物聯網的黑暗面

我們多數人都敏銳地察覺到物聯網 (IoT) 的潛能和前途。互相連結的車輛、貨櫃、辦公大樓、工廠、冰箱、料理設備、健康監控器、溫控器以及各種物品乃至於可從大數據中萃取出智能分析情報的雲端大型儲存庫,在在能夠影響人們的行為並改善人們的生活,要以其所能帶來的益處描繪出一個光明的未來再簡單不過。在一片擁抱 IoT 技術的熱潮之中,持續出現的隱私問題和安全性威脅有時卻被忽略。這類問題正開始被逐漸注意到,突顯出有許多疑慮必須在計畫規劃、開發專案以及擴大實施物聯網的時候納入考量。
評論
評論

我們多數人都敏銳地察覺到物聯網 (IoT) 的潛能和前途。互相連結的車輛、貨櫃、辦公大樓、工廠、冰箱、料理設備、健康監控器、溫控器以及各種物品乃至於可從大數據中萃取出智能分析情報的雲端大型儲存庫,在在能夠影響人們的行為並改善人們的生活,要以其所能帶來的益處描繪出一個光明的未來再簡單不過。在一片擁抱 IoT 技術的熱潮之中,持續出現的隱私問題和安全性威脅有時卻被忽略。這類問題正開始被逐漸注意到,突顯出有許多疑慮必須在計畫規劃、開發專案以及擴大實施物聯網的時候納入考量。

當 IoT 被當作間諜工具

證據最近出現在參議院軍事委員會上。國家情報總監 James Clapper 舉出了政府用 IoT 作為諜報工具導致全球性的安全威脅。

Clapper 表示:「智慧型裝置被併入電網系統和車輛 ─ 包括自動駕駛車 ─ 以及各種家用設備;智慧型裝置改善了效率、節省了能源、也提升了便利度,然而,安全防護產業的分析師已經證實許多新系統可能會威脅到資料的隱私、資料的完整性和服務的連續性。未來智慧型服務很可能會使用 IoT 作為身分認證、監視、監控、位置追蹤、或是獵人頭等用途,甚至以 IoT 來存取網路或者使用者憑證。」

因此身為 IoT 裝置和基礎架構的建築師、開發者和建造者,該如何對這種隱含的威脅作出最好的反應?在未來幾個月中,「安全第一」大概會是 IoT 開發時最好的標語。

威脅的規模

隨著 IoT 感應器和裝置被引進巨大的全球網路之中 ─ 整合進入了醫療設備、智慧電網、航空系統、工業控制系統、政府機構等諸如此類 ─ 駭客找到了一個潛力無窮的渠道,可讓其行動提升到偷錢或癱瘓網站等程度,進而影響到重要的基礎設備,造成大規模的系統故障或是巨大的破壞。根據 Beecham Rearch 公司執行長 Robin Duke-Woolley 所言,目前尚未看到大規模的漏洞,僅是因為 IoT 尚未達到讓駭客想要出手的等級。

IoT University 有篇文章引用了 Duke-Woolley 的一段話:「物聯網的安全性比現有的 M2M 應用或是傳統的企業網路的安全性明顯更加複雜。不論是在傳輸途中或是存放之際,資料在系統中均應受到保護,而在裝置與人的身分識別、驗證以及授權上,我們需要大幅進步。我們也一定要認知到有些現場的裝置必然會遭受損害甚至故障,因此我們需要有效率的安全遠端維修方法 ─ 而另一個挑戰便是 IoT 是否能夠不負眾望。」

Beecham Research 製作的 IoT 安全威脅地圖詳列出了入侵的管道、會遭劫持的用途、驗證上的漏洞以及身份盜用的問題。

在 IoT 安全防護上領先一步

電腦科技每次有重大進展之時,就會引發對於基本安全防護規劃的重新檢驗 ─ 從主機到用戶端/伺服器、到行動裝置、乃至雲端。而基本上要建立起有效的 IoT 安全防護準備會比這類技術進步時更落後一些。以 IoT 的規模和範圍加上裝置的數量和類型前所未見,事件導向的應用程式突然即時交換資料,還有各種混合使用的通訊協定,大幅加劇了漏洞的威脅性。與其仰賴各個裝置層層相疊的安全防護 ─ 智慧型手機和許多行動裝置便是採取此種方式 ─ 企業可能會逐漸轉向鞏固閘道層級的保護。IoT 使我們有機會及早在開發階段建立部署實作的框架並處理好安全防護,而非在漏洞導致危險發生後才開始補救。

