全球都在大力普及的智能電表 卻是他口中的定時(shí)炸彈

作者： 2017年01月11日 來源：中國儀表網(wǎng) 瀏覽量：
字號(hào)：T | T
【中國儀表網(wǎng)儀表產(chǎn)業(yè)】研究員內(nèi)坦內(nèi)爾·魯賓說：智能電表“極度不安全”——弱加密、依賴易被入侵的協(xié)議，以及可被編程為炸彈！　　內(nèi)坦內(nèi)爾·魯賓　　　　這位軟件漏洞獵手嘲笑世
【中國儀表網(wǎng) 儀表產(chǎn)業(yè)】 研究員內(nèi)坦內(nèi)爾·魯賓說：智能電表“極度不安全”——弱加密、依賴易被入侵的協(xié)議，以及可被編程為炸彈！
　　


內(nèi)坦內(nèi)爾·魯賓
　　
　　這位軟件漏洞獵手嘲笑世界各國對(duì)智能電表的大力推廣簡(jiǎn)直是不顧后果的瘋狂行為，并稱這些“危險(xiǎn)”的設(shè)備是所有聯(lián)網(wǎng)智能家居設(shè)備的風(fēng)險(xiǎn)源。
　　
　　智能電表能與屋內(nèi)所有聯(lián)網(wǎng)設(shè)備通信，比如空調(diào)、冰箱之類的。只要能滲入聯(lián)網(wǎng)電表，黑客就能控制這些智能家居設(shè)備，甚至“登堂入室”。
　　
　　他們還能篡改電表代碼引發(fā)火災(zāi)——利用供電設(shè)備干這事兒簡(jiǎn)直太容易了。覺得保險(xiǎn)絲能防止起火？這位研究員可不這么想，他認(rèn)為該硬件是會(huì)被騙的，數(shù)值不準(zhǔn)了，爆炸自然也就可能了。
　　
　　“控制了智能電表的攻擊者，同時(shí)也控制著運(yùn)行其上的軟件，將電表玩弄股掌之間是很正常的。”本月在德國漢堡舉行的混沌通信大會(huì)上，魯賓如是說。
　　
　　“攻擊者只要能黑進(jìn)電表，他就能訪問所有連接到電表的設(shè)備。當(dāng)前的智能電表網(wǎng)絡(luò)，對(duì)攻擊者是完全開放的。
　　
　　混沌大會(huì)上，魯賓被聽眾認(rèn)為是在兜售恐懼。他回?fù)舴Q，自己只是想吸引公眾對(duì)這些可爆小盒子的關(guān)注——讓人不禁想起某次《世界新聞周刊》惡搞（稱黑客可將家庭計(jì)算機(jī)變成炸彈）。
　　
　　觀眾覺得通過黑客活動(dòng)引發(fā)爆炸是不可能的，他反擊了這種評(píng)論，宣稱這事兒在美國已有證明。
　　
　　盡管電表的物理安全通常都挺強(qiáng)的，黑客仍有可以利用的漏洞，以及大把的無線方式來入侵該設(shè)備。
　　
　　魯賓列出了智能電表使用的Zigbee和GSM協(xié)議，這兩種協(xié)議都是不安全且未加密的，或者頂多用5年前就被玩壞了的 GPRS A5 算法保護(hù)一下。攻擊者還能利用硬編碼的登錄憑證，以無線的方式迫使某地區(qū)的所有單元連接到惡意基站，直接訪問智能電表固件以進(jìn)行更深入的漏洞利用。
　　
　　“功效相同的所有電表都使用同樣的接入憑證，一個(gè)密鑰就能統(tǒng)治全部電表。”
　　
　　更糟的是，在與家庭設(shè)備通信的時(shí)候，智能電表根本不驗(yàn)證設(shè)備可信度，就交出了關(guān)鍵的網(wǎng)絡(luò)密鑰。這就等于給罪犯大開方便之門，讓他們可以先通過偽裝家用設(shè)備來盜取密鑰，再冒充智能電表。
　　
　　“你可以在街對(duì)面與屋里的任何設(shè)備通信并取得控制權(quán)，解鎖開門，造成用電系統(tǒng)短路等等，想干什么干什么。一個(gè)簡(jiǎn)單的內(nèi)存區(qū)段錯(cuò)誤就足以讓電表崩潰，造成整棟房子斷電。”
　　
　　其實(shí)，只需應(yīng)用恰當(dāng)?shù)募用?，并進(jìn)行網(wǎng)絡(luò)分段而不是弄個(gè)巨大的LAN，這些安全漏洞就能被清除掉的。
　　
　　2009年，波多黎各的賬單小偷就利用了相似的安全漏洞偷到了4億美元。魯賓稱，智能電表與內(nèi)部智能家居設(shè)備的通信能力，是我們要處理的當(dāng)務(wù)之急。而當(dāng)智能設(shè)備不斷擴(kuò)張，并形成全市范圍的智能設(shè)備網(wǎng)絡(luò)時(shí)，情況會(huì)糟糕得多。
　　
　　“整個(gè)電網(wǎng)、家庭、城市，以及其間包含的所有東西，都將處于供電公司的控制之下，這確實(shí)有點(diǎn)可怖。”
　　
　　智能電表市場(chǎng)約40%被Itron、Landis and Gyr 和Elster三家公司占據(jù)。歐盟想要投入450億歐元，將超過70%的電表更換成智能版本。全球已經(jīng)有約1億個(gè)電表被安裝。
　　
　　魯賓預(yù)測(cè)，電表攻擊將會(huì)迎來暴增，并呼吁公共事業(yè)公司“負(fù)起責(zé)任”。他稱自己將會(huì)發(fā)布一款開源Fuzzing測(cè)試工具，幫助安全研究人員測(cè)試他們的電表。“在被別人控制之前收回你家的權(quán)限吧！”
　　
　　（原標(biāo)題：物聯(lián)網(wǎng)安全思考：智能電表可能成為定時(shí)炸彈）
全球化工設(shè)備網(wǎng)（http://bhmbl.cn ）友情提醒，轉(zhuǎn)載請(qǐng)務(wù)必注明來源:全球化工設(shè)備網(wǎng)！違者必究.

標(biāo)簽：

分享到：
免責(zé)聲明：1、本文系本網(wǎng)編輯轉(zhuǎn)載或者作者自行發(fā)布，本網(wǎng)發(fā)布文章的目的在于傳遞更多信息給訪問者，并不代表本網(wǎng)贊同其觀點(diǎn)，同時(shí)本網(wǎng)亦不對(duì)文章內(nèi)容的真實(shí)性負(fù)責(zé)。
2、如涉及作品內(nèi)容、版權(quán)和其它問題，請(qǐng)?jiān)?0日內(nèi)與本網(wǎng)聯(lián)系，我們將在第一時(shí)間作出適當(dāng)處理！有關(guān)作品版權(quán)事宜請(qǐng)聯(lián)系：+86-571-88970062