返回 登录
0

跨平台攻击令智能设备的物理隔离和系统屏障消失

阅读431

被刷屏的Wi-Fi漏洞和BlueBorne

这两天,安全圈被Wi-Fi漏洞刷屏了:用于保护Wi-Fi网络安全的WPA2协议被攻破,攻击者利用此漏洞,可以对所有接入网络的设备的通讯实施监听,Google的Android、苹果iOS、微软的Windows等系统都受其影响。

图片描述

虽然这次爆出的Wi-Fi漏洞令人震惊,但不要忘记,距上次发生全平台威胁事件也仅过去一个月而已:9月初,蓝牙漏洞BlueBorne以近乎开启了上帝模式的方式,利用 8 个蓝牙传输协议漏洞,可绕过安全机制,获取所有运行在 Android、iOS、Windows 和 Linux 等主流操作系统上的设备的绝对控制权,实现访问企业的数据和内网、向邻近的设备传播恶意软件、甚至对有物理隔绝的内网渗透攻击。

图片描述

这种基于协议层的漏洞往往牵涉大量的、来自于不同操作平台的系统和应用,攻击者利用此类漏洞,可拥有发起跨平台攻击的能力。不仅如此,设备级和广泛传播的应用的漏洞,也同样存在这样的威胁隐患。随着互联网和移动互联网的发展,以及IT技术的进步,越来越多的跨平台攻击可能性正被挖掘出来,智能设备的物理屏障和系统屏障正流于形式。

系统屏障不再,物理隔离失效

事实上,诸如“苹果比Windows安全”、“iOS比Android更安全”,这种坊间使用者的个人体验,很大程度上是被系统的市场占有率、黑软开发成本以及用户使用习惯,甚至相关的媒体报道等左右着。安全以及是否中招是个概率问题,研究表明随着苹果出货量加大,针对iOS和OS X的攻击行为正持续增加。

而在上文的Wi-Fi和蓝牙漏洞威胁下,系统已不再是抵御攻击的屏障。如同一个设置了层层围墙和壕沟的阵地,抵御地面攻击的能力很强,奈何敌人发动的却是空中打击。

而基于Wi-Fi和蓝牙的漏洞攻击,入侵智能设备完全不需要物理接触。那些通过内外网隔离、存储媒介物理隔离保护信息安全的方式将变得束手无策。

跨平台攻击

其他类似于Wi-Fi WPA2协议漏洞和BlueBorne漏洞这样的安全威胁,有哪些、有多少,目前难以统计。简单罗列一些已被爆出的跨平台威胁,供参考。前方高能:

CCleaner被注入恶意代码,应用级威胁。9月初,攻击者黑入CCleaner下载服务器,篡改了正版软件的下载包,令至少227万用户中招,针对大企业的二次威胁正在酝酿。

SS7协议漏洞,存在了20年的电信通信协议漏洞,攻击者可借助其追踪全球手机、拦截呼叫和文本短信。已有虚拟货币持有者因被黑客劫持二步认证短信,导致账号财产被盗。

无线网络EPC架构漏洞,近日有安全公司发现4G和5G无线网络分组核心网EPC(Evolved Packet Core)架构的GTPv2协议中存在一个关键漏洞,攻击者利用该漏洞,无需借助难以获取的工具或高超的技能便可拦截、收集移动数据,并发起拒绝服务(DDoS)攻击。

劫持红外线安全摄像头,科幻的硬件级威胁。将特定软件植入到与安全监控摄像机/软件进行交互的智能设备上,即可直接用闪烁的红外线与具备红外功能的安全摄像头交互,窃取数据。由于人眼看不到红外线,因此也无法察觉信息盗窃行为。

Wi-Fi芯片漏洞,硬件漏洞。Broadcom(博通)Wi-Fi芯片存漏洞,可被黑客植入后门,进而允许攻击者在无需用户交互的情况下通过本地Wi-Fi 网络远程接管目标设备。

语音识别隐患,应用级威胁。浙大的超声波攻击利用了人耳听不到的高频声音(例如20,000Hz)启动语音识别系统并发出指令。经测试,亚马逊Alexa,苹果Siri,谷歌Now,华为HiVoice,三星S Voice,以及奥迪Q3的语音识别系统,全部命中。

无线键鼠轻易被控,协议级漏洞。攻击者利用专门用于劫持无线键盘鼠标的无线天线,伪装成用户的无线鼠标和键盘,进而控制其电脑。

大家可以看到,跨平台攻击利用了标准协议和标准硬件自身的漏洞,并不直接黑入系统,而是作为跳板,或者链路,为进一步控制智能设备开后门。虽然这些漏洞被直接利用有一定难度,但其隐患尤其大,危害尤其高。

对此,指掌易给出的建议是:个人用户要养成良好的智能设备使用习惯,及时升级固件,经常更改设备密码,安装防护软件,定期备份数据;不下载不安装来源不明的软件;不使用摄像头、音箱、GPS、Wi-Fi等功能时及时关闭。

对于企业来说,没有可信可控的安保措施时,在网络和物理层面一刀切的安全隔离方案已经不再适用,面对日新月异的网络威胁手段,这无异于一头扎进沙子的鸵鸟。指掌易建议,与其放任,不如在培养员工健康的智能设备使用习惯的同时,配置合乎企业现状的信息安全保护方案,如防火墙、VPN、企业移动管理、威胁感知、数据防护策略以及员工权限配置等。建立完整的安全保障措施并有效执行起来,如智能设备及时关闭,定期维护等。切实保护好企业的信息安全。

作者:指掌易

北京指掌易科技有限公司成立于2013年,团队曾开发了中国最早的移动安全产品,并拥有上亿规模的用户运营经验。指掌易科技从难度最大的操作系统级安全入手,通过不懈努力,最终实现了技术轻量化和方案一体化,进而提供了全球最强大的移动办公安全整体解决方案。

欢迎相关领域的技术应用、解析、编译等,请发送邮件至baiyan@csdn.net

评论