科技記者 Jai Vijayan 在 InformationWeek 的一篇文章中針對 IoT 的安全性風險的處置提出了以下建議:

  1. 從頭作好 IoT 應用程式的安全防護:IoT 之所以會擴大安全防護的漏洞就在於 IoT 互相連線的本質,一開始就要規劃好對於漏洞的處理方式。
  2. 風險識別:找出重大的 IoT 漏洞,包括網頁介面的驗證、安全防護組態能力的不足、實體控制能力不佳、傳輸加密安全防護的缺乏等等。
  3. 區隔網路:保持 IT 網路適當區分,以免一個安全性問題導致另一個網路問題發生。
  4. 採用分層安全防護系統:佈建多層控管以減輕威脅。必須超越傳統的控管功能,如防火牆、入侵偵測系統和防毒工具等。

您對 IoT 的安全防護有何看法?

請登入並留下您的意見。若尚未註冊,請至 Intel® Developer Zone 註冊。

若要認識 Intel 的 IoT 技術,請至 A Fast, Flexible, And Scalable Path To Commercial Iot Solutions。

註解

  1. Kravets, David.2016.Internet of Things to be used as spy tool by governments:US intel chief.Arstechnica.
  2. Skeldon, Paul.2016.‘IoT Threat Map’ reveals extent of security challenges facing the Internet of Things.IoT University.
  3. Vijayan, Jai.2015.5 Ways to Prepare for IoT Security Risks.InformationWeek.

更多精選文章....

《COMPUTEX 2016 CPX 論壇》

帶領您解碼四大議題:IoT 生態系  X  未來科技  X  智慧製造  X  創新應用  

活動日期:2016.05.31-2016.06.01

活動時間:9:00-17:30

活動地點:臺北國際會議中心 3 樓宴會廳  ( 臺北市信義區信義路五段 1 號 )

活動網址:http://goo.gl/TuVI6d

歡迎加入「Inside」Line 官方帳號,關注最新創業、科技、網路、工作訊息

好友人數

 


從這 3 個解決方案,突破傳統 VPN 功能上的局限性

遠距工作逐漸成為了常態,企業內部的雲端協作增多,加上用戶使用的終端設備也日漸多樣化,導致終端設備的風險不斷增加,同時企業對於遠程接入的安全需求也更為提升。
評論
評論

遠距工作逐漸成為了常態,企業內部的雲端協作增多,加上用戶使用的終端設備也日漸多樣化,導致終端設備的風險不斷增加,同時企業對於遠程接入的安全需求也更為提升。雲端運算的廣泛使用,給傳統 VPN 技術實現遠程安全接入的方案,帶來了很大的挑戰。

挑戰來源於這裡

首先終端安全風險缺乏有效地管控,傳統的 VPN 只針對用戶做認證,缺乏對終端裝置認證及安全性評估。終端種類和來源的多樣性帶來的安全風險大大增加,存在終端被入侵並作為攻擊跳板的可能性。

傳統 VPN 難以適應雲環境和多雲數據中心應用場景出現,且通常採用加密隧道劃分安全可信區域,在雲環境下,尤其是存在多雲數據中心的情況,難以適應同意安全接入、統一建立安全邊界的需求。最後 VPN 介入後的橫向攻擊難以控制,用戶通過傳統 VPN 接入內網後,缺少更細粒度、動態的訪問和權限控制,導致關鍵應用可能存在被攻擊滲透的風險。

新的方案需要在這 3 個方面提升

除了對用戶身份認證以外,對用戶終端的安全性也需要進行持續地評估,以提升系統安全水平。適應雲端運算環節下統一接入、統一管理的要求,其中包括私有雲、公有雲和混和雲環境。對內部網路中的橫向攻擊進行有效地管理控制,對用戶可信度的訪問權限進行評估,不能只是透過物理位置和靜態狀態來做出判斷,需要基於用戶自身的角色和身份以及當前的安全狀態,來進行更細顆粒度的動態授權,進一步去提升系統安全訪問的標準。

VPN 會在用戶進行登錄訪問的期間實施檢測功能,當發現終端安全狀態不能滿足安全需求時,會限制終端對系統的訪問。VPN 可以通過 API 接口與態勢感知、下一代防火牆、終端檢測和響應等多種裝置進行安全連動,並保持安全效能持續地成長,更加準確識別出異常行為和未知的威脅。同時,透過與其他能力相互協作,滿足遠距辦公場景下的數據防泄密需求。

Surfshark VPN 免費加贈 3 個月

本文章內容由「Surfshark」提供,經關鍵評論網媒體集團廣編企劃編審。