马上注册，结交更多好友，享用更多功能^_^
您需要 登录 才可以下载或查看，没有账号？立即注册
x
本帖最后由 Minhal 于 2015-7-1 08:29 编辑
4月19日进行的FreeTalk北京站活动上，360攻防实验室资深安全技术研究员刘建皓分享了他的议题。站在我们FreeTalk的舞台上，刘建皓感慨说自己就像一位酒吧歌手，小编现在就为大伙呈现“歌手”刘建晧带来的精彩节目——《Hacking Everything，Everything is Hacking》。小伙伴们嗨起来，让我看到你们的双手！ 物联网改变生活 物联网（IoT）是信息化时代的一个重要新型发展阶段，它用互联网将各种本不相连的物品串联了起来。比如我们现在随处可见的智能插座、智能窗帘、智能灯光、智能热水器等。 物联网是一种既危险又有趣的混合技术,提供一些很有用却又不是非常有用的设备。 所谓的混合技术包括移动应用程序、蓝牙、Wi-Fi、zigbee、固件设备、服务、API、以及各种网络协议等。这些技术从独立上来看都是相对安全且成熟的。 但是要将这些技术结合应用起来的过程中，如果没有做好安全方面的考虑，会带来很多不必要的麻烦。 Hacking Everything 一个遥控器就可以控制你家的窗帘、电视、豆浆机，让你拥有一个完美的清晨……但是，当黑客控制了这个遥控器后，你可就摊上大事了！
智能硬件被攻破场景模拟： 一个富二代开着特斯拉去和女朋友约会。不巧在途中碰到了专门碰瓷的黑客。黑客决定对富二代做一些小的恶作剧。通过获取车牌、智能门禁系统等一系列的操作，黑客控制住了房间内的所有智能设备。而最后为了拉仇恨，黑客在富二代的面前华丽丽地开走了特斯拉，只留下来一个背影，没有带走一片云朵。 智能家居基础架构包括云端、手机、硬件终端；网络传输，反向控制技术。智能设备的功能越多，被用来进行攻击的手段也就越多。 云端身份验证机制不健全。伪造手机、伪造设备加密方式存在漏洞。HTTP UDP AES 自己写算法流程处理存在逻辑错误。绕过流程控制终端手机客户端应用程序防护不足。信息泄露 秘钥算法应用控制能够被劫持。无需登录控制硬件未删除测试接口。秘密通道 特权验证码设备终端系统服务没有关闭。服务最小化原则系统应用存在弱口令。最不负责任的协议自身安全。 没有加密传输自启动能够被打断。重写ＲＯＭEverything is Hacking
今年2月，海康威视被发现存在弱口令，并且该设备已被境外IP控制。这是由智能硬件、智能硬件蠕虫和僵尸网络一起引起的。更多技术分析：查看此前演讲者在Freebuf发布的文章《智能硬件蠕虫威胁互联网安全》。 对于互联网攻击，刘大神从安全人员、厂商和用户三个方面给予了一些建议: 安全人员：全面掌握各类安全技术，如web安全技术、移动安全技术、加密解密技术、静态分析技术、逆向分析技术、硬件构架技术、网络构架技术等，让智能设备上的安全问题无处可逃。厂商：加强硬件安全投入，采用成熟合理的身份验证、加密传输、访问控制安全构架。用户：购买前一定要三思而后行，多搜一些安全方面的资料，慎重购买存在漏洞的设备。精彩视频回放 刘建皓现场独家展示了未公开发布过的一个针对中间应用的攻击——小米电视不幸中枪，童鞋们可以在视频中看到。
FreeTalk北京站嘉宾：刘建皓 360网络攻防实验室资深安全技术研究员，FreeBuf作者，2014年7月刘建皓参与的360团队攻防实验室发布特斯拉汽车应用程序流程存在设计缺陷。攻击者利用这个漏洞，可实现远程控制车辆，实现开锁、鸣笛、闪灯、开启天窗等操作，并且能够在车辆行驶中开启天窗。 *Freebuf小编整理，转载请注明来自Freebuf黑客与极客（FreeBuf) | 
( 粤ICP备18085999号-1 | 粤公网安备 44051102000585号)
狗仔卡
发表于 2015-5-2 12:08:21
置顶卡
千斤顶
显身卡