近日，湖北省破获首例入侵物联网计算机信息系统刑事案件。经统计，受害公司因超百台设备被恶意升级、10万台设备“被”离线而无法使用。

互联网发展早期，企业往往对安全建设缺乏重视。如今，在物联网产业发展时期，好像也有同样的征兆和趋势。有专家对隐私护卫队表示，这起案件或许暴露出物联网企业在抢占市场时，业务优先，缺乏对安全的充分考虑。

据警方介绍，3月21日-22日，位于光谷总部国际的“微锋”（化名）科技有限公司的客服接到来自全国各地商家的电话，反映购买的物联网设备出现故障，比如自助洗衣机、自助充电桩、自助吹风机、抓娃娃机、摇摇车等均脱网无法运行。

侦破过程中，网警通过解密故障设备的源代码，提取分析公司服务器的日志，发现从3月21日20时开始，服务器收到大量伪造的终端离线报文，通过溯源分析，网警锁定了犯罪嫌疑人。

经过50多天的侦查，5月13日，民警在位于东湖新技术开发区精工科技园的“微天地”科技公司抓获嫌疑人谢某、王某。经审查核实，谢某系“微锋”公司前员工，其2018年初离职时带走了原公司产品的源代码，后与王某共同成立了新公司，成为原公司的竞争对手。

警方介绍说，为提高自己产品的市场占有率，谢某、张某购买了“微锋”的物联网终端设备并进行破解，然后利用离职时带走的源代码，伪装成终端设备、以每秒三至四千条的速度给服务器发送离线报文，并且，由于服务器基本没有验证机制，不会判断终端身份合法性，“盲目”相信终端发过来的信息，最终导致10万台设备离线。

此外，谢某、王某还利用“微锋”公司的物联网服务器的漏洞，将终端设备恶意升级，导致100余台设备系统损坏，无法正常工作。

目前，武汉东湖高新技术开发区公安分局依法以涉嫌破坏计算机信息系统罪将谢某、王某刑事拘留，案件在进一步深挖中。

针对上述企业暴露的安全问题，隐私护卫队向多位行业专家咨询出现问题的原因。

几维安全安服专家罗浩对隐私护卫队分析说，案例中物联网的网络架构是典型的“云管端”架构，通过云端服务器对智能终端进行工作管控。攻击者立足于通信管道，通过对通信协议凭证的伪造分别对云端和智能终端发起了攻击。

问题一：物联网终端不安全

据了解，每一个物联网终端设备有一张物联网卡，类似手机卡，不能打电话，主要功能是联网。通过物联网卡，终端设备可以和云端进行交流。

上述案例中，罗浩表示，伪装成终端设备与服务器交流，方法之一是破解物联网卡，获取终端与云服务器间的通信协议，再加上谢某从前公司带走的源代码，攻击者可以实现伪装终端，欺骗服务器。

问题二：10万台设备离线可能暴露的问题

隐私护卫队发现，案件中离线的设备数量高达10万台，攻击者是如何做到的呢？

有专家对隐私护卫队表示，有的终端在设置编号时会采取顺位递增的方式，比如编号为0001、0002……，攻击者可以利用这个漏洞，伪装成所有终端设备向服务器发送离线通知。

该专家还表示，解决方案之一是企业在为终端设备编号时采取随机编号，“这种技术的成本并不大，可能是企业不重视安全或者这块的能力储备不具备吧。”

罗浩提供了另一种解释：由于攻击者曾在“微锋”任职，了解服务器的运算能力、处理请求的最大吞吐量等，知道如果按照每秒三至四千条的报文向服务器发送无效请求，服务器在一秒内无法处理这么多请求。

按照正常设备“先进先处理”原则，多出来的请求需排队等候处理，超过一定时长被定为无效超时，最终无效请求让服务器处理分身乏术，有效请求又迟迟得不到响应，这也可能导致服务器拒绝服务，与之相连的数10万台设备也就下线了。

问题三：服务器存在安全漏洞

多位专家对隐私护卫队表示，攻击者伪装终端设备成功欺骗服务器，还暴露出另一个问题：服务器没有安全认证机制。

梆梆安全技术专家对隐私护卫队解释了验证机制：服务器如果有安全认证，终端发送的离线通知可能是“服务器，我是XX，这是我的签名，我下线了啊。”服务器在验证签名成功之后会答复“好”；没有安全认证则不会校验终端服务器的身份是否合法，这意味着，在此情况下，伪装的终端很容易欺骗成功。

“云端服务器缺乏对接入物联网终端设备的认证和签名验证机制，难以区分非法接入终端数据和恶意攻击，在出现恶意攻击时将造成极大的影响和损失。”安恒信息物联网安全专家王辉解释说。

此外，针对攻击者利用物联网服务器的漏洞，将终端设备恶意升级，导致100余台设备系统损坏无法使用的问题，罗浩表示，这可能是由于攻击者掌握核心源码，通过伪装成服务器，利用终端可线上升级的功能，下发恶意升级包，欺骗终端更新升级，最终导致设备无法正常运行。

文/南都个人信息保护研究中心研究员 尤一炜

通讯员：黄赤橙