無線運營商可能是下一個要艱難學(xué)習(xí)物聯(lián)網(wǎng)設(shè)備帶來的安全風險的角色。這一警告來自柏林工業(yè)大學(xué)高級安全研究員 Altaf Shaik最近在Black Hat 信息安全會議上的簡報。

“在 5G 方面，威脅越來越大，而且影響也相當大，因為在這里黑客可以針對整個行業(yè)，而不僅僅是單個用戶，”Shaik 在這個 40 分鐘的演示開始時說道。

這里的核心問題是 5G 在連接人（正如Shaik 在去年的黑帽會議上的演講中所探討的那樣，通過 5G 獲得顯著的隱私升級）和機器方面的效用。運營商現(xiàn)在正在通過向這些客戶可以通過新 API 直接管理的企業(yè)提供物聯(lián)網(wǎng)服務(wù)，將后者的功能轉(zhuǎn)變?yōu)樾碌臉I(yè)務(wù)線。

“第一次，4G 和 5G 網(wǎng)絡(luò)正試圖帶來這種網(wǎng)絡(luò)曝光，”Shaik 說?！皩Ｓ薪涌诂F(xiàn)在正在發(fā)生變化，并慢慢轉(zhuǎn)向通用或商品化技術(shù)，如 API?！?/p>

“因此，現(xiàn)在任何外部實體都可以通過使用服務(wù) API 并通過 4G 或 5G 核心網(wǎng)絡(luò)來實際控制他們的智能設(shè)備，”Shaik 引用了沃達豐在德國對無人機進行的測試說?！斑@個暴露層為無人機控制中心提供 API 和共享信息?！?/p>

運營商將這些物聯(lián)網(wǎng)服務(wù)出售給愿意批量購買 1000 件或更多物聯(lián)網(wǎng) SIM 卡的企業(yè)（通過稅號進行驗證）。反過來，這些企業(yè)客戶可以通過物聯(lián)網(wǎng)連接管理 Web 界面管理這些 SIM 卡，物聯(lián)網(wǎng)服務(wù)平臺 Web 界面提供賬戶范圍的控制。

“只要您能夠訪問這些 API，您就可以做很多事情，”Shaik 總結(jié)道。

愿意妥協(xié)

但是，配置或管理不善的 API 可能會打開其他客戶的物聯(lián)網(wǎng)設(shè)備，甚至可能會破壞運營商的核心網(wǎng)絡(luò)。例如，攻擊者可能首先利用漏洞“獲取托管在同一平臺上的任意用戶的數(shù)據(jù)”，然后嘗試破壞運營商的應(yīng)用服務(wù)器——然后可能“從那里滲透到移動核心網(wǎng)絡(luò)，因為它們是相連的”謝克繼續(xù)說道。

他和同樣來自柏林工業(yè)大學(xué)的研究員 Shinjo Park 和來自 NetStudio Spa 的 Matteo Strada 通過從九個服務(wù)中購買物聯(lián)網(wǎng) SIM 卡，然后測試它們是否存在可能的弱點來測試這一點。

（Shaik 沒有說出他們的名字，但一張幻燈片將其中三家描述為網(wǎng)絡(luò)運營商，并將六家列為 MVNO。他后來在談話中說，大多數(shù)在歐洲，兩個“可能”在美國，一個在亞洲。）

他的頂級結(jié)論：“還有很多東西缺失?！?/p>

研究人員很容易獲得商業(yè)物聯(lián)網(wǎng)賬戶，Shaik 說這反映了了解你的客戶的合規(guī)性差：“許多提供商的客戶驗證非常寬松，當我們試圖與提供商爭論時，我們真的沒有一個很好的回應(yīng)?！?/p>

他們還發(fā)現(xiàn)缺乏基本的帳戶安全性，“接受了很多字典密碼”——無論是在創(chuàng)建帳戶時還是在之后更新它們時。

研究人員隨后發(fā)現(xiàn)，這九家公司中有四家使用靜態(tài)令牌進行服務(wù)平臺授權(quán)，有效期從 24 小時到一周不等，這違反了要求 OAuth 登錄的GSMA 準則。九個中的三個沒有使用 HSTS（HTTP 嚴格傳輸安全）完全加密 Web 門戶訪問，這是針對中間人攻擊的關(guān)鍵防御。

對物聯(lián)網(wǎng) API 的動態(tài)分析發(fā)現(xiàn)對安全性的進一步忽視，首先是運營商向演示用戶公開甚至“敏感功能”的案例。當被問及時，Shaik 說，這些服務(wù)表示這是一種客戶獲取策略：“他們真的很想推銷他們的平臺并吸引盡可能多的客戶。”

這九項服務(wù)中有七項甚至沒有嘗試對 API 訪問實施速率限制，他繼續(xù)說：“我們無法真正找到速率限制問題，其中只有兩個實際上設(shè)置了速率限制。”

未能通過為設(shè)備分配隨機標識符來掩蓋客戶身份會增加攻擊者能夠針對特定公司的風險。

入侵的載體

Shaik概述了一些可能的攻擊。例如，攻擊者可以通過 SMS向 IoT 設(shè)備發(fā)送惡意軟件（他指出，一些運營商告訴他的團隊，國家法律禁止掃描 SMS 流量中的惡意軟件）或使用廣播下行鏈路消息來進行拒絕服務(wù)攻擊（例如訂購物聯(lián)網(wǎng)設(shè)備增加數(shù)據(jù)消耗或保持清醒直到電池耗盡）。

研究人員進一步發(fā)現(xiàn)，為客戶訪問提供的 webhook 通常沒有使用標準的 HTTPS 加密進行保護，從而導(dǎo)致各種客戶數(shù)據(jù)泄露。

最后，他們觀察到這些運營商中的大多數(shù)都沒有保護他們的物聯(lián)網(wǎng) API 來拒絕惡意輸入字符串，攻擊者可以利用這些字符串在他們的平臺上運行任意代碼。Shaik 說：“其中至少有六個沒有真正的代碼注入保護?！?/p>

這些服務(wù)中只有兩項通過了研究人員的測試：“其中只有兩項沒有受到我們看到的漏洞和設(shè)計風險的影響，”Shaik 說，并補充說，在他的團隊私下向這些公司披露這些問題之前，沒有人意識到這些問題.

Shaik 敦促具有物聯(lián)網(wǎng)意識的提供商遵循現(xiàn)有的 GSMA 安全指南，然后采用經(jīng)過驗證的安全實踐，例如通過僅提供特定用例所需的 API、隨機化用戶標識符、限制訪問、執(zhí)行嚴格的輸入驗證以及監(jiān)控和監(jiān)控來減少攻擊面。記錄網(wǎng)絡(luò)流量。

“擁有業(yè)內(nèi)普遍推薦的額外安全實踐非常重要，”他說?！拔抑肋@很困難，但這是唯一的方法。”