物聯網安全會受制於MQTT協議嗎？

關注E安全 關注網路安全一手資訊

E安全8月2日訊 來自IOActive公司的高級安全顧問盧卡斯·倫德格倫發現，一項常見的協議配置錯誤可能導致情趣玩具、心臟監護器甚至是石油管道與粒子加速器面臨攻擊風險。

盧卡斯·倫德格倫坐在自己的辦公桌前，注視著距離他數百英里外監獄牢房內門扉的開閉，在這裡他可以看到各種經未加密純文本方式存在的命令。他在上周的電話採訪中指出，「我甚至能夠發出命令打開所有牢門。」由於不在現場，所以他也不確定這種作法到底會帶來怎樣的實際後果。

在上周於拉斯維加斯黑帽大會上作出主題演講之前，盧卡斯·倫德格倫曾表示，「我可能只會在第二天的報紙上看到相關新聞，而不會有人把事件跟我聯繫起來。」

即時通訊協議MQTT的重要性

這是因為這些牢門由一項知名度不高但極為流行的即時通訊協議MQTT負責操控。這項協議能夠利用極低帶寬確保各低功率物聯網感測器及智能設備同中央伺服器進行通信——監控守衛正是藉此遠程控制牢房門鎖。並且該協議應用相當廣泛，從業餘愛好者到工業系統，包括儀錶與設備感測器、電子廣告牌甚至是醫療設備皆可看到其蹤跡。

MQTT協議：Message Queuing Telemetry Transport，消息隊列遙測傳輸，是IBM開發的一個即時通訊協議。該協議支持所有平台，幾乎可以把所有聯網物品和外部連接起來，被用來當做感測器和致動器（比如通過Twitter讓房屋聯網）的通信協議。

相關報道：小心！MQTT安全漏洞影響能源行業及物聯網設備安全

但根據隆格倫的埠掃描結果，這些用於監聽設備並發送命令的伺服器通常未受用戶名或密碼的保護，意味著任何能夠接入互聯網的人士皆可訪問這87000台伺服器。研究人員不僅能夠讀取數據，還能夠寫入數據。

隆格倫還通過心臟監護器與胰島素泵查看到協議當中不斷更新的數據，醫生能夠藉此通過網頁遠程查看結果並迅速作出反應。他強調稱，「如果想要搞破壞，我完全可以改變胰島素量或者其它指標，看看會發生什麼。」

在掃描過程當中，他發現了來自世界各地的伺服器，從家庭自動化與報警系統到核電站、粒子加速器甚至是石油運輸管道。隆格倫甚至可以看到石油運輸的壓力讀數。他並不確定管道的具體位置，但卻能夠查看到整套工業控制系統的用戶名與密碼。

他補充稱，「如果發出命令加大石油輸送量，很可能造成人身傷害。」

隆格倫還在某德國火車站找到一台伺服器，並藉此看到列車的運行時間、當前位置追蹤以及何時到站。他解釋稱，「我不知道對這些信息進行變更會造成怎樣的後果。最樂觀的結果就是設備會更新顯示屏上的信息」，不過他並不確定這些會不會影響到列車的實際運行。但在最糟糕的情況下，攻擊者可能會操縱火車在每條軌道上的位置，並導致大撞車。

特斯拉車輛泄露出的實時位置信息

除此之外，隆格倫還找到了與情趣玩具、血壓計、空氣濕度感測器以及地震警報系統相對應的伺服器。

在本次黑帽大會演講中的一頁演示文稿中，他描述了如何入侵特斯拉車輛以追蹤其實時地理位置及其它重要統計信息。

不過隆格倫本人並未批評協議本身，而是將責任歸結於用戶。他指出，「指責MQTT並不公平，該協議本身並不是問題。用戶應該始終在伺服器中使用加密機制，並配合用戶名及密碼，但大多數人對此視若無睹。」

此前已經發生過多次因伺服器未受保護造成的數據泄露及擴散事件出現，例如資料庫伺服器被支持以及Amazon雲存儲單元暴露在網路之上等等。他解釋稱，像Amazon、IBM以及微軟這類採用基於雲的MQTT解決方案的巨頭級廠商，都會強迫用戶對伺服器進行正確設置。安全其實掌握在用戶手中，更多的需要用戶建立安全意識。

03

E安全推薦文章

官網：www.easyaq.com

2017年8月

01

02

03

04

05

06

07

喜歡這篇文章嗎？立刻分享出去讓更多人知道吧！