匡恩网络助力网络摄像头安全防护

　　一、网络摄像头安全现状

　　网络摄像头安全问题已经引起社会的关注。2016年10月份发生在美国的大面积断网事件，导致美国东海岸地区遭受大面积网络瘫痪，其原因为美国域名解析服务提供商Dyn公司当天受到强力的DDoS攻击所致。Dyn公司称此次DDoS攻击行为来自一千万个IP来源，其中重要的攻击来源于物联网设备。这些设备遭受一种称为Mirai病毒的入侵攻击，大量设备形成了引发DDOS攻击的僵尸网络。

　　遭受Mirai病毒入侵的物联网设备包括大量网络摄像头，Mirai病毒攻击这些物联网设备的主要手段是通过出厂时的登录用户名和并不复杂的口令猜测。事后，一些网络摄像头厂商及时更新了登陆口令，但有些厂商的设备使用了固定用户名和口令的登录方式，没有提供口令修改功能。因此面对Mirai病毒的肆虐却无能为力。

　　二、设备厂商的“觉醒”

　　经过DDoS攻击事件后，网络摄像头的设备厂商一定已经“觉醒”，知道对摄像头进行安全保护了。但怎样对网络摄像头进行安全保护呢?既然Mirai病毒的入侵方式是猜测用户名和口令，那就可以使用病毒猜不到的口令。通常设备厂商使用的口令也是不容易猜测的，但不知Mirai病毒制造者是怎么破解的。

　　考虑到无论使用多么随机的口令，如果所有设备使用同一口令的话，就容易被破解，因此有些设备商考虑使用动态更新口令的功能。只要能动态更新，就不怕被黑客猜测了。

　　三、安全防护技术的“亡羊补牢”策略不可取

　　网络安全事件时有发生，“亡羊补牢”有时是弥补的最好方法。但如何“补”，则关系到“牢之牢”，是坚固之“牢”还是形同虚设?

　　目前发现黑客的攻击方法是猜测“弱口令”，那么就在更新产品中使用随机性好的口令;黑客可以通过其他手段获得口令，例如如果有一批产品使用同一个口令，则黑客通过购买一个设备来进行分析，就可以获得这个口令，无论该口令的随机性如何，都不增加黑客获得该口令的难度，这时该怎么办?改为每个设备使用单独的口令?那么黑客可以入侵服务器的数据库，窃取口令文件，然后也能成功入侵。即使通过严格的管理，让黑客无法获得口令文件，黑客也可能通过系统漏洞入侵到设备中，这是许多网络蠕虫病毒入侵传播的重要途径。因此通过简单的修改想抵挡黑客的入侵，实在太困难了。

　　随着网络技术在各个行业的应用，网络的重要性越来越高，同时网络黑客的技术手段也越来越高。网络黑客从早期的个人恶作剧行为，到后来的有组织行为，再到后来的有地下产业链，直到今天的网络战争，黑客已经不仅仅是地下组织，还包括国家团体。因此，黑客的攻击手段，远超过我们的想象。去年8月份美国NSA方程式组织Equation Group被黑，大量黑客工具泄露，从这些被泄露的工具就可看出，全球70%的Windows系统可以被这些工具远程入侵。这才是被泄露的部分工具。我们不知道没有泄露的工具还有哪些，有什么攻击能力，但可以想象，能阻挡最强黑客组织攻击的系统需要非常坚固的安全防护手段。

　　面对如此强大的黑客组织和黑客工具，资源有限的物联网设备还有防御能力吗?答案是肯定的。黑客攻击都是为了一定的目的，或者是经济目的，或者是政治目的。针对物联网设备，只要让黑客攻击所获利益不足以弥补其攻击所付的代价，这种防护就是成功的。当然，要正确评估攻击代价与攻击利益也是困难的，只能根据物联网设备的实际情况，包括设备本身的资源，设备的重要性等因素进行安全防护。

　　因此，对物联网设备的安全保护，不能简单地使用“亡羊补牢”的措施，发现问题后再进行弥补，同时也不必对安全防护失去信心，认为面对强大的黑客，任何防护都会失败。正确的办法是，让专业团队设计安全的解决方案。

　　四、匡恩网络的安全解决方案

　　匡恩网络的专家团队分析认为，网络摄像头的安全防护包括3个层面：(1)防止入侵;(2)防止成为网络肉鸡;(3)防止数据被非法窃取;(4)防止数据假冒;(5)防止设备被毁。

