guó)外有西門(mén)子、霍尼韋爾、施耐德等。在各廠商漏洞中，影響程度嚴(yán)重的高危漏洞占比較高。這些高危漏洞可導(dǎo)致設(shè)備拒絕服務(wù)、遠(yuǎn)程代碼執(zhí)行等，一旦被利用可直接導(dǎo)致工控設(shè)備非正常停機(jī)，進(jìn)而引發(fā)生產(chǎn)事故。
 

 

　　就具體應(yīng)用領(lǐng)域而言，安防監(jiān)控是工業(yè)互聯(lián)網(wǎng)的典型應(yīng)用之一。據(jù)CVE、CNVD和CNNVD等漏洞庫(kù)的數(shù)據(jù)統(tǒng)計(jì)，他們?cè)诔^(guò)33個(gè)廠商的網(wǎng)絡(luò)攝像頭和DVR設(shè)備中累計(jì)發(fā)現(xiàn)了大約61個(gè)安防監(jiān)控設(shè)備漏洞。安防監(jiān)控設(shè)備的漏洞主要集中于海康威視、大華、宇視、TP-Link、D-link、Airlive、Cisco等廠商。
 

 

　　安防監(jiān)控設(shè)備的漏洞的類型多樣，漏洞類型主要集中在弱口令、信息泄露漏洞、權(quán)限許可和訪問(wèn)控制、跨站請(qǐng)求偽造漏洞等。其中弱口令占所有漏洞中的34.40%，占比高，而弱口令漏洞也是以Mirai為代表的物聯(lián)網(wǎng)蠕蟲(chóng)可以大范圍感染物聯(lián)網(wǎng)設(shè)備的主因。
 

 

　　物聯(lián)網(wǎng)安全是一個(gè)復(fù)雜度極高的領(lǐng)域，除了針對(duì)電腦和手機(jī)的攻擊之外，各種具備“智商”的設(shè)備都變成了病毒肆虐的對(duì)象，而且這些物體對(duì)個(gè)人生活和企業(yè)運(yùn)營(yíng)的影響為直接。不受控制的水管、毫無(wú)響應(yīng)的發(fā)電廠、橫沖直撞的汽車、驟起驟停的心臟智能起搏器…不管你承認(rèn)與否，不管你是物聯(lián)網(wǎng)從業(yè)者還是普通消費(fèi)者，還是做好這輩子至少會(huì)遇到一次物聯(lián)網(wǎng)安全事件的心理準(zhǔn)備。