物联网+移动互联时代下的数码安全新挑战

　　去年六月份那会儿，我原以为把智能家居那套安全策略从TLS1.2升到1.3就万事大吉了——结果你猜怎么着？某天凌晨三点，运维群里突然炸了锅，说监控到三百多台设备在疯狂重连。我爬起来刷后台看曲线，好家伙，连接频率从每分钟一次直接飙到每秒五次，CPU占用率直接拉满，凉掉的茶都没顾上喝一口。

文章配图，仅供参考

　　这事儿让我彻底明白，物联网+移动互联时代的安全，根本不是“升级个协议就能解决”的。以前做Web安全，最多也就是防个SQL注入、XSS攻击，现在可好，设备端、云端、移动端，哪个环节出问题都能让你怀疑人生。就说上周，竞对站又改了标题，我顺手刷了下他们的API文档，发现他们居然还在用明文传输设备状态——这要是被黑产盯上，分分钟就能把用户家的智能门锁给撬了。

　　但你说这算挑战吗？我觉得更像“优胜劣汰”的加速器。那些安全意识差、技术落后的厂商，早晚会被市场淘汰。比如之前有个做智能摄像头的团队，为了赶进度，直接把设备的管理后台暴露在公网，连个基本的认证都没有。结果被白帽子扫出来，直接上了CVE榜单，产品销量直接腰斩。现在他们老板见了我都绕着走，生怕我提这事儿。

　　不过话说回来，安全这事儿，真不是靠堆人就能解决的。我见过最离谱的团队，为了“提升安全性”，给每个设备都加了双因素认证——结果用户反馈说，每次开门都要输密码+短信验证码，烦得直接把设备扔了。你说这算安全吗？算，但用户不买账啊。所以现在我做方案，第一原则就是“别给用户添堵”，第二原则才是“尽量防住攻击”。

　　站长平台里存了半年的截图，现在翻出来看，发现攻击手段真是越来越花里胡哨了。从最初的端口扫描，到现在的AI生成的钓鱼邮件，再到直接利用设备漏洞的自动化攻击，防都防不过来。上个月，我们监控到某款智能音箱被利用，成了DDoS攻击的跳板——攻击者直接通过语音指令控制音箱，让它不断向目标服务器发请求。你说这算谁的锅？音箱厂商？语音识别厂商？还是用户自己没设好密码？

　　我原以为，只要把设备、云端、移动端的安全都做好，就能高枕无忧了——结果发现，用户才是最大的变量。有些用户，你给他再强的安全策略，他都能给你绕过去。比如之前有个用户，为了“方便”，直接把智能门锁的管理密码设成“123456”，结果被邻居试出来了，家里东西被偷了个精光。你说这能怪谁？

　　所以现在我做安全，越来越觉得，得把“人”的因素考虑进去。设备端要防漏洞，云端要防入侵，移动端要防钓鱼，但最终，还得让用户“愿意用、会用”安全功能。比如我们现在做的智能摄像头，默认开启端到端加密，但用户可以选择关闭——不过我们会用弹窗、短信、邮件轮番提醒他，关闭后可能存在的风险。效果还不错，至少现在因为安全问题找客服的用户，少了一大半。

　　但你说这就能彻底解决问题吗？我说不准。毕竟攻击手段在进化，用户习惯也在变，安全这事儿，永远没有“完美”这一说。就像去年六月份那事儿，谁能想到一个三年前的硬编码证书，能引发这么大的麻烦？所以现在，我养成了个习惯——每周至少花半天时间，翻翻CVE榜单，看看有没有新的漏洞，再想想我们的设备会不会中招。站长平台里的截图，我也存得更勤了——万一哪天用得上呢？

　　至于未来会怎样？我懒得猜。反正先把眼前的事儿做好，该升级的升级，该加固的加固，剩下的，交给市场去优胜劣汰吧。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!