Allion Labs/ Felix Kao

在物聯網的世界,不分產業、不分產品大小等級;只要有連網功能,就可能在網路上遭受攻擊,進而造成您個人財產損失甚至人身損失;而企業也將面臨病毒蓄意攻擊,導致中控主機當機、產線中斷,蒙受金錢損失。因此,透過資安檢測找出潛在風險與其威脅強度是廠商的當務之急。在「物聯網中自由、便利與安全的恐怖三角關係,您選擇了誰?」-上篇,百佳泰特別針對廠商「輕忽資安嚴重性」或是「不知該怎麼選擇方案」等種種的僥倖心態與不安,介紹了由百佳泰開發的一套快速有效、符合成本效益的「資安檢測方案」,將依照物聯網裝置特性、潛在資安風險以及應用情境,來驗證產品的風險等級,檢視產品的資安漏洞,並提供完整資安報告讓您有效加強資安弱點。

在了解我們的檢測方案之後,現在,就透過我們資安專家來分享物聯網裝置的實測案例,讓讀者更加貼近百佳泰資安檢測。

 

百佳泰資安實驗室 智能燈泡案例分享 

就算只是一個藍牙燈泡,亦可能隨時成為殭屍網路的一份子

本篇分享的測試案例待測物為支援藍牙低功耗網絡 (Bluetooth Low Energy Mesh)燈泡,可透過手機安裝對應的App後由手機的控制介面操作燈泡,不僅僅控制開關,亦可與手機的鏡頭連動觸發仿色功能,手機播放音樂時亦可設定為隨著節奏隨機跳色;在多人使用者之間亦可指定權限或轉移主控制權,連上雲端之後可以透過IFTTT channel與語音助理設置連動,功能堪稱相當完備。一個連線單純且無直接上網的裝置貌似安全,但若從資安檢測角度仔細審視,潛在風險其實遠比想像中高出許多。

首先,我們將燈泡的連線邏輯展開,從資安檢測的角度來檢視,實體裝置共有三個,分別為燈泡、App載體(手機)以及雲端資料庫;而連線則可拆分為近端連線以及雲端連線如下圖示1:

圖示1:資安網路連線架構

 

百佳泰的資安驗證項目共有數十個項目,從測試結果得知,大部分的潛在風險竟來自於控制燈泡的APP(如下圖2),相信這結果令大家感到十分意外吧!?言下之意,駭客可偷取強度較弱的APP載體密碼,便可遠端控制介面操作用戶的智能燈泡,恣意開關燈泡裝置,在不該開啟的時候刻意浪費消耗電力。讀者再想想,若是將燈泡換成監視商場的IP攝影機,駭客便可輕易關閉攝影機,而讓盜竊者有機可趁。

圖示2:資安報告弱點分析比重

 

另外,根據國際級的漏洞評鑑系統(CVSS: Common Vulnerability Scoring System)的條件來推估報告中每項測試的風險等級,測試的藍牙燈泡裝置竟存在7個具有中高風險程度以上的漏洞,風險等級為”4”(風險程度從0到4,由低至高),有較高的可能被駭客利用並且攻擊,需要立即採取修正措施。

從報告結果我們可歸納出一個結論,並非只有物聯裝置才會有風險,在物聯網的世界,不論是實體裝置、APP載體、雲端資料庫或是傳輸連線,只要有資安漏洞,就極可能遭受攻擊! 然消費者在第一時間總是將責任歸咎於裝置品牌廠商,並不會抱怨後端配合的相關廠商。事實上,裝置品牌商配合的APP開發商、網路營運商以及雲端伺服器廠商,都應該需要做好安全防護措施,甚至應該有稽核檢查表,挑選符合資安標準的廠商,並檢視其資安能力!

 

導入開發階段的 Software軟體驗證方案 

如上一篇我們提及,「資安是一個風險控管的行為」,這如同人類每年需要定期做健康檢查來評估掌控自身狀況;而事實上,預防勝於治療,安全軟體發展週期始於產品設計,雖然產品設計階段導入資安會增加開發時程,但是事後修補所付出的成本反而越高且面臨的風險也越大,因此識別產品所面臨的威脅、評估風險、考量安全需求及檢視安全設計是在設計階段皆需要思考的;廠商於開發階段時,透過白箱檢測方式的源碼靜態涵式庫分析,得以避免具資安風險的編程內容及避用不安全函式庫等,以確保程式的安全性,百佳泰專業軟體實驗室的開發團隊,具備各項程式語法能力,能夠站在”開發者”的角度設計測試案例,確保測試中的路徑都可以被分析、執行,以提供開發人員程式碼最佳化的反饋。

圖示3:白箱測試,又稱透明盒測試,不同於黑箱測試驗證軟體的功能性,主要在測試應用程式的內部結構與運作。

                                                                  

廠商除了在安全軟體功能開發上需要投入相當時間與心力,另在整個物聯網產品開發週期,包括在EVT、DVT階段是否落實安全相關開發準則、MP前是否通過一道重要關卡「資安檢測」等,實際測試產品是否存在資安漏洞,評估產品潛在風險,預先檢視產品上線後所可能面臨的資安攻擊。廠商唯有釐清每一個環節可達到的安全程度,方為確保產品安全信心的最佳判定依據。

 

百佳泰的資安檢測服務是物聯網裝置的神隊友

百佳泰能夠針對各產品特性及使用情境,提供快速有效、符合經濟效益的資安檢測方案,從物聯網產品得五大連網架構-裝置韌體、裝置控制APP、雲端伺服器、近端連線以及遠端連線切入,提出適切的國際標準的資安風險檢測,像是目前較知名的OWASP Top 10系列、IEC 62443系列等,透過網路安全測試項目,替您的產品做資安把關。百佳泰深知,若產品滿足國際資安標準要求,更可明確彰顯產品其安全保證等級。