<track id="9hhjj"></track>

      <track id="9hhjj"></track>
      <noframes id="9hhjj">

      <track id="9hhjj"><strike id="9hhjj"><span id="9hhjj"></span></strike></track>

        <track id="9hhjj"></track>

            <p id="9hhjj"><pre id="9hhjj"></pre></p>
            <address id="9hhjj"><strike id="9hhjj"><span id="9hhjj"></span></strike></address><noframes id="9hhjj">

            應用

            技術

            物聯網世界 >> 物聯網新聞 >> 物聯網熱點新聞
            企業注冊個人注冊登錄

            下一波無線安全擔憂:API 驅動的物聯網設備

            2022-08-23 14:10 千家網

            導讀:“在 5G 方面,威脅越來越大,而且影響也相當大,因為在這里黑客可以針對整個行業,而不僅僅是單個用戶,”

            無線運營商可能是下一個要艱難學習物聯網設備帶來的安全風險的角色。這一警告來自柏林工業大學高級安全研究員 Altaf Shaik最近在Black Hat 信息安全會議上的簡報。

            “在 5G 方面,威脅越來越大,而且影響也相當大,因為在這里黑客可以針對整個行業,而不僅僅是單個用戶,”Shaik 在這個 40 分鐘的演示開始時說道。

            這里的核心問題是 5G 在連接人(正如Shaik 在去年的黑帽會議上的演講中所探討的那樣,通過 5G 獲得顯著的隱私升級)和機器方面的效用。運營商現在正在通過向這些客戶可以通過新 API 直接管理的企業提供物聯網服務,將后者的功能轉變為新的業務線。

            “第一次,4G 和 5G 網絡正試圖帶來這種網絡曝光,”Shaik 說?!皩S薪涌诂F在正在發生變化,并慢慢轉向通用或商品化技術,如 API?!?/p>

            “因此,現在任何外部實體都可以通過使用服務 API 并通過 4G 或 5G 核心網絡來實際控制他們的智能設備,”Shaik 引用了沃達豐在德國對無人機進行的測試說?!斑@個暴露層為無人機控制中心提供 API 和共享信息?!?/p>

            運營商將這些物聯網服務出售給愿意批量購買 1000 件或更多物聯網 SIM 卡的企業(通過稅號進行驗證)。反過來,這些企業客戶可以通過物聯網連接管理 Web 界面管理這些 SIM 卡,物聯網服務平臺 Web 界面提供賬戶范圍的控制。

            “只要您能夠訪問這些 API,您就可以做很多事情,”Shaik 總結道。

            愿意妥協

            但是,配置或管理不善的 API 可能會打開其他客戶的物聯網設備,甚至可能會破壞運營商的核心網絡。例如,攻擊者可能首先利用漏洞“獲取托管在同一平臺上的任意用戶的數據”,然后嘗試破壞運營商的應用服務器——然后可能“從那里滲透到移動核心網絡,因為它們是相連的”謝克繼續說道。

            他和同樣來自柏林工業大學的研究員 Shinjo Park 和來自 NetStudio Spa 的 Matteo Strada 通過從九個服務中購買物聯網 SIM 卡,然后測試它們是否存在可能的弱點來測試這一點。

            (Shaik 沒有說出他們的名字,但一張幻燈片將其中三家描述為網絡運營商,并將六家列為 MVNO。他后來在談話中說,大多數在歐洲,兩個“可能”在美國,一個在亞洲。)

            他的頂級結論:“還有很多東西缺失?!?/p>

            研究人員很容易獲得商業物聯網賬戶,Shaik 說這反映了了解你的客戶的合規性差:“許多提供商的客戶驗證非常寬松,當我們試圖與提供商爭論時,我們真的沒有一個很好的回應?!?/p>

            他們還發現缺乏基本的帳戶安全性,“接受了很多字典密碼”——無論是在創建帳戶時還是在之后更新它們時。

            研究人員隨后發現,這九家公司中有四家使用靜態令牌進行服務平臺授權,有效期從 24 小時到一周不等,這違反了要求 OAuth 登錄的GSMA 準則。九個中的三個沒有使用 HSTS(HTTP 嚴格傳輸安全)完全加密 Web 門戶訪問,這是針對中間人攻擊的關鍵防御。

            對物聯網 API 的動態分析發現對安全性的進一步忽視,首先是運營商向演示用戶公開甚至“敏感功能”的案例。當被問及時,Shaik 說,這些服務表示這是一種客戶獲取策略:“他們真的很想推銷他們的平臺并吸引盡可能多的客戶?!?/p>

            這九項服務中有七項甚至沒有嘗試對 API 訪問實施速率限制,他繼續說:“我們無法真正找到速率限制問題,其中只有兩個實際上設置了速率限制?!?/p>

            未能通過為設備分配隨機標識符來掩蓋客戶身份會增加攻擊者能夠針對特定公司的風險。

            入侵的載體

            Shaik概述了一些可能的攻擊。例如,攻擊者可以通過 SMS向 IoT 設備發送惡意軟件(他指出,一些運營商告訴他的團隊,國家法律禁止掃描 SMS 流量中的惡意軟件)或使用廣播下行鏈路消息來進行拒絕服務攻擊(例如訂購物聯網設備增加數據消耗或保持清醒直到電池耗盡)。

            研究人員進一步發現,為客戶訪問提供的 webhook 通常沒有使用標準的 HTTPS 加密進行保護,從而導致各種客戶數據泄露。

            最后,他們觀察到這些運營商中的大多數都沒有保護他們的物聯網 API 來拒絕惡意輸入字符串,攻擊者可以利用這些字符串在他們的平臺上運行任意代碼。Shaik 說:“其中至少有六個沒有真正的代碼注入保護?!?/p>

            這些服務中只有兩項通過了研究人員的測試:“其中只有兩項沒有受到我們看到的漏洞和設計風險的影響,”Shaik 說,并補充說,在他的團隊私下向這些公司披露這些問題之前,沒有人意識到這些問題.

            Shaik 敦促具有物聯網意識的提供商遵循現有的 GSMA 安全指南,然后采用經過驗證的安全實踐,例如通過僅提供特定用例所需的 API、隨機化用戶標識符、限制訪問、執行嚴格的輸入驗證以及監控和監控來減少攻擊面。記錄網絡流量。

            “擁有業內普遍推薦的額外安全實踐非常重要,”他說?!拔抑肋@很困難,但這是唯一的方法?!?/p>


            吻胸揉屁股摸腿娇喘视频大全
                <track id="9hhjj"></track>

                <track id="9hhjj"></track>
                <noframes id="9hhjj">

                <track id="9hhjj"><strike id="9hhjj"><span id="9hhjj"></span></strike></track>

                  <track id="9hhjj"></track>

                      <p id="9hhjj"><pre id="9hhjj"></pre></p>
                      <address id="9hhjj"><strike id="9hhjj"><span id="9hhjj"></span></strike></address><noframes id="9hhjj">