5G对物联网安全的8个关键影响

      5G对物联网安全的8个关键影响无评论

在5G环境中,每个物联网安全问题都会被大幅放大。部署5G之前,请解决好这8个方面的事宜。

超高速5G移动网络不仅可以提高人们相互联系的效率,还可以实现机器、物体和设备间更好的互连和控制。其高Gbps数据传输速率、低延迟和高容量,无论对消费者还是企业来说都是福音。但这一切伴随着新型重大安全风险,因为早期采用者仍处于学习和摸索阶段。

全球家电制造商惠而浦(Whirlpool)已经开始在旗下一家工厂开展5G部署工作。该公司使用物联网设备,利用传统局域WiFi网络进行预测性维护、环境控制和过程监控,但5G能使该公司做到使用WiFi无法完成的事:部署自动驾驶叉车和其他车辆。

惠而浦北美地区IT和OT制造基础设施应用经理道格拉斯·巴恩斯(Douglas Barnes)表示:“我的工厂里到处都是金属。金属会反射WiFi信号。即使我在工厂里用了网状WiFi,我们的金属还是太多了。但5G可以穿墙,而且不会被金属反射。”

这意味着,一旦5G在工厂车间安装到位,惠而浦可以做出巨大的改变。他说:“这将使我们能够在整个工厂里真正全面使用自动驾驶汽车,用于维护、交付和支持生产运营的所有事务。这个业务案例分量极重,能节省很多开支。5G的回报是非常有利的。”

他表示,公司已经做了测试,确保自动驾驶汽车能正常运行。资金将在本月到位,这些自动驾驶汽车今年年底前就能运行在5G上了。“只要我们能成功,自动驾驶汽车的业务案例将值回其他一切。”

巴恩斯敏锐地意识到,物联网已经给企业带来了新的网络安全问题,而所有这些问题在切换到5G时将会被大幅放大。惠而浦与其5G合作伙伴AT&T共同解决这些隐忧。巴恩斯称:“我们每天都在跟这些问题缠斗。在真正开始前,我们与AT&T谈论的第一个话题,就是怎么打造一个安全的5G网络。”

在创建5G实施计划时,惠而浦这样的公司企业需要考虑下列8个关键方面的问题。

1. 加密和保护5G网络流量

随着5G的发展,接入网络的智能设备数量预计将急剧增加,这些网络的流量也将显著增长。Gartner调查研究表明,明年企业和汽车物联网设备的数量将增长至58亿台,比今年预计的48亿台物联网端点设备增长21%。这就使得这些网络成为了攻击者的理想环境——可供选择的攻击目标比现在丰富得多。

巴恩斯表示,为解决此问题,惠而浦将加密5G流量,并将5G天线配置为仅接受经批准的流量。他说:“在添加设备的时候,我们在5G网络上将之配置为可接受的设备。只要不在白名单上,我们就不监听。而由于是加密的,我不担心有人试图捕获信号,因为捕获了也没什么用。”

一旦流量离开本地网络,进入到公共5G网络或互联网,通信将经由加密VPN隧道保证安全。他解释道:“因为可能不得不使用5G与外界通信,我们预先设置了这些加密信道。”

2. 保护并隔离易受攻击的设备

设备本身也是潜在脆弱点。业内安全意识其实不是很高。尤其是工业设备,这些设备通常采用专有操作系统,并且毫无安装补丁或许可堵上漏洞的能力,在设计时就没想过要预留补丁安装接口。

Barracuda Networks高级安全研究员乔纳森·坦纳(Jonathan Tanner)表示,事实上,大多数物联网安全问题尚未解决。他说,有些设备的问题无法通过固件更新来修复,或者就没有更新固件的机制。即使设备制造商在下一代设备中加装安全功能,那些不安全的旧型号仍然散落各处继续运行。

坦纳补充道,有些公司无视指出漏洞的安全研究人员。一些生产出脆弱设备的公司已经倒闭了。他们的设备里满是原来就有的各种漏洞也没人管。

如果被这种不安全的物联网设备绊住手脚,该怎么办呢?惠而浦的巴恩斯认为,网络隔离结合上其他网络安全技术,可以提供一定的保护。他说:“我们采取了双层方法:监控所有流量的网络安全层,以及执行深度包检测的二级安全层。第二层安全建立在协议层面上,查找协议中植入的那类恶意活动。”

