黑客
就像硬幣的兩面，物聯(lián)網(wǎng)智能家居和黑客攻擊正在經(jīng)歷一場(chǎng)此消彼長(zhǎng)的漫長(zhǎng)博弈。
有這樣一個(gè)真實(shí)的場(chǎng)景，一名消費(fèi)者走進(jìn)一家咖啡館，連接店內(nèi)WiFi收發(fā)郵件、登錄網(wǎng)銀，結(jié)果店內(nèi)的無線路由器已經(jīng)被黑客挾持，消費(fèi)者的郵箱和網(wǎng)銀密碼被獲取，完全暴露在黑客面前。
全球黑客大賽GeekPwn創(chuàng)始人、上海白帽黑客團(tuán)隊(duì)碁震Keen公司CEO王琦對(duì)《第一財(cái)經(jīng)日?qǐng)?bào)》記者說，國(guó)內(nèi)互聯(lián)網(wǎng)廠商在產(chǎn)品上存在各種系統(tǒng)漏洞，讓資金和隱私存在風(fēng)險(xiǎn)，黑客大賽的目的不是一味去發(fā)現(xiàn)各種漏洞，而是幫助廠商完善自身產(chǎn)品的安全性。
路由器漏洞下的風(fēng)險(xiǎn)
19日下午，一名白帽黑客向本報(bào)記者演示了通過路由器獲取用戶網(wǎng)上銀行密碼的全過程。咖啡館內(nèi)WiFi路由器因?yàn)樽陨砺┒幢缓诳屯ㄟ^DNS解析而劫持，消費(fèi)者從搜索網(wǎng)站進(jìn)入網(wǎng)銀時(shí)，實(shí)際上跳轉(zhuǎn)登錄的是由黑客做的假銀行鏡像網(wǎng)站，但其域名和頁(yè)面與真銀行網(wǎng)站一模一樣。消費(fèi)者在輸入網(wǎng)名、賬號(hào)密碼時(shí)，實(shí)際上是直接明文發(fā)給了黑客。
在這個(gè)過程中，消費(fèi)者在操作上并沒有犯任何錯(cuò)，咖啡館并不知道自己的路由器已被黑客劫持，主要責(zé)任被指向了路由器廠商，產(chǎn)品本身的安全漏洞讓黑客輕易攻破。王琦說，他們的團(tuán)隊(duì)曾列出市面上常見的路由器產(chǎn)品，作為黑客比賽的題目，結(jié)果無一例外均被選手攻破。
眼下，從智能門鈴到智能空調(diào)，智能電器正在占領(lǐng)消費(fèi)者的客廳和臥室，這些設(shè)備無非是通過WiFi(或藍(lán)牙)聯(lián)網(wǎng)，家里的無線路由器相當(dāng)于各種智能電器的總網(wǎng)關(guān)，一旦因漏洞被黑客劫持，就等于這些設(shè)備均已在黑客的控制中。
黑客攻擊WiFi或無線路由器的能力有多強(qiáng)?一名白帽黑客大咖向《第一財(cái)經(jīng)日?qǐng)?bào)》記者講了一個(gè)親歷的故事。他之前去新加坡參加一個(gè)黑客大會(huì)，在黑客云集的會(huì)場(chǎng)內(nèi)，他只是打開了手機(jī)的WiFi功能，并未連接任何一個(gè)WiFi，但他突然發(fā)現(xiàn)手機(jī)自動(dòng)連接他在上海的辦公室WiFi。他趕緊關(guān)機(jī)，回到酒店后把自己所有密碼改了一遍。
“用戶能做的是盡量使用復(fù)雜密碼，將不同領(lǐng)域的密碼分開設(shè)置，如果一定要連公共場(chǎng)所的WiFi，不要登錄網(wǎng)銀，甚至連郵件也別收發(fā)，就用3G或4G網(wǎng)絡(luò)。”王琦對(duì)此建議。
攻防戰(zhàn)
在微軟安全響應(yīng)部門(SRC)工作了7年后，技術(shù)出身的王琦創(chuàng)業(yè)開辦了黑客大賽GeekPwn，他的初衷是希望通過選手的模擬攻擊，找出漏洞，幫助廠商提高互聯(lián)網(wǎng)產(chǎn)品的安全性。“微軟Windows的安全性已經(jīng)很強(qiáng)了，但還是不斷有各種補(bǔ)丁推出，國(guó)內(nèi)這些創(chuàng)業(yè)公司生產(chǎn)的軟硬件設(shè)備，安全漏洞可想而知。”他說。
舉例來說，現(xiàn)在支付用的POS機(jī)越來越智能，以前能連接PC，現(xiàn)在可以連接手機(jī)，但有黑客就能利用POS機(jī)的漏洞進(jìn)行重放攻擊，即重放前一個(gè)消費(fèi)者的刷卡動(dòng)作，等于刷自己的卡花別人的錢。金錢和隱私，永遠(yuǎn)是用戶最敏感的那根神經(jīng)。
好在，微軟安全響應(yīng)部門所做的事情正在得到越來越多廠商的重視。像阿里的“神盾局”、攜程、京東等，都在做信息安全防范工作。但后臺(tái)系統(tǒng)漏洞被第三方監(jiān)控機(jī)構(gòu)識(shí)別，用戶密碼被集體泄露等事件仍不絕于耳。
一位信息安全人士對(duì)《第一財(cái)經(jīng)日?qǐng)?bào)》記者說，互聯(lián)網(wǎng)公司之間的口水戰(zhàn)很常見，公關(guān)層面的對(duì)決只是明面上的交鋒，暗地里雇用黑客攻擊對(duì)手的后果會(huì)更嚴(yán)重，比如一些O2O項(xiàng)目，黑客可以用一分鐘下一個(gè)美甲的訂單，或者同時(shí)叫到1000輛專車，“抓住漏洞控制了系統(tǒng)，想做什么攻擊都很容易了”。目前，已發(fā)生過因黑客攻擊讓上市公司市值瞬間蒸發(fā)將近一半的案例。
像GeekPwn、Pwn2Own、DefConCTF這些黑客大賽的價(jià)值越來越體現(xiàn)出社會(huì)普適性，在GeekPwn舉辦的前兩年，曾有選手利用黑客技術(shù)控制了特斯拉汽車、無人機(jī)等設(shè)備，令現(xiàn)場(chǎng)嘩然。但這些是小眾領(lǐng)域，而公共WiFi、移動(dòng)支付、O2O、智能家居等是應(yīng)用范圍更廣的領(lǐng)域，參賽選手努力找出這些領(lǐng)域中存在的漏洞，并利用黑客技術(shù)設(shè)法控制它。去年10月份舉辦的第二屆GeekPwn大賽，有選手憑借攻破https加密拿走了一筆42萬元獎(jiǎng)金。
讓大賽主辦方感到可惜的是，去年由于簽證問題，很多國(guó)際上非常牛的白帽黑客(比如一位韓國(guó)軍方培養(yǎng)的年輕黑客)報(bào)名后沒能來到上海參賽。今年的比賽增加了一場(chǎng)5月澳門賽。今年會(huì)圍繞智能手機(jī)、智能交通、智能穿戴、智能家居等領(lǐng)域進(jìn)行黑客攻破。
王琦對(duì)本報(bào)記者說，本來一開始是想辦一個(gè)極端高大上的黑客比賽，推崇技術(shù)難度，但國(guó)內(nèi)的安全現(xiàn)狀觸目驚心，有些廠商的安全漏洞很低級(jí)，太容易被利用了，國(guó)內(nèi)的信息安全環(huán)境有待提升。
