广告

IoT设备供应商:为什么拒绝报告安全漏洞?

2020-05-27 Ann R. Thryft 阅读:
消费类IoT设备中的很多漏洞都不是由设备制造商发现的,而是由外部网络安全研究人员和白帽黑客发现的。这也是为什么人们普遍认为报告安全漏洞是IoT设备安全性的基本要求。那么,制造商是否应该尽一切可能得到这些报告,以便迅速找出并修复漏洞?

物联网(IoT)设备不断遭到黑客攻击,数据被盗取,操作被拦截。Bkiednc

谷歌和三星的Android摄像头应用以及Ring的安防摄像头都曾被黑客“劫持”,用来监视用户。Bkiednc

Omdia(原IHS Markit – Technology)的调查数据显示,今年全球IoT设备的安装数将达到接近350亿台。Omdia的企业研究副总裁Bill Morelli表示,这意味着黑客有350亿次机会进行安全攻击。他指出:“网络安全已成为全球各组织最关注的问题,预计全球网络安全支出将从2019年的600亿美元增加到2023年的1570亿美元。”Bkiednc

消费类IoT设备的每个漏洞都可能给数百万用户的安全或隐私带来威胁。联网消费类产品中的很多漏洞都不是由设备制造商发现的,而是由外部网络安全研究人员和白帽黑客发现的。Bkiednc

这也是为什么人们普遍认为报告安全漏洞是IoT设备安全性的基本要求。那么,制造商不是应该尽一切可能得到这些报告,以便迅速找出并修复漏洞吗?Bkiednc

事实显然并非如此。Bkiednc

安全漏洞报告开始兴起

物联网安全基金会(IoT Security Foundation,IoTSF)的最新报告显示,在接受调查的消费类IoT设备制造商中,超过86%没有制定漏洞报告政策。不过,强制性法规很快就会出台,国际标准也在制定当中。Bkiednc

这是该基金会针对这一主题第二次发布年报,调查了全球共330家消费类IoT设备制造商,产品从相机到洗衣机都有,其中最大的两个产品类别是智能家居照明和智能家居安防。报告指出,“智能家居安防”部分的调查结果颇具讽刺意味,因为在37家厂商中,只有3家(仅占该类别的8.1%)拥有明确的安全漏洞报告政策。”Bkiednc

整体来看,拥有安全漏洞报告政策的公司所占百分比从9.7%增加到了13.3%,其中主要是拥有著名消费者品牌的大公司,例如亚马逊、苹果、FitBit、戴森、Garmin、谷歌、惠普、HTC、华为、联想、LG、摩托罗拉、三星、西门子、Signify和索尼。Bkiednc

Bkiednc

图1:IoTSF的执行董事John Moor表示,如果IoT产品的制造商没有安全漏洞报告政策,就不应涉足IoT业务。Bkiednc

IoTSF的执行董事John Moor说:“我还没仔细研究比例这么低的原因,但我认为,首先是因为许多公司都是新进入联网嵌入式设备领域,初来乍到,缺乏认知;第二个重要原因是这个问题没有责任归属,因为没有相关法规,所以有些公司不想自找麻烦。”但是,这其实并没有什么成本,最简单的安全漏洞报告系统只需要建立一个“/security”网页。Bkiednc

业者缺乏认知是最大的问题。Moor表示,由于连接到互联网的嵌入式产品数量激增,对电子产品设计和现场支持的要求也发生了深刻的变化。传统的嵌入式系统是不联网的,在连接到互联网并增加软件功能之后,这些系统及所连设备的攻击面都会大大增加。Bkiednc

迄今为止,安全漏洞报告程序都不是电子工程师或他们的主管非常在意的事情,但对于已经连接到物联网的产品(IoT设备),这是最基本的安全要求。Bkiednc

就算是IoTSF调查中那44家拥有安全漏洞报告的制造商,其政策的类别和复杂度也可能千差万别。超过三分之一的公司并没有设定报告安全漏洞的时间线,而时间线被认为是最好的方法。只有4家公司承诺在90天内解决所报告的安全问题。在这44家公司中,只有不到一半采用了安全漏洞报告奖励制度。给予金钱上的奖励,能让白帽黑客们更愿意将发现的安全漏洞报告给公司,而不是在黑市中进行交易。Bkiednc

Bkiednc

图2:一项针对全球消费类IoT产品制造商的调查显示,2019年拥有安全漏洞报告政策的公司比2018年略有增加。(图片来源:IoT Security Foundation)Bkiednc

“安全漏洞报告至关重要,”Moor强调,“如果你可以向任何人——包括客户、用户、研究人员和白帽黑客——提供一条报告漏洞的通道,你就能及时了解问题,然后解决问题。”Bkiednc

强制性法规即将出台

美国国土安全部(DHS)已经提出了保护IoT设备安全的建议,美国国家标准与技术研究所(NIST)发布了“Recommendations for IoT Device Manufacturers(给IoT设备制造商的建议书)”,IoTSF也为开发人员提供了“Secure Design Best Practice Guides(安全设计最佳实践指南)”。Bkiednc

