專訪趨勢科技資深協理張裕敏:萬物皆可駭的時代,想要自保必學這三招

專訪趨勢科技資深協理張裕敏:萬物皆可駭的時代,想要自保必學這三招
Photo Credit:楊士範
我們想讓你知道的是

物聯網時代來臨,智慧家電讓你的生活更方便,但,你知道該如何保護自己不受駭客攻擊嗎?

唸給你聽
powered by Cyberon

訪問/編輯:楊士範 逐字稿整理:李作珩

近年來物聯網被視為科技界下一件大事,但全球資訊安全專家馬克・古德曼在所寫的《未來的犯罪》一書中提到,到了2020年可能會有500億個物品會加入全球資訊網格,並且指出物聯網將來必然成為「被駭的物聯網」。

針對物聯網和其他新型態的科技威脅和風險,我們專訪了趨勢科技全球核心技術部資深協理張裕敏,請他說明了目前有哪些常見或可能的新型態科技威脅,以及一般使用者該如何自保。底下是專訪的問答內容。

Photo Credit:楊士範

照片上面這這東西叫做Tennsy,那基本上是一個套件,原理是透過USB把我們以前接觸不到的韌體部分,變成你隨時可以去寫東西進去。例如說我這邊寫好是設定Windows,那把這個USB插進Windows電腦,惡意程式就全部跑進去了,而且你的電腦沒辦法防堵他,因為電腦會把它當作是鍵盤或滑鼠。那如果這邊寫的是Mac,你的Mac就會中獎,除非你電腦可以先檢查這個硬體他是不是真的鍵盤滑鼠,但是大部分的程式是不會去檢查的。

那要怎麼辦呢?

這個東西很麻煩,我們會建議說第一個你的USB孔要做防範。現在網路上很多有在賣安全套件,也是一個USB裝置,但他本身會把有問題的控制命令都阻擋掉,等於是一個保護套,任何USB裝置先接保護套再插進裝置就不會中獎。這種東西(Tennsy)已經很常見,我們也都一直在講,但是很多人還是不相信。我們一直在呼籲說,如果沒有把握千萬不要讓人把USB裝置插到你的電腦,這東西是無法偵測的。

這個出來多久?

這已經五年以上了,我這個買的時候是五年前買的。

這是合法販售的嗎?

這是合法的,因為硬體本身沒有問題,就看使用人心態,就像刀子一樣。所以基本上這個是合法販售,因為很多人用來開發USB的特殊功能,但是你也可以拿來做壞事。

那這個東西你把晶片拔起來放進一個小的USB插頭,這樣子的話你就有一個不好分辨的惡意插頭,只要你任何設備放進去,我都可以開始監聽,然後透過無線網路都可以傳回去。

那看到之前那個例子,你提過很多次,用惡意插頭充電時你手機就中獎,可不可以解釋一下流程。

比如說我有一個惡意的插頭,當你的USB線插進這個惡意插頭並插入手機後,插頭就會傳命令給手機說我這有一個資料要送給你,對手機來講,他會認為這個東西除了充電,還有命令、資料傳輸需求,既然你有傳輸需求,那我就把他接過來。剛好那時2013年iOS有bug,命令傳過來就安裝起來,惡意程式就跑進去了。所以在2013年蘋果就更新,把漏洞解決掉,但解決掉只是讓程式不會執行,但USB那端是沒有辦法解決。

iOS在更新之後就有提示這功能,只是很多人不會在意,所以這就是另一個程式問題,就是我有個提示,但不強迫擋,大部分人還是按Yes,Yes完之後東西還是跑進去。

所以解決方法只有不要用?

第一個就是要用自己信任的,基本上市面賣的這些款式都是正常的,但如果你在外面充電發現他上面裝一個插頭,你要優先懷疑,這個插頭是不是有問題。所以不要用到別人充電器,因為你不知道這是不是有問題。

第二個我們剛有提到有防護套,就是這種防止Juice Jacking的保護套,這個東西就是讓你就算插到惡意的USB裝置,也不會有風險,因為它把資料傳輸等其他控制命令都擋掉了,只剩下充電功能。

線材本身有可能嗎?

線材比較難,因為你要在裡面裝處理晶片讓他發送命令,是比較有難度的。但如果線材中間突然有突起一個黑黑的,那你就要小心。

不過可能在USB接頭那邊塞東西進去?

對,所以的確有可能線材本身沒問題,但頭部有可能,所以我們都會建議如果你沒辦法辨別USB是否安全就不要隨便插進去。

目前IoT裝置的協定非常多,有沒有哪些技術是特別危險的?

