物聯(lián)網(wǎng)不安全的源頭是硅谷的文化

　 ? 最近幾年來(lái)，“物聯(lián)網(wǎng)” 一詞在硅谷一直是一個(gè)熱詞，因此當(dāng)我們?cè)谝恍?a href="http://www.wenjunhu.com/v/" target="_blank">科技類新聞中讀到物聯(lián)網(wǎng)黑客時(shí)，會(huì)覺得有種諷刺的意味。最近幾個(gè)月，VentureBeat 曾發(fā)表過(guò)幾篇文章 “FBI 警告汽車制造商和用戶，車輛具有被黑客襲擊的風(fēng)險(xiǎn)”“物聯(lián)網(wǎng)設(shè)備可能是特洛伊木馬”。

　　很多從事科技行業(yè)的人都有較深的黑客和惡意軟件意識(shí)，常常認(rèn)為這只是新平臺(tái)成長(zhǎng)的煩惱。但是對(duì)于廣大消費(fèi)者來(lái)說(shuō)，這是非常嚴(yán)重的威脅，不僅對(duì)設(shè)備和個(gè)人數(shù)據(jù)來(lái)說(shuō)是一種威脅，同時(shí)對(duì)自己的身體健康和家人的身心安全也是一種威脅。隨著設(shè)備的不斷增多，Google 最新發(fā)布的智能家具等新設(shè)備加劇了它的脆弱性，該行業(yè)整體上處于危險(xiǎn)之中。

　　我們?cè)撛趺唇鉀Q這個(gè)問(wèn)題呢？為了全面抓住這個(gè)問(wèn)題，我們需要從基礎(chǔ)層面了解一下為什么會(huì)有很多物聯(lián)網(wǎng)黑客的問(wèn)題，以及現(xiàn)在科技行業(yè)必須做什么才能解決這個(gè)問(wèn)題。

編者按：本文作者 Min-Pyo Hong 是舊金山一家移動(dòng)端安全解決方案公司的創(chuàng)始人兼 CEO，他在文章中表示物聯(lián)網(wǎng)行業(yè)之所以不安全的源頭是硅谷的文化。

　　硅谷的文化使得物聯(lián)網(wǎng)不安全

　　隨著移動(dòng) App 的快速發(fā)展，很多 PC 時(shí)代優(yōu)秀的開發(fā)實(shí)踐無(wú)法應(yīng)用到物聯(lián)網(wǎng)開發(fā)中。物聯(lián)網(wǎng)設(shè)備使用的代碼庫(kù)與創(chuàng)建網(wǎng)站、App 或者 PC 軟件使用的語(yǔ)言并沒(méi)有發(fā)生根本性的改變。雖然事實(shí)如此，但是我常常在物聯(lián)網(wǎng)產(chǎn)品中發(fā)現(xiàn)十幾年前就已經(jīng)知道的脆弱性，即使大公司的產(chǎn)品也有此類的問(wèn)題。發(fā)布一款設(shè)備，但是客戶的軟件缺乏足夠的保護(hù)措施，或者發(fā)布一款服務(wù)器間的加密交流設(shè)備，但是卻無(wú)法確保設(shè)備的互聯(lián)網(wǎng)聯(lián)通協(xié)議安全。

　　再次重申一下，這種失敗并不是因?yàn)槲锫?lián)網(wǎng)是一種前沿科技，開發(fā)者們還在學(xué)習(xí)如何使用；而是因?yàn)槿藗兒鲆暳碎L(zhǎng)期建立起來(lái)的關(guān)于安全代碼的傳統(tǒng)意識(shí)，這將直接導(dǎo)致非常危險(xiǎn)的事情，對(duì)消費(fèi)者的安全造成了嚴(yán)重的危險(xiǎn)。拿最近的一個(gè)案例來(lái)說(shuō)，我們知道黑客經(jīng)常攻擊通過(guò) Wi-Fi 連接的嬰兒監(jiān)控器，但是人們很少知道之所以可以進(jìn)行攻擊，是因?yàn)樵O(shè)備會(huì)發(fā)送、存儲(chǔ)敏感的數(shù)據(jù)，包括證書和純文本。

