巫光毅 消费类物联网IoT的安全实现.pdfVIP

消费类IoT网络安全实现 巫光毅 TUV莱茵 物联网时代 德国电信研究估计，2021年全球将会有380亿物联网设备上线。 其中1/3为智能家居家电，1/3为智慧城市。 消费类物联网 智能电视 智能监控 智能家电 智能照明 无线设备 智能机器 无人机 智能玩具 人 智能传感器 智能可穿戴 智能控制 智慧中控 海量设备进入家庭的情况下，到底有多少“好”产品。 IP摄像头弱点暴露 etia、geca、iseca等网站可以在线看到网络摄像头监控画面。 这些摄像头有室内的、室外的、道路监控、商场和酒店监控等。 个人隐私保护 全球数据保护法和网络安全法 PIPEDA ，个人信息及电子资料保护法 Data Prtecti Act 2018 Telecommunications Business Act GDPR ，通用数据保护法案 EU cybersecurity Act Technology Evaluation CCPA ，加州消费者隐私保护法 Certification (TEC) CA AB 1906 联网设备安全法 个人信息保护法 Privacy Aedet (Ntifiabe Data Breaches) Act 2017 消费类IoT安全风险 • 发现风险: 使用明文协议 造成的危害：网络中的攻击者可能能够窃听通信信道，访问甚至操纵敏感信息。 建议的修复方式：敏感数据的传输都使用最新的加密协议。 消费类IoT安全风险 • 发现风险: UART接口开放，并且可以使用rt she 造成的危害：攻击者可以连接到调试接口，并可以全权访问硬件设备。 建议的修复方式：禁用UART访问或者增加设备访问凭证 消费类IoT安全风险 • 发现风险: 固件逆向 造成的危害：固件可以被逆向。可能暴露硬编码凭证，并且暴露更多的攻击界面。 建议的修复方式：固件加密。 常见风险 开放debug端口 弱密码、密码重置 不安全TLS配置 明文传输 不安全的运行库 本地明文存储 不安全函数 Prta权限设置 消费类IoT安全规范 • 没有通用默认密码 •