大部分IoT早期是從ICS設備(工業控制系統)而來的,像ZigBeeWirelessHART,目前很多家用也許會用到。除了這些之外,就是目前電腦機器在用的,例如Wifi、藍牙、NFC等等。這些東西就我來看,其實底層通訊本身都沒有做認證和加解密,這些東西都仰賴上層(軟體層)來做,那問題就來了。

大部分IoT廠商負責做硬體,負責做韌體,其他你們自己(其他廠商)連,另外一個廠商負責把他們兜起來在上面寫app,如果app沒有做把關,安全性就會有問題。

硬體廠商會說你app要幫我做好,app會說你硬體做就可以,那現在問題是兩邊都不想做。硬體說我做這個東西成本差很多,app就說我這個燈泡運算這麼慢,我就不想做,不然就是說寫這個東西app會耗電。因為其實IoT還有一個大問題,很多人對耗電很敏感,這東西只要不耗電你就會想用。所以不管是從硬體層或app層,大家都不想做(資訊安全)。

有什麼協定會比較在意這個東西?

越新一代可能考慮越多,例如像藍牙、NFC,這類有些比較新,人家找到的問題比較多,所以在通訊協定、應用程式套件等等就會比較多防護,那像舊的東西ZigBee有很多版本,有些版本已經有開始想說是不是把AES 128放在最底層大家可以自己使用,這樣大家就不用花太多時間考慮,因為硬體做完軟體就會輕鬆很多。

那像我們現在產品那麼多,有沒有甚麼駭客標準會用的流程或工具?

針對目前常見的IoT協定,已經有很多開發好的攻擊套件,例如說像ZigBee、藍牙等等都有,在網路上都可以下載到的到。不過駭客比較喜歡自己寫,他會參考別的程式自己寫,所以在GitHub上面可以找到非常多Python程式,這些程式就有針對目前看到NFC、藍牙、ZigBee做安全測試攻擊等等。

那駭客使用的方法是protocol fuzzing,就是我知道你的通訊協定怎麼運作的,我就針對協定隨便改一個地方送出,看你這邊會不當掉,會當掉就是一個bug,那有bug就可能有漏洞可以用。這個東西用人工來做非常繁瑣,因為你改一次送一次改一次送一次,所以有個方法叫fuzz testing,它會自動產生一大堆有問題的協定,符合你協定但是裡面資料是有問題,送出去看你接收端會不會當掉。大量測試之下,假設有10當掉那你就有10個case可以研究,搞不好就找到一些漏洞,然後再花一兩天,可能其中就有一個可以遠端攻擊,那就成功了。

像汽車裡面也有非常多軟體,那像這樣有什麼要注意的地方?

這部分比較麻煩,因為像車子你找到問題沒辦法自己去做修補,通常只能仰賴車廠。所以你會發現,這幾年很多資安人員找到問題後,就去通知車廠,車廠再想辦法做修補,甚至車廠就直接招回來,這是沒辦法避免的。

車子裡面可能有問題的點有很多,目前所用的CAN(Controller Area Network),是駭客最主要攻擊目標。這是我們覺得另一個隱憂,你會發現很多駭客在找車子上面漏洞,比如說藍牙、Wifi、NFC。假設你用NFC開鎖,駭客用重播攻擊把你的訊號錄製下來,下次再把NFC訊號重丟一次,車鎖就打開了。不過現在比較嚴謹一點的話,會在每次訊號送出前加亂數,送出去的東西每次不一樣,就比較不容易用重播攻擊來破解。

像是之前有看車廠說要把手機當作解鎖工具,那現在手機應用這麼多,會不會他的安全性就更危險?

手機本身作業系統有一直想辦法讓兩個應用程式不要互相干擾或溝通,但還是有困難度。因為如果駭客找到漏洞,鑽到比較底層,像Android就直接鑽到它本身的沙盒外面,就所有的東西都可以看得見,就可以同步。那像iPhone的話,他一開始就有設計每個程式是完全不能溝通,但問題是如果JB的話安全性就完全不見了,一個惡意程式進來就可能可以直接到底層。

這個部分,我們就有提供很多安全防護的API,你程式開發的時候先把這API放下去,萬一有其他程式直接來控制你,這API可能可以直接發警示訊號出去。或是可以跟電信公司合作,例如說你這個電信公司使用安全app,萬一你的手機有毒,電信公司搞不好會先寄個簡訊跟你講,你現在的手機正在被破壞,或者是他正在攻擊別的app。那我想這個東西可能是一種策略,因為你要要求所有人寫出安全的程式,真的是路很長。

那像智慧家電,可不可以舉幾個例子,有哪些風險漏洞?