欧洲电信标准协会(ETSI)提出了管理IoT设备的最新国际标准,英国最近也宣布将制定物联网安全法,它们都将强制要求披露安全漏洞。澳大利亚也有相关的法规提案。Bkiednc

“尽管标准提案并非用同一种语言,但说的都是同一件事。”Moor表示,目前安全漏洞处理程序的首选标准是ISO/IEC30111,其2014年和2015年版本是免费的,2019年版本则受版权保护,“这会带来虽然低但是很明显的门槛。”他说。Bkiednc

ETSI的新标准有望在今年夏天发布。它是根据英国消费类IoT设备安全法的最低要求制定的,内容包括:更改默认密码、执行安全漏洞披露政策,以及持续进行软件安全性更新。Bkiednc

Bkiednc

图3:根据全球范围的调查数据,相较北美和亚洲,欧洲执行最新安全标准和法规的公司(总部位于欧洲)数量最少。(图片来源:IoT Security Foundation)Bkiednc

ETSI标准和英国法规的总体目标是为IoT设备的网络安全建立基准线。研究人员从消费类设备开始,因为这些产品成本最低,安全性要求也不像医疗、汽车或国家基础设施等应用那么高。Bkiednc

“如果联网产品制造商没有安全漏洞报告政策,他们就不应涉足IoT业务。”Moor措词强硬,“这对行业的成功和最终用户的安全至关重要。而且,这是他们迟早要做的事,因为强制性法规即将出台。”Bkiednc

(原文刊登于ASPENCORE旗下EETimes英文网站,参考链接:IoT Device Vendors: Why Resist Vulnerability Reporting?。)Bkiednc

本文为《电子技术设计》2020年06月刊杂志文章,版权所有,禁止转载。免费杂志订阅申请点击这里Bkiednc

本文为EDN电子技术设计 原创文章,禁止转载。请尊重知识产权,违者本司保留追究责任的权利。
Ann R. Thryft
EETimes工业控制技术编辑。Ann Thryft曾为EDN、RTC杂志、COTS Journal、NIkkei Electronics Asia、EE Times、Computer Design和 Electronic Buyers' News等媒体撰稿。 她曾向读者介绍了几种新兴趋势,包括:早期手机架构,机顶盒系统设计,开放式网络服务器和交换机/路由器架构,软件定义无线电和RFID。 在EBN,Ann获得了两项独立评选的最佳技术专题奖。 目前,她是《测试与测量世界》的特约技术编辑,并协助研究和编写In-Stat报告。 她拥有斯坦福大学文化人类学学士学位和商业营销协会(前身为B/PAA)的认证商业通讯员证书。
  • 微信扫一扫
    一键转发
  • 最前沿的电子设计资讯
    请关注“电子技术设计微信公众号”
  • 被质疑潜在影响空中安全,美国通信商寻求新的5G延迟 此前,美国原定于 12 月 5 日推出高速移动宽带技术,由于航空航天巨头空中客车公司和波音公司担心飞机用于测量高度的设备可能受到干扰,因此推迟到 1 月 5 日。但据EDN小编了解,这一计划再次遭遇了美国航空业这一“拦路虎”。
  • 浅谈汽车领域的安全三连:Safety、Security和SOTIF (2) 在功能安全(FuSa)、信息安全(Cybersecurity)和预期功能安全(SOTIF)这个三连的“指导”下,对内促进汽车电子电气系统的高效可靠,对外提高汽车智能化、抗干扰、抗攻击的能力,这样才能保证人身安全和数据隐私这块汽车领域的346.6高地。
  • 号称搭载“完美电池”,威马EX5却接连遭遇三起自燃 据EDN电子技术设计报道,昨日(12月23日)凌晨3时许,海南海口刚峰路一辆停靠街边的新能源汽车起火,殃及周边车辆、建筑。然而据EDN小编了解,这已经是该车型本月第三次起火。有趣的是,EDN小编在搜索威马EX5时,搜索到的相关最新信息大多数与其电池组有关,称其为“完美电池”……
  • 使用C2000实时MCU实现功能安全和网络安全的电动汽车动 本技术文章系与Prometo功能安全和网络安全高级顾问Jürgen Belz共同编写。
  • 电动车的电路保护、功率控制如何设计才更安全? 在对抗污染和减缓气候变化方面,两轮和三轮电动车(EV)的发展与四轮和更大EV的发展一样重要。与汽车和卡车相比,大量采用燃烧技术的两轮和三轮车辆对于燃烧控制较少,并且产生大量污染。两轮和三轮EV的设计人员面临着与四轮和更高等级EV设计人员相同的困难挑战,包括最大化两次充电之间的里程数、车辆高可靠性和车辆安全性。
  • 支持FIDO应用的SECORA ID为线上身份验证提供更灵活、 英飞凌展出了支持FIDO应用、以便于使用的令牌形式对门户网站的访问进行安全身份验证的SECORA ID解决方案。
广告
热门推荐
广告
广告
EE直播间
在线研讨会
广告
广告
面包芯语
广告
向右滑动:上一篇 向左滑动:下一篇 我知道了