-
探討智能家居與安防系統(tǒng)的網(wǎng)絡(luò)安全
隨著國內(nèi)互聯(lián)網(wǎng)基礎(chǔ)設(shè)施的成熟，越來越多的基于互聯(lián)網(wǎng)的應(yīng)用設(shè)想也日趨完善。2014年更是4G移動終端的普及元年，借此東風(fēng)，各種依托于移動互聯(lián)網(wǎng)的應(yīng)用如雨后春筍般涌現(xiàn)，智慧物業(yè)已經(jīng)開始進(jìn)入市場培育期。一時間市場涌現(xiàn)出數(shù)以千計的產(chǎn)品，在帶給用戶方便的同時，也引發(fā)了相應(yīng)的安全問題。本文嘗試針對智能家居、智能安防系統(tǒng)安全問題做一定深度的探討。
如果沒有公眾網(wǎng)絡(luò)，就沒有黑客。借助公眾網(wǎng)絡(luò)，黑客才有機(jī)會訪問到遠(yuǎn)程的設(shè)備，即使他們的肉眼看不到這些設(shè)備。所有的黑客都以遠(yuǎn)程入侵未經(jīng)授權(quán)的設(shè)備為成功標(biāo)志，早期的黑客的動機(jī)相當(dāng)單純----只是為了簡單地證明自己的技術(shù)能力，“你看，我成功地入侵了某系統(tǒng)，我技術(shù)厲害吧?”這些黑客做的無非是遠(yuǎn)程篡改網(wǎng)頁、惡意刪除數(shù)據(jù)等等近似于“惡作劇”的行為，這些行為所造成的惡果遠(yuǎn)遠(yuǎn)低于當(dāng)今黑客。而最近幾年，黑客的行為動機(jī)早已和利益密切掛鉤----竊取遠(yuǎn)程用戶數(shù)據(jù)、竊取用戶銀行密碼、身份證號等等各種個人隱私數(shù)據(jù)，并依靠出賣或者使用這些數(shù)據(jù)來獲得不當(dāng)?shù)慕?jīng)濟(jì)利益。時至今日，在各種媒體上看到的黑客入侵導(dǎo)致巨額經(jīng)濟(jì)損失的案例數(shù)不勝數(shù)，在這些案例中，黑客所攻陷的設(shè)備都是以電腦、手機(jī)為主。智能家居、安防系統(tǒng)作為互聯(lián)網(wǎng)終端的新接入者，同樣面臨安全方面的問題，甚至有可能會比傳統(tǒng)的設(shè)備更嚴(yán)重。
在現(xiàn)階段的市場上，比較普及的接入互聯(lián)網(wǎng)的設(shè)備有這幾大類
l 互聯(lián)網(wǎng)攝像頭、智能開關(guān)
l 智能家居控制中心
l 智能路由器
互聯(lián)網(wǎng)攝像頭、智能開關(guān)的網(wǎng)絡(luò)安全提示
由于市場上的確存在很大的遠(yuǎn)程攝像頭需求，此類產(chǎn)品在3-4年前就已經(jīng)開始率先進(jìn)入家居安防領(lǐng)域。小區(qū)的公眾區(qū)域需要監(jiān)控，家里的公共區(qū)域也需要監(jiān)控，業(yè)主對于這些攝像頭的遠(yuǎn)程訪問需求都成為了互聯(lián)網(wǎng)攝像頭的“剛需”。順應(yīng)市場需要，各個攝像頭方案商都給攝像頭加入了很多貼心的功能：手機(jī)遠(yuǎn)程訪問、高清本地錄制、遠(yuǎn)程視頻錄制、移動偵測、入侵報警、入侵拍照。如果不考慮安全因素，目前的攝像頭的功能已經(jīng)是相當(dāng)?shù)貜?qiáng)大。
但是事情往往有兩面：便捷的背面可能就是危險。首先，遠(yuǎn)程攝像頭都是通過設(shè)置一個密碼來校驗用戶的遠(yuǎn)程訪問權(quán)限，由于各種原因，不少用戶選用了極為簡單的密碼，或者干脆就用廠商出廠時的默認(rèn)密碼，殊不知黑客最愛的就是這類密碼，往往可以通過簡單的嗅探器窮舉攻擊(也叫字典攻擊)來獲取到他們想要的東西。對于這種情況，有一種臨時的防范方法：更改攝像頭傳輸數(shù)據(jù)的TCP端口、并盡量使用復(fù)雜的密碼。