比如說掃地機器人,他會先找你家的Wifi,找到之後你的手機裝一個app,然後配對註冊,註冊完後你的手機以後就可以控制掃地機器人。那我中間就加個sniffer去監聽,發現這個東西除了第一次做驗證以外,以後就直接相信了,我把訊號錄下來,機器人去掃另外一邊時候,我就播半小時前我送的命令,結果他又跑去另外一邊,這表示你可以做重播攻擊。

另外一種是中間人攻擊,我架一個名字一樣,功率強一點的無線基地台,結果機器就找錯了,找到我基地台,資料連過來我可以把它解開,然後看裡面內容,另外一邊手機送過來的時候,我又可以把它解開,把我的東西送過去。

另外一個例子就是智慧型燈泡。智慧型燈泡現在很方便,裝在家裡你不用另外安裝開關,拿起手機就可以按亮,甚至你上面可以設定,譬如說半夜12點它會自動亮,1點多慢慢暗,2點多時後全部暗,這些全部都可以控制。這些手機是用藍牙控制。藍牙本身做預設配對,我可以找Linux裝藍牙攻擊套件去跟他配對,我就可以控制他,表示只要藍牙可以用的距離,我的鄰居都可以來控制我的電燈泡。

所以你剛剛舉的像是掃地機器人,Wifi部分只要我中間有架一個基地台或是別的方法其實他都是可以破的,那要怎麼保護?

因為保護他可能要跟廠商配合,只有使用者可能蠻辛苦,因為預設就是要配對,所以製造廠商一開始就要想說如果在不安全環境,這些東西是不是能自保。例如說藍牙不只預設配對,一開始就會預設做3 way handshake(三向交握)、或加解密系統改成非對稱式,例如改成RSA、橢圓曲線這一類,這是其中一個機制。

第二個機制,在本身一開始授權認證是關鍵點,認證的時候使用者是不是能加一個鎖,這東西不用多,可能只要兩個實體按鈕,按下去才能做甚麼,那這樣子的話,駭客想從網路想去解他也解不到,這種東西也能解決問題,增加成本其實也很低。

第三個我們會建議製造廠商,把一些安全的API做進去,萬一今天你發現基地台變更了,這個API可能就發警訊出去,可能發給使用者,為何你的基地台變更了,或者發給外面資安公司幫忙蒐集這些紀錄,你家目前的智慧家電是不是有安全問題,只要有這些資料傳回來,一定有辦法從這些海量資料裡面看到那些是違規的。

因為我們如果沒辦法做到事先防範,那至少可以做到正在發生的,這些東西也是有效的,我們最怕已經到事後了再來看有沒有問題,其實燈泡都已經燒掉了,或者是家裡面資料都已經外洩了

像剛剛講的我們控制掃地機器人阿、燈泡阿,有沒有甚麼例子是駭客拿來做甚麼用途?

目前看到有資安公司報導是可上網的電冰箱,被利用組成殭屍網路寄大量惡意郵件。另外外電報導過的燈泡安全性問題,駭客利用它來嚇人,還有數位相框,半夜把畫面換掉,換成詭異的照片,你半夜起來上廁所看到嚇到。

目前是還在惡作劇階段,但我擔心進入到下一階段,就是勒索。例如說綁架你家門禁,跟你講匯多少比特幣給我才幫你開。或是說你開車開一半忽然螢幕彈出叫你輸入比特幣,然後你發現煞車不靈,門也都被鎖住。像這東西是我們會擔心的,因為這對駭客並不難,只是有沒有結合。

目前有這樣例子嗎?

目前沒有。最好不要有,要是你比較鐵齒一點不付錢,結果導致車禍,或是GPS導航就把你導到很奇怪地方,因為現在很多人開車時都很相信GPS。

有沒有幾個簡單步驟是可以保護自己?

第一,不要破解你的手機,就是不要root或是JB,這是很首要的。為什麼手機會有這防護機制,就是希望使用者不要亂動它,導致安全問題。其實手機作業系統一直在改進,希望應用程式不要干擾,但如果你破解的話,這些安全機制就毀了。

第二,這些裝置不要相信來路不明Wifi基地台,所有Wifi你要連線的話,一定要注意安全加密是不是WPA2,如果是WPA或是WEP都不安全,那沒有就更危險。

第三.家裡的無線裝置要注意溢波,像藍牙和NFC本身都有距離限制,你家裡裝這些東西的時候,要注意如果有人站在外面是不是可以收到,那你應該盡量把這些裝置離窗戶遠一點,盡量靠近家裡中間,這樣外面駭客就沒辦法直接控制你,唯一方法就是走Internet。那這樣的話就是你的家用路由器要做好保護,就比較不會被駭。

未來有沒有可能,讓我們可以自己去掃描檢測這種硬體?

理論上都有可能,實際上要考慮功率、成本,如果說用電量沒辦法解決的話,那資訊安全的東西就很難做進去。

舉個例子,趨勢提供晶片給廠商,廠商放進去之後安全就做到了。理論上我們是可以做到,但硬體廠商不會接受。因為硬體如果電不夠的話,他所有線路都要重拉,或者是安裝上去發現需要電量從1mA變成2.5mA,那他根本受不了。所以我覺得理論可行,實際電力消耗是一大問題。

相關文章:

核稿編輯:翁世航

或許你會想看
更多『評論』文章 更多『科技』文章 更多『楊士範』文章
Loader