　　這里的罪魁禍?zhǔn)撞皇谴a，而是文化。在硅谷，人們最關(guān)注的是成為最新的平臺(tái)，快速搶占市場(chǎng)。我們好像都患有失憶癥。我們?cè)谝苿?dòng)生態(tài)圈里一遍又一遍地看到安全問(wèn)題，因?yàn)榻?jīng)驗(yàn)不足的團(tuán)隊(duì)會(huì)匆忙地將自己的 App 放到市場(chǎng)上，使得很多產(chǎn)品都可以被攻擊。重復(fù)這種模式，我們經(jīng)常也會(huì)看到制造物聯(lián)網(wǎng)設(shè)備的人具有很少或沒(méi)有硬件經(jīng)驗(yàn)，缺乏了解硬件、中間設(shè)備、軟件之間相互關(guān)系的背景。

　　開發(fā)新產(chǎn)品的市場(chǎng)

　　所有這些文化的缺陷是連接設(shè)備的快速發(fā)展的結(jié)果。IDG 預(yù)測(cè)到 2020年 物聯(lián)網(wǎng)市場(chǎng)將到達(dá) 17000 億，Gartner 估計(jì)物聯(lián)網(wǎng)的黑市交易到 2020年 將會(huì)超過(guò) 50 億美元。誠(chéng)然，物聯(lián)網(wǎng)設(shè)備的惡意軟件已經(jīng)成為一個(gè)繁榮的行業(yè)，而且通過(guò)各種各樣的攻擊途徑，它日漸變得越來(lái)越復(fù)雜。所有連接網(wǎng)絡(luò)的設(shè)備都會(huì)受到惡意軟件的影響，這意味著一個(gè)惡意軟件可以影響連接的所有設(shè)備。由于系統(tǒng)的復(fù)雜性，很難確定問(wèn)題的源頭。

　　我們?cè)撛趺崔k？

　　基于以上列出的原因，科技公司工程師團(tuán)隊(duì)可能無(wú)法從內(nèi)部進(jìn)行改革，即使他們內(nèi)心深處希望進(jìn)行改變。但是，我認(rèn)為解決問(wèn)題的重任應(yīng)該交給公司的領(lǐng)導(dǎo)以及投資人，他們可以施加壓力，從現(xiàn)在開始改變。

　　進(jìn)行更多的審計(jì)：據(jù) AT&T 在物聯(lián)網(wǎng)方面的報(bào)告表示，開發(fā)產(chǎn)品的公司中每天檢查一次或多次安全日志和警告的公司不到一半，檢查安全日志和警告是當(dāng)風(fēng)險(xiǎn)預(yù)測(cè)提高時(shí)必須的要做的一個(gè)步驟。更糟糕的是，在被調(diào)查的公司中，只有 14%的公司設(shè)置了正式的審計(jì)過(guò)程，幫助用戶了解他們的設(shè)備是否安全；只有 17%的公司在做決策時(shí)會(huì)圍繞物聯(lián)網(wǎng)的安全問(wèn)題進(jìn)行討論。

　　不斷監(jiān)測(cè)并將安全過(guò)程自動(dòng)化：公司需要對(duì)自己的設(shè)備情況更加透明。他們需要記錄所有的設(shè)備活動(dòng)，分類并立刻關(guān)閉可疑的活動(dòng)和差異。由于連接端點(diǎn)在大量增加，物聯(lián)網(wǎng)設(shè)備產(chǎn)生的數(shù)據(jù)量也在大幅度增減，在理想情況下，數(shù)據(jù)監(jiān)測(cè)、危險(xiǎn)監(jiān)測(cè)和保護(hù)的整個(gè)過(guò)程都應(yīng)該實(shí)現(xiàn)自動(dòng)化。

　　我們也應(yīng)該自我反思一下。在一定程度上，硅谷對(duì)這些黑客有所縱容，肯定了他們的 “創(chuàng)造神話”，試想一下當(dāng)年喬布斯和沃茲使用 “藍(lán)盒子” 給教皇打惡作劇電話的事。這可能給行業(yè)留下了潛在的影響，人們將攻擊無(wú)人駕駛汽車或者無(wú)人機(jī)看成一件非常酷的事情，而不是一件對(duì)生命造成潛在威脅的事件。我們應(yīng)該在正確的平臺(tái)上對(duì)正確的科技創(chuàng)意給予肯定，但是不要出現(xiàn)以下情況：對(duì)于某一種類型的產(chǎn)品，用戶數(shù)十億，但是安危未定，完全依賴大眾對(duì)這種挑戰(zhàn)的反應(yīng)。

　　本文編譯自：venturebeat.com