關于智能家居漏洞的安全研究有了新進展。11月16日，“天府杯”2018國際網絡安全大賽暨2018天府國際網絡安全高峰論壇在成都開幕，除了激烈的國際破解大賽，多場備受關注的重磅行業論壇也同期舉行。在智能設備漏洞成為網絡安全領域重要話題的背景下，來自電子科大網絡安全研究院、騰訊安全等企業的技術專家齊聚漏洞挖掘分論壇，就相關議題展開深入交流。

騰訊安全移動安全實驗室的安全研究員秦書鍇受邀出席漏洞挖掘分論壇，并作了《智能家居新型攻擊面研究》的主題分享。秦書鍇表示，智能家居安全面臨結構更復雜、涉及環節更多的痛點，亟需構建一套涵蓋APP安全、協議保護和固件安全的系統化全流程保護方案。

智能手機成攻擊“入口” 或導致智能家居安防全面瓦解

智能家居產品的安全性一直是開發人員面臨的最大挑戰之一。長期以來，不法黑客顯示出了對物聯網領域極高的興趣，智能家居類消費產品的安全問題頻發，幾乎每隔不到一個星期，就可以看到各種新聞報道說，某個知名公司或大型機構遇到了又一個安全漏洞。

據秦書鍇介紹，智能家居的安全威脅模型與傳統安全威脅模型不同，不僅結構更加復雜，保護的重點也不盡相同。“智能家居更側重于保護操作系統安全，側重防御RCE和云端安全。”秦書鍇表示，由于傳統的安全模型只保護單個環節，默認局域網的安全，實際給不法分子制造了可乘之機。

秦書鍇特別強調，智能手機自如地穿梭在各個局域網當中，設備數量極多，一旦用戶安全意識不強，隨意進行例如掃描未知二維碼、連接風險WiFi等操作，極易成為攜帶病毒的“病原體”。為了幫助觀眾理解最新智能家居攻擊模型，秦書鍇現場剖析了騰訊安全移動安全實驗室在2018GeekPwn國際安全破解大賽上簡單三步破解“黑客屋”的案例：極客首先通過發送釣魚短信控制了智能手機，潛入局域網后迅速鎖定智能電視、路由器等家庭網絡中樞作為“橋頭堡”， 最后進行跳板攻擊其他的智能家居設備，實現控制臺燈、掃地機器人、攝像頭等一系列設備。

助力保障IoT設備安全 騰訊安全移動安全實驗室打造全流程解決方案

面對頻繁暴露的智能家居漏洞安全隱患，騰訊安全移動安全實驗室通過對大量設備進行安全攻防與研究，挖掘出了上百個IoT設備的高危漏洞，涉及幾十種設備類型，并研發出一套獨有的IoT設備全流程保護方案，全面覆蓋知識產權保護、惡意破解防護、漏洞防御等IoT風險。

具體來說，通過在移動平臺攻擊經驗的積累和對設備安全的深入研究，騰訊安全移動安全研究實驗室針對設備APP，基于Android和IOS平臺開發語言的VMP保護方案能大幅提高攻擊者逆向分析APP進行漏洞挖掘的成本和精力;在協議保護方面，對數據進行加密等安全處理行為能夠保證數據內容不被竊取或篡改，保證數據傳輸層的協議及內容安全;在固件方面，IoT安全編譯器通過對Native代碼的深度保護，提供攻擊者固件漏洞挖掘的成本。騰訊安全移動安全實驗室搭建起穩定、安全、簡單、易集成的全流程安全保護方案，并為客戶提供穩定、高效、持續性的安全技術支持服務。

“新的攻擊面不僅會一直存在，還將產生新的漏洞并讓不嚴重的漏洞嚴重起來”， 秦書鍇表示，騰訊安全移動安全實驗室已經擁有了一套整體的方案，一方面可以幫助排查市面上如智能門鎖等智能家居產品安全風險，幫助行業修復漏洞，如果廠商有需要，移動安全實驗室可以提供方案;另一方面未來希望能夠制定智能家居產品安全方面的標準，騰訊安全移動安全實驗室將持續開放自身的安全能力，助力行業伙伴實現智能設備安全升級。

————————————————————

免責聲明：凡本網注明“來源：XXX(非本網)”的作品均轉載自其它媒體，轉載目的在于傳遞更多信息，并不代表本網贊同其觀點和對其真實性負責。如稿件版權單位或個人不想在本網發布，可與本網聯系，本網視情況可立即將其撤除。