如果黑客“黑”了你家監(jiān)控系統(tǒng)，你的生活狀況就可能暴露無遺，假如攻擊者潛入網(wǎng)絡(luò)進(jìn)入智能電視，你的收看偏好和瀏覽記錄就會(huì)被黑客了如指掌了……智能生活普及的當(dāng)下，黑客入侵和攻擊方式已大大超出人們想象，如何守護(hù)用戶安全，成為很多企業(yè)探索之路。

智能時(shí)代 守護(hù)安全成企業(yè)探索之路

智能時(shí)代的安全隱患長(zhǎng)什么樣子?

首先是隱私安全。智能家居的發(fā)展已經(jīng)為我們描繪了一幅未來生活的美好圖景。但當(dāng)萬物聯(lián)網(wǎng)的時(shí)候，或許也意味著安全隱患無處不在。想象一下，如果黑客“黑”了你家監(jiān)控系統(tǒng)，你的生活狀況就可能暴露無遺，假如攻擊者潛入網(wǎng)絡(luò)進(jìn)入智能電視，你的收看偏好和瀏覽記錄就會(huì)被黑客了如指掌了……

再來看財(cái)產(chǎn)安全。

在美國(guó)的黑客大會(huì)上，一位計(jì)算機(jī)黑客向觀眾展示了不用銀行卡就能讓ATM機(jī)瘋狂吐鈔的“絕技”，讓現(xiàn)場(chǎng)觀眾看得目瞪口呆。這位黑客名叫杰克，他花了兩年的時(shí)間研究各種獨(dú)立ATM機(jī)，并找到了這些設(shè)備的漏洞。

甚至人身安全。

安全研究者Runa Sandvik與其夫Michael Auger已經(jīng)發(fā)現(xiàn)如何黑入某智能步槍，這對(duì)已婚黑客伴侶開發(fā)了一組技術(shù),可以讓攻擊者通過Wi-Fi連接入侵該步槍。并利用軟件漏洞，改變瞄準(zhǔn)鏡計(jì)算變量，可以把變更精確地送入槍鏡瞄準(zhǔn)系統(tǒng)，其精確程度足以讓子彈命中非射手選擇的目標(biāo)。

經(jīng)歷過對(duì)抗 安全才有說服力

如上案例昭示了一個(gè)形形色色的聯(lián)網(wǎng)物件越來越多且容易被黑的未來。黑掉步槍的Sandvik說：“有那么多東西都連在互聯(lián)網(wǎng)上：汽車、冰箱、咖啡機(jī),現(xiàn)在還有槍。傳達(dá)出信息就是：當(dāng)你把技術(shù)放到從前沒放過的東西上時(shí),你就會(huì)遇上從前沒想到過的安全挑戰(zhàn).”

網(wǎng)絡(luò)安全已不是屬于某個(gè)行業(yè)或某個(gè)領(lǐng)域的概念了，它已經(jīng)滲入到我們生活的各個(gè)角落。

作為安全的主體，廠商自身需要承擔(dān)最大責(zé)任，證明自己安全可靠。然而現(xiàn)實(shí)是，很多廠商對(duì)安全知識(shí)的了解非常匱乏，甚至完全沒有考慮安全，這是最令人擔(dān)心的。

事實(shí)上，廠商在制造這些智能設(shè)備時(shí)就應(yīng)當(dāng)把安全因素排在首位，將保護(hù)措施植入到系統(tǒng)中。特別是硬件的安全體系如果在創(chuàng)建之后再進(jìn)行改變，必將付出更大的代價(jià)。

“未知攻，焉知防”，廠商產(chǎn)品的安全性有說服力，很多時(shí)候反而體現(xiàn)在對(duì)抗過，經(jīng)歷過攻擊而不倒。在物聯(lián)網(wǎng)前的PC時(shí)代、移動(dòng)互聯(lián)網(wǎng)時(shí)代，像谷歌、微軟、騰訊等，都曾經(jīng)歷過無數(shù)攻擊，他們建立了一整套完善的安全體系。除了不斷強(qiáng)化自身的安全能力，這些大企業(yè)通常都會(huì)以非常開放的心態(tài)，去支持甚至獎(jiǎng)勵(lì)全社會(huì)來挖掘自家產(chǎn)品的漏洞。

微軟的安全探索之路

以微軟為例，盡管人們對(duì)微軟安全認(rèn)知一直被掩蓋在其產(chǎn)品功能的光環(huán)之下,但是貫穿于軟件產(chǎn)品生命的信息安全卻一直是微軟公司戰(zhàn)略的重中之重。

然而，微軟的安全之路并非一帆風(fēng)順。早在2001年，微軟推出了后來被廣受的爭(zhēng)議的Windows XP，當(dāng)時(shí)的微軟對(duì)安全還未足夠重視，更多關(guān)注點(diǎn)在滿足用戶痛點(diǎn)等體驗(yàn)層面。這導(dǎo)致Windows XP的安全性堪憂。在2003年和2004年，著名的“沖擊波”和“震蕩波”病毒肆虐，感染了上千萬臺(tái)機(jī)器，給微軟用戶帶來了很大損失，也影響了微軟的品牌信任度。