其次，市面上眾多的攝像頭中，有相當(dāng)大的部分是由小廠商生產(chǎn)的，我們不妨惡意地揣測：如同山寨手機(jī)，這些攝像頭在出廠前，很可能被內(nèi)置了一些不明目的的惡意程序，這些程序主動將用戶所設(shè)定的密碼上傳到某處的服務(wù)器。如果真有這種內(nèi)嵌的惡意程序，那前面所提到的臨時防范手段將會變得形同虛設(shè)。
當(dāng)然，有矛就有盾，終極的解決方案也會存在，只要做到以下幾點，就算攝像頭內(nèi)有惡意程序也不會給黑客任何可乘之機(jī)。
l 使用一個安全的“智能家居控制中心”作為攝像頭轉(zhuǎn)發(fā)設(shè)備
l 攝像頭自身不連接互聯(lián)網(wǎng)，只與智能家居控制中心在家庭局域網(wǎng)中連接
l 智能家居控制中心用攝像頭所設(shè)置好的遠(yuǎn)程訪問賬號與攝像頭保持連接，并使用更強(qiáng)大的鑒權(quán)機(jī)制提供遠(yuǎn)程訪問
從網(wǎng)絡(luò)安全的角度出發(fā)，智能開關(guān)和網(wǎng)絡(luò)攝像頭的本質(zhì)是一樣的，只有采取同樣的應(yīng)對措施，不難保證其安全性。
智能家居控制中心的網(wǎng)絡(luò)安全提示
可以簡單地認(rèn)為，這個設(shè)備是家里所有智能設(shè)備的中心控制器，有了這個設(shè)備，其它的智能家居終端如：冰箱、洗衣機(jī)、窗簾、電燈、攝像頭、地暖、空調(diào)、智能插座都無需直接暴露在互聯(lián)網(wǎng)下。這種架構(gòu)最大的好處就是：在家居的所有智能終端與互聯(lián)網(wǎng)之間搭建一個物理防火墻，讓智能終端的系統(tǒng)漏洞、預(yù)留后門都不再成為黑客攻擊的入口。其原理異常簡單----無法直接訪問到的設(shè)備是無法被攻擊的。
使用智能家居控制中心的另外一個好處也顯而易見：只需要關(guān)注一個設(shè)備的網(wǎng)絡(luò)安全，即這個控制中心，無需去逐個檢查分布在家里的所有不同類型的設(shè)備的安全性。
作為整個家庭的智能家居的防火墻、總接口，智能家居控制中心身上所背負(fù)的安全責(zé)任不可謂不大，如何讓它盡可能地安全并不是一件簡單的事情，可以說，這個設(shè)備的安全性是眾多經(jīng)驗豐富的網(wǎng)絡(luò)安全工程師的心血凝聚。深圳寶路在嵌入式設(shè)備上研發(fā)多年，并投入了大量的人力物力在嵌入式設(shè)備的安全性研究上，所幸這些投入都已經(jīng)初見成效，寶路的拳頭產(chǎn)品BR3810、BR3807這兩款設(shè)備在作為智能門禁對講機(jī)的同時承擔(dān)起智能家居控制中心的重?fù)?dān)。
盡管智能家居控制中心可以提供一個可信賴的物理防火墻，但是與傳統(tǒng)的網(wǎng)絡(luò)服務(wù)器相比，它所能承載的東西還是太少----畢竟，它只是一個運算、存儲能力都無法和服務(wù)器相匹敵的嵌入式設(shè)備。（點擊下頁）
針對這個問題，深圳寶路的終極解決方案如下：
l 作為一級防火墻，深圳寶路的服務(wù)器承載所有的數(shù)據(jù)并應(yīng)對所有的網(wǎng)絡(luò)攻擊，
l 作為二級防火墻，智能家居控制中心隱藏在服務(wù)器背后
