物联网设备安全的隐患有哪些

针对物联网设备的安全评估，这里总结七种评估方式，从七个方面对设备进行安全评估，最终形成物联网设备的安全加固方案，提升黑客攻击物联网设备的成本，降低物联网设备的安全风险。

硬件接口

通过对多款设备的拆解发现，很多厂商在市售产品中保留了硬件调试接口。通过 JTAG接口和COM口这两个接口访问设备一般都具有系统最高权限，针对这些硬件接口的利用主要是为了获得系统固件以及内置的登陆凭证。

弱口令

目前物联网设备大多使用的是嵌入式linux系统，账户信息一般存放在/etc/passwd 或者 /etc/shadow 文件中，攻击者拿到这个文件可以通过John等工具进行系统密码破解，也可搜集常用的弱口令列表，通过机器尝试的方式获取系统相关服务的认证口令，一旦发现认证通过，则会进行恶意代码传播。弱口令的出现一般是由厂商内置或者用户不良的口令设置习惯两方面造成的。

信息泄漏

多数物联网设备厂商可能认为信息泄露不是安全问题，但是泄露的信息极大方便了攻击者对于目标的攻击。例如在对某厂商的摄像头安全测试的时候发现可以获取到设备的硬件型号、硬件版本号、软件版本号、系统类型、可登录的用户名和加密的密码以及密码生成的算法。攻击者即可通过暴力破解的方式获得明文密码。

未授权访问

攻击者可以不需要管理员授权，绕过用户认证环节，访问并控制目标系统。主要产生的原因如下：

厂商在产品设计的时候就没有考虑到授权认证或者对某些路径进行权限管理，任何人都可以最高的系统权限获得设备控制权。开发人员为了方便调试，可能会将一些特定账户的认证硬编码到代码中，出厂后这些账户并没有去除。攻击者只要获得这些硬编码信息，即可获得设备的控制权。开发人员在最初设计的用户认证算法或实现过程中存在缺陷，例如某摄像头存在不需要权限设置session的URL路径，攻击者只需要将其中的Username字段设置为admin，然后进入登陆认证页面，发现系统不需要认证，直接为admin权限。

远程代码执行

开发人员缺乏安全编码能力，没有针对输入的参数进行严格过滤和校验，导致在调用危险函数时远程代码执行或者命令注入。例如在某摄像头安全测试的时候发现系统调用了危险函数system，同时对输入的参数没有做严格过滤，导致可以执行额外的命令。

中间人攻击

中间人攻击一般有旁路和串接两种模式，攻击者处于通讯两端的链路中间，充当数据交换角色，攻击者可以通过中间人的方式获得用户认证信息以及设备控制信息，之后利用重放方式或者无线中继方式获得设备的控制权。例如通过中间人攻击解密>

云（端）攻击

近年来，物联网设备逐步实现通过云的方式进行管理，攻击者可以通过挖掘云提供商漏洞、手机终端APP上的漏洞以及分析设备和云端的通信数据，伪造数据进行重放攻击获取设备控制权。例如2015年HackPwn上公布的黑客攻击TCL智能洗衣机。

是如何确保设备本身安全。某些设备或设施可能无人值守地运行，因此不受频繁的安全性影响。报告称，使这些设备防篡改可能是有利的，因为这种类型的端点强化可以帮助阻止潜在的入侵者获取数据。它也可能抵御黑客或其他网络犯罪分子的攻击。

作为一种最佳实践，安全端点强化可能意味着部署一种分层方法，要求攻击者绕过多重障碍，旨在保护设备及其数据免遭未经授权的访问和使用。企业应该保护已知的漏洞，如开放的TCP/UDP端口，开放的串行端口，开放的密码提示，Web服务器、未加密的通信、无线连接等注入代码的位置。

另一个保护设备的办法是根据需要升级或部署安全补丁。但请记住，许多设备供应商在构建和销售设备时并不关注安全性。正如调查报告指出的那样，许多物联网设备被破坏后是不可修补的，因此无法保证安全。在投资的设备采用工业物联网之前，需要评估设备的安全功能，并确保供应商对设备进行彻底的安全测试。

当物联网设备试图连接到网络或服务时，要小心地管理物联网设备的身份验证，以确保信任是非常重要的。公钥基础设施(PKI)和数字证书为物联网设备身份和信任提供了安全基础。

