智東西（公眾號：zhidxcom）
編譯 | 健恩
編輯 | 高歌
智東西8月19日消息，本周二，美國聯邦網絡安全和基礎設施安全局（CISA）公布了一個影響數以千萬計的物聯網設備的嚴重漏洞，攻擊者不僅能夠通過該漏洞看到安全網絡攝像頭等設備拍攝的實時視頻，還能利用該漏洞控制這些設備。
美國網絡安全公司Mandiant在2020年末發現了這一漏洞。該公司稱，這一漏洞影響了超過8300萬臺網絡設備，不過他們無法確定受到漏洞影響的產品和公司的完整名單。
一、
一個漏洞潛伏在包括網絡攝像頭等多種智能設備中，可能會使攻擊者通過互聯網訪問其實時視頻和音頻流，甚至遠程獲得該設備的完全控制權。更糟糕的是，這個漏洞不僅限于單個制造商，它出現在一個軟件開發工具包（SDK）中，這個工具包滲透到超過8300萬臺設備之中，每個月都產生超十億次互聯網連接。
有問題的SDK是ThroughTek Kalay，它提供了一個即插即用的系統，用于將智能設備與其相應的移動應用程序連接起來。Kalay平臺為智能設備和其相應的應用程序提供代理，可以處理身份驗證，并來回發送數據和命令。
▲Kalay工作原理示意圖
美國網絡安全公司Mandiant的研究人員在2020年底發現了這個漏洞，并與CISA一起公開披露了這個漏洞。
Mandiant的主管Jake Valletta說：“Kalay為這些智能設備提供要的和相應的功能，然而攻擊者可以隨意連接到這些設備，檢索音頻和視頻，然后使用遠程API執行注入觸發固件更新、更改相機角度或重啟設備等操作，并且用戶還不會知道發生了什么問題。”
二、
該漏洞存在于設備與其移動應用程序之間的注冊程序中。研究人員發現，這種設備與應用程序的連接取決于每個設備的UID，這是一個唯一的Kalay標識符。據Valletta所說，攻擊者可以很容易的從制造商的其他網絡漏洞中獲取到這些UID。
擁有設備UID并對Kalay協議有所了解的攻擊者可以重新注冊設備的UID以覆蓋Kalay服務器上現有的設備。當設備的擁有者嘗試重新將設備連接到網絡時，攻擊者就可以劫持并獲取該設備的賬號與密碼。
這個過程中，用戶可能會經歷幾秒鐘的延遲，但是從他們的角度來看，一切都在正常運行。但是，掌握了UID和賬號密碼的攻擊者可以通過Kalay遠程控制這些設備，還能以這些被侵入的設備為起點，更加深入目標網絡。
▲攻擊者入侵原理示意圖
利用該漏洞，攻擊者可以實時觀看網絡設備拍攝到的視頻，還可以在目標設備上安裝惡意固件。此外，由于攻擊是通過獲取憑據，然后通過Kalay遠程管理設備進行的，因此設備的所有者無法通過重置設備或擦除數據來擺脫入侵者，因為攻擊者很容易再次發起攻擊并重新控制。
“受到影響的設備可能會受到不當的訪問控制，此漏洞可允許攻擊者訪問敏感信息或執行遠程代碼。CISA建議用戶采取防御措施，以最大限度地降低此漏洞帶來的風險。”CISA在周二的公告中寫道。
三、
然而，與許多物聯網安全漏洞一樣，確認了漏洞存在的位置并不等于修復了漏洞。Kalay的提供商ThroughTek只是需要參與解決這一漏洞的眾多相關方之一。
智能設備的白牌制造商在他們的產品中加入Kalay，然后產品會被別的公司買走，貼上特定的品牌出售。這意味著即使ThroughTek提供了修復該漏洞的方法，也很難確切地知道有多少公司依賴Kalay，并需要修復這個漏洞。
Mandiant的研究者沒有發布他們對于Kalay協議的分析或利用該漏洞的細節，他們說他們的目標是在不向潛在的攻擊者提供思路的情況下提高人們對這一問題嚴重性的認識。
ThroughTek和Mandiant稱，要堵住這一漏洞，廠商必須開啟兩個可選的Kalay功能：加密通信協議DTLS和API身份驗證機制AuthKey。
“我們已經從Mandiant那里得知了這個漏洞，并且已通知使用舊SDK的客戶更新其設備固件。”ThroughTek 的產品安全事件響應團隊成員Yi-Ching Chen說。
不過，與Mandiant的發現一致，他們很難讓客戶集體更新。盡管ThroughTek在年前就已經發布了能夠一定程度上避免這種攻擊的SDK版本，但是現在仍然存在大量易受攻擊的設備。
“在過去的三年里，我們一直在通知我們的客戶升級他們的設備，但是一些舊設備缺乏空中下載技術（OTA）功能，這使得他們無法進行升級。此外，我們有些客戶不想啟用DTLS，因為這會減慢建立連接的速度，因此他們對升級猶豫不決。”Yi-Ching Chen補充道。
Jake Valletta稱，這次的公開的披露這個漏洞就是希望能夠讓客戶認識到這一漏洞的嚴重性，并讓大型制造商在其產品中更新Kalay。但是實際上小公司制造的設備可能永遠無法修復這些漏洞，因為他們在安全方面大量的資金和設備，或者他們僅僅是從白牌產品供應商哪里購買完整的產品然后打上自己的品牌名稱。
結語：網絡信息安全要得到更多重視
近些年來，隨著互聯網技術的迅速發展，各類智能設備得到迅速的普及。但是信息泄露問題一直在伴隨著這一過程。家用網絡攝像頭被破解，個人隱私遭泄露的事件時有發生。
現在不論是國家層面立法保護公民的個人信息安全，還是各智能設備廠商自發的加碼用戶的隱私保護，都說明個人的信息安全正在得到越來越多的重視。