l 所有的智能家電都不連接互聯(lián)網(wǎng)，只通過LAN與智能家居控制中心建立有限的、可信任的連接
話題延伸至此，顯而易見暴露在互聯(lián)網(wǎng)下的服務(wù)器將會是黑客們攻擊的第一對象。在世界上所有的網(wǎng)絡(luò)安全工程師的眼里，Unix/Linux服務(wù)器是最安全的，沒錯，一般人所熟知的Windows服務(wù)器從來沒有得到過網(wǎng)絡(luò)安全工程師的認(rèn)可。我們平時上的網(wǎng)站有98%是Unix/Linux服務(wù)器在背后支撐。
截止2013年10月31日UNIX和Linux服務(wù)器市場占有率統(tǒng)計分析，數(shù)據(jù)來自w3techs，UNIX全球web服務(wù)器市場占有率66.5%，Linux全球web服務(wù)器市場占有率31.4%。下面是來自W3Techs的兩張圖表。
QQ截圖20141223153113.jpg
從系統(tǒng)構(gòu)思的那一天起，深圳寶路智能的服務(wù)器就選用了Ubuntu的Linux服務(wù)器?；贚inux內(nèi)核的服務(wù)器給寶路的產(chǎn)品提供了最強(qiáng)有力的支持，同時也提供了最可信賴的防火墻。
智能路由器的安全提示
作為上一輪智能家居行業(yè)的投資熱點，智能路由器已經(jīng)培育市場有一年多了。家庭路由器本身已經(jīng)發(fā)展了近二十年，其功能和穩(wěn)定性都已經(jīng)日趨完善，各大互聯(lián)網(wǎng)巨頭和投資人所看中的是它即將覆蓋的智能家居行業(yè)。與智能手機(jī)的攻城略地不同，智能路由器的家庭滲透程度還停留在比較低的階段，盡管如此，不能否認(rèn)在智能家居這個市場中智能路由器將會大有可為。
理論上，由于路由器自身具備了很強(qiáng)的防火墻能力，智能路由器也是智能家居控制中心的一個好選擇。家庭中的所有智能家電都不會直接通過路由器上網(wǎng)，而是隱藏在路由器后面，由路由器來統(tǒng)一轉(zhuǎn)發(fā)，這種連接方式也能徹底杜絕智能設(shè)備中后門程序的隱患。與寶路智能的方案相比，這個方案的小小缺陷是：智能路由器不能作為小區(qū)內(nèi)所有智能對講設(shè)備的防火墻，無法為遠(yuǎn)程智能對講提供有效的安全防護(hù)服務(wù)。相應(yīng)地，這種方案的優(yōu)勢在于能讓稍有IT知識的人士自行搭建智能家居環(huán)境。
有一點要提請注意：智能家電產(chǎn)品連接路由器時，不能用傳統(tǒng)的方法讓設(shè)備直接上網(wǎng)，必須是路由器主動請求與智能家電連接，并做相應(yīng)的協(xié)議轉(zhuǎn)發(fā)，否則智能路由器將無法作為一個安全可信的防火墻。
篇尾
有了經(jīng)濟(jì)利益推動的黑客群體，對網(wǎng)絡(luò)上設(shè)備的攻擊嘗試是不會休止的，所使用的攻擊方法、手段也是層出不窮的。因此，不管是使用怎樣的架構(gòu)，系統(tǒng)中的每一個部分，都應(yīng)該具備主動升級軟件的功能，以防火墻身份出現(xiàn)的設(shè)備更應(yīng)該具備這一功能，防火墻要依靠軟件升級來提升自身的免疫力，并應(yīng)對新型的網(wǎng)絡(luò)攻擊，就如同電腦里的殺毒軟件一樣。
俗話說“道高一尺魔高一丈”，網(wǎng)絡(luò)安全本身就是永不休止的矛與盾的對決，在不同的時期、不同的產(chǎn)品都會有不同的問題，唯有保持與時俱進(jìn)，才能在這場對決中占據(jù)上風(fēng)。（作者單位：深圳寶路智能科技有限公司 ）