如何保障物联网的安全？

物联网安全解决方案

　物联网的概念是在1999年提出的。物联网的英文名称叫“The Internet of things”，顾名思义，简而言之，物联网就是“物物相连的互联网”。这有两层意思：第一，物联网的核心和基础仍然是互联网，是在互联网基础上的延伸和扩展的网络；第二，其用户端延伸和扩展到了任何物品与物品之间，进行信息交换和通讯。严格而言，物联网的定义是：通过射频识别（RFID）、红外感应器、全球定位系统、激光扫描器等信息传感设备，按约定的协议，把任何物品与互联网连接起来，进行信息交换和通讯，以实现智能化识别、定位、跟踪、监控和管理的一种网络。
物联网中非常重要的技术是RFID电子标签技术。以简单RFID系统为基础，结合已有的网络技术、数据库技术、中间件技术等，构筑一个由大量联网的阅读器和无数移动的标签组成的，比Internet更为庞大的物联网成为RFID技术发展的趋势。物联网用途广泛，遍及智能交通、环境保护、政府工作、公共安全、平安家居、智能消防、工业监测、老人护理、个人健康等多个领域。预计物联网是继计算机、互联网与移动通信网之后的又一次信息产业浪潮。有专家预测10年内物联网就可能大规模普及，这一技术将会发展成为一个上万亿元规模的高科技市场。
国际电信联盟2005年一份报告曾描绘“物联网”时代的图景：当司机出现 *** 作失误时汽车会自动报警；公文包会提醒主人忘带了什么东西；衣服会“告诉”洗衣机对颜色和水温的要求等等。
物联网把新一代IT技术充分运用在各行各业之中，具体地说，就是把感应器嵌入和装备到电网、铁路、桥梁、隧道、公路、建筑、供水系统、大坝、油气管道等各种物体中，然后将“物联网”与现有的互联网整合起来，实现人类社会与物理系统的整合，在这个整合的网络当中，存在能力超级强大的中心计算机群，能够对整合网络内的人员、机器、设备和基础设施实施实时的管理和控制，在此基础上，人类可以以更加精细和动态的方式管理生产和生活，达到“智慧”状态，提高资源利用率和生产力水平，改善人与自然间的关系。
物联网是利用无所不在的网络技术建立起来的，是继计算机、互联网与移动通信网之后的又一次信息产业浪潮，是一个全新的技术领域。早在1999年，在美国召开的移动计算和网络国际会议就提出，“传感网是下一个世纪人类面临的又一个发展机遇”；2003年，美国《技术评论》提出传感网络技术将是未来改变人们生活的十大技术之首；2005年，在突尼斯举行的信息社会世界峰会（WSIS）上，国际电信联盟（ITU）发布了《ITU互联网报告2005：物联网》，正式提出了“物联网”的概念。
毫无疑问，如果“物联网”时代来临，人们的日常生活将发生翻天覆地的变化。然而，不谈什么隐私权和辐射问题，单把所有物品都植入识别芯片这一点现在看来还不太现实。人们正走向“物联网”时代，但这个过程可能需要很长很长的时间。

什么是物联网安全？物联网安全问题有哪些：
广义物联网：物联网是一个未来发展的愿景，等同于“未来的互联网”，能够实现人在任何时间、地点、使用任何网络与任何人与物的信息交换，以及物与物之间的信息交换。
狭义物联网：物联网是物品之间通过网络连接起来的局域网，不论该局域网是否接入互联网，只要具有感、联、知、控（用）四个环节，都属于物联网的范畴。
物联网市场规模快速增长，联网设备数量持续增加。近年来，随着NB-IOT、eMTC、Lora等低功耗广域网商用化进程不断加速，日益增长的物联网平台带来了服务支撑能力的迅速提升，以及边缘计算、人工智能等新技术不断注入，物联网产业迎来了快速增长。

说明物联网的技术体系架构及各层次的关键技术。 答：物联网的技术体系框架包括感知层技术、网络层技术、应用层技术和公共技术。 感知层是物联网发展和应用的基础，包括传感器等数据采集设备，是数据接入到网关前 的传感器网络 RFID 技术、传感控制技术、短距离无线通讯技术是感知层涉及的主要技术。 物联网的网络层一般建立在现有的移动通讯网或互联网的基础之上。 实现更加广泛的互 联功能。关键技术：包含了现有的通信技术，如移动通信技术、有线宽带技术、公共交换电 话网（PSTN）技术、Wi-Fi 通信技术等，也包含了终端技术，如实现传感网与通信网结合的 网桥设备、为各种行业终端提供通信能力的通信模块等。 应用层主要包含应用支撑平台子层和应用服务子层。 其中应用支撑平台子层用于支撑跨 行业、跨应用、跨系统之间的信息协同、共享、互通的功能。主要是基于软件的各种数据处 理技术，此外云计算技术作为海量数据的存储、分析平台，也将是物联网应用层的重要组成 部分。

---