　　其中，防止入侵是第一步最根本的防护。去年物联网设备参与的大规模DDOS攻击，就是因为第一步防护没做好，或者防护能力太差。防止入侵最基本的要求是使用不可猜测的口令。但口令的设置从来是一个纠结的事：太简单容易被猜测，太复杂则难记忆，难管理。对物联网设备来说，难记忆的因素可以不考虑，但让每一个设备有一个单独的口令则很难管理，一旦存储口令的文件失窃，则所有设备的第一道安全防护全部丧失。

　　但无论怎么防护，第一道防线可能失败，也就是说黑客可能有能力入侵到物联网设备中。那么黑客的目的是什么?从去年的DDOS事件来看，黑客入侵单个物联网设备的获利不大，而通过将这些设备控制成为网络肉鸡，形成具有网络攻击能力的僵尸网络，对黑客来说才是更有吸引力的。

　　当然黑客入侵的另一目的可能是获得数据(如监控数据)，伪造数据(如对重要监控数据的替换)，控制设备(如调节监控角度、精度等)，甚至让设备瘫痪。

　　针对不同的攻击目的，匡恩网络的解决方案如下：

　　(1)防止黑客入侵。首先给每个设备一个唯一且永久的身份标识，使用一个种子管理密钥和密钥生产算法(称之为Key Generation Function, KGF)为每个设备产生一个随机口令，这样既满足口令的随机性，又满足管理的方便性。通过对种子密钥和KGF的有效管理，即使黑客窃取种子密钥，如果没有得到正确的KGF，也不能得到这些终端设备的口令。

　　如果黑客使用系统漏洞进行入侵，通过口令是无法防护的。匡恩网络的漏洞挖掘团队，将以最新的保护措施，使漏洞被利用率降到最低，从而最大程度地防护黑客通过漏洞入侵设备。

　　(2)避免成为黑客的肉鸡。防止入侵的目的是降低黑客发起的一般性攻击。如果黑客有针对性地进行攻击，像网络摄像头这类资源受限的设备还是很难防御的。但是，黑客入侵的目的可能想把被入侵的设备成为黑客发起网络攻击的肉鸡，这时匡恩网络的解决方案是，限制摄像头这类物联网设备“指哪打哪”的灵活性，使入侵黑客不能随意修改与之通信的网络地址和通信端口。当然有很多方法做这类限制，每种方法各有利弊。

　　(3)防止数据被非法窃取。保护数据机密性的方法很简单，使用密码技术就可以。但是需要考虑的因素有很多，包括密码算法的合规性、密钥管理的科学性、系统维护的便利性等。在这方面，匡恩网络有一套完整的方案。

　　(4)防止数据假冒。与数据机密性的保护方法类似，使用数据完整性保护即可。但是，数据完整性一般与设备身份鉴别一起提供，即通过少量的数据量和计算量提供更为完备的安全服务。数据假冒攻击只在一些特殊领域有应用需求，一般公开环境的监控摄像头没有此安全需求。

　　(5)防止设备被毁。当然这里说的设备被毁是指因黑客病毒攻击导致设备不能正常工作，而不是硬件损坏。我们建议使用一键恢复功能。这种功能对低成本设备是多余的，但对高成本的网络摄像头，在遭受例如勒索病毒的入侵后，能通过物理接触，实现一键恢复出厂状态，然后马上进行漏洞弥补。这样可以避免因遭受攻击而不得不更换设备的问题，因为更换设备不仅仅是设备本身的成本，更换过程的人工费用有时比设备本身的成本还要高。

　　五、匡恩网络的建议

　　相比许多网络设备，网络摄像头是个低价值设备，但是，一旦数量规模很大时，作为这类设备的整体，对网络安全有着重要的影响。安全防护不是看上去那么简单，没有专业团队的设计研发，可能导致事倍功半的结果。对此，非专业团队容易犯的错误是轻视安全保护，或使用没有根据的过度安全防护。

　　匡恩网络以其在物联网安全领域的专业技术和研发团队，为网络摄像头和其他网络设备提供专业的信息安全保护方案，其原则是“no more, no less”，即安全防护不需要过度(no more)，但也不能不足(no less)。当这个尺度很难确定时，以保障安全为主。