從2004年開始，微軟開始修煉內(nèi)功，將安全放在非常重要的位置。在十年的時(shí)間里，建立了一整套完善的安全管理策略。他們意識(shí)到提前預(yù)防永遠(yuǎn)要比事后解決付出的代價(jià)更小。微軟建立了一套科學(xué)的安全工程方法流程SDL( Security Development Lifecycle)，從安全的角度來指導(dǎo)整個(gè)軟件開發(fā)流程;成立微軟安全響應(yīng)中心(Microsoft Security Response Center,MSRC)，負(fù)責(zé)對(duì)微軟產(chǎn)品的漏洞報(bào)告進(jìn)行調(diào)查,并響應(yīng)這些漏洞報(bào)告，MSRC獨(dú)立于所有產(chǎn)品部門之外，擁有很大的權(quán)限，可以要求不達(dá)到安全標(biāo)準(zhǔn)的產(chǎn)品延期發(fā)布;同時(shí)，微軟還引入更高級(jí)別的信息安全專家進(jìn)入公司，或是擔(dān)當(dāng)安全顧問的角色。

值得一提的是，微軟曾將一些披露漏洞的白帽黑客社區(qū)視為對(duì)立面，而隨著其對(duì)安全的越來越重視，微軟對(duì)黑客社區(qū)的態(tài)度也轉(zhuǎn)變?yōu)橛押煤献?，不僅從其社區(qū)中引入人才到微軟工作，更是會(huì)贊助一些黑客社區(qū)的活動(dòng)，表明其重視安全、開放性地接受安全挑戰(zhàn)的立場(chǎng)。

如今，微軟每個(gè)月公布的安全公告，都會(huì)向其來自全世界的漏洞提交者致謝，感謝他們?yōu)楸Ｗo(hù)用戶安全做出的努力。在黑客大會(huì)Defcon 上，微軟還張貼出了安全貢獻(xiàn)榜TOP100，包括TK、yuange、陸吉輝等國(guó)內(nèi)安全專家都榜上有名。

安全不是一勞永逸 是動(dòng)態(tài)完善的

從微軟的故事可以看出，企業(yè)的信息安全問題不可能一勞永逸，也沒有終極解決方案，而是一個(gè)長(zhǎng)期動(dòng)態(tài)完善的過程。不管是傳統(tǒng)的互聯(lián)網(wǎng)，還是新興的物聯(lián)網(wǎng)企業(yè)，首先要制定出完善的信息安全體系和策略,構(gòu)筑強(qiáng)大的防御網(wǎng),而不是“頭痛醫(yī)頭,腳痛醫(yī)腳”。

“互動(dòng)社交化的服務(wù)觀、動(dòng)態(tài)完善的質(zhì)量觀、對(duì)抗求衡的安全觀“。這是智能安全社區(qū)GeekPwn倡導(dǎo)的安全新三觀。

互聯(lián)網(wǎng) 的時(shí)代，服務(wù)有時(shí)甚至?xí)哂诋a(chǎn)品實(shí)體本身，服務(wù)模式也從廠商單向提供轉(zhuǎn)向社區(qū)互動(dòng)模式。而安全極客們通過挖掘智能軟硬件的漏洞，能夠幫助產(chǎn)品完善安全能力，為廠商避免因?yàn)槁┒丛斐山?jīng)濟(jì)損失及企業(yè)信譽(yù)，從而為用戶提供極致的體驗(yàn)和服務(wù)。

電子產(chǎn)品、信息產(chǎn)品、智能產(chǎn)品由于復(fù)雜性決定了其在設(shè)計(jì)、開發(fā)、測(cè)試中存在了不同程度的“缺陷”和“問題”，廠商也是在不斷地迭代過程中尋求功能與體驗(yàn)的平衡。白帽黑客利用自己的專業(yè)知識(shí)和能力，通常會(huì)發(fā)現(xiàn)類似產(chǎn)品的缺陷和問題，這并不說明此些產(chǎn)品質(zhì)量有問題。

安全是攻防對(duì)抗之間的一個(gè)平衡，是由動(dòng)態(tài)的博弈對(duì)抗所決定。一個(gè)被發(fā)現(xiàn)漏洞和安全問題越多，并且改進(jìn)很迅速及時(shí)的產(chǎn)品，才是一個(gè)更高安全性的產(chǎn)品;一個(gè)沒有被爆出過安全問題的產(chǎn)品，其安全性是難以令人放心的。勇于接受安全挑戰(zhàn)的廠商，并有快速完善及處理的措施，正說明其擁了安全對(duì)抗能力并建立了動(dòng)態(tài)安全改進(jìn)機(jī)制。

10月24日，全球首個(gè)關(guān)注智能生活的安全極客大賽GeekPwn將如期開幕， GeekPwn一如既往堅(jiān)持科學(xué)中立不妥協(xié)，負(fù)責(zé)任的漏洞披露原則，吸納全球勇于挑戰(zhàn)的白帽黑客，發(fā)現(xiàn)智能生活可能存在的安全隱患。包括手機(jī)、汽車\無人機(jī)、智能家居、智能穿戴、指紋支付等8大項(xiàng)目將成為選手們的攻破對(duì)象。

更多資訊請(qǐng)關(guān)注工業(yè)安全頻道