此外,还有一般意义上的安全措施,比如尽可能打上补丁,定期对所有设备执行安全审计,全面清查统计网络上的所有设备。

3. 为大型DDoS攻击做好准备

一般来说,5G并不意味着不如前几代无线技术安全。诺基亚威胁情报实验室主管凯文•麦克纳米(Kevin McNamee)表示:“5G确实带来了4G或3G无法提供的新安全功能。5G的整个控制面板已迁移至Web服务类型的环境,这种环境采用强身份验证,非常安全。这是安全上的进步。”

但与此同时,僵尸网络在5G环境中拥有更多发展壮大的机会,也可能会抵消掉这些安全上的改进。麦克纳米称:“5G将大大增加设备的可用带宽。而物联网僵尸主机也能利用这些大幅增加的带宽。”

增加的带宽可被用于查找更多脆弱设备和扩散感染,僵尸网络也可以找到更多脆弱设备加以利用。智能家居设备的销量逐年增长,且增长速度越来越快。与惠而浦一样,企业也是物联网设备的大用户。还有政府部门和其他类型的组织机构在不断购入物联网设备。

借助5G,难以维护的偏远地区也可以设置各种设备。ESET安全研究员,俄勒冈州无线互联网服务提供商协会联席主席卡梅隆•坎普(Cameron Camp)表示:“将会有大量传感器记录一切,从天气到空气质量到视频馈送。这意味着有许许多多的新机器可能被黑,被征召进僵尸网络中作恶。但由于这些传感器在很大程度上无人看管,我们将难以发现和响应此类黑客事件。”

此外,物联网设备通常更新没那么频繁。用户不会替换仍然可以实现预期功能的设备。攻击者也会保持低调,让僵尸网络不引起任何注意。即使有可用的补丁,或者制造商推出了更新、更安全的版本,客户也可能不会费心更新或升级换代。

同时,许多智能物联网设备运行的是嵌入式Linux之类真正的操作系统,这些设备几乎就是全功能的计算机。攻击者可利用被感染的设备托管非法内容、恶意软件、命令与控制(C2)数据,以及其他有价值的系统和服务。用户却不会将这些设备视为需要防病毒保护、修复和更新的计算机。许多物联网设备也不保留入站和出站流量的日志。因而,攻击者能够保持匿名,想关停僵尸网络也就更难了。

这构成了三重威胁。潜在可利用设备的数量、可用于扩散僵尸网络的带宽、僵尸主机执行DDoS攻击的可用带宽,统统增加了。由于很多设备依然不安全,有些设备还根本无法修复,相比当前状况,5G环境下公司企业需应对的DDoS攻击规模呈数量级上升。

4. 转向IPv6可能会令私有互联网地址变得公开

随着设备数量激增和通信速度提升,公司企业可能会想尝试使用IPv6代替当前常见的IPv4。IPv6是容纳更长IP地址的网际协议,于2017年成为互联网标准。

IPv4仅有43亿个网络地址可用,不能满足为激增的网络资源分配地址的需求。早在2011年,一些互联网注册管理机构就开始无址可分了,2012年开始,组织机构纷纷转向使用IPv6。但互联网协会(The Internet Society)的资料显示,直至今日,仅有不到30%的谷歌用户通过IPv6访问谷歌平台。

诺基亚的麦克纳米称,很多组织机构和几乎全部家用设备,还有很多手机网络,都在使用私有IPv4地址。这些私有地址为他们提供了天然的保护,因为在互联网上不可见。

随着5G时代的到来,为支持几十亿新增设备,运营商自然会迁移到IPv6。如果他们选择采用公共IPv6地址而不是私有地址,这些设备就会变得可见。这不是IPv6的问题,也不是5G的问题,但将设备从IPv4迁移到IPv6的企业,可能会将设备意外放到公共地址上。

5. 边缘计算助长攻击界面

公司企业想要为客户或自身分布式基础设施减少延迟、提升性能,他们将目光投向了边缘计算。借助5G,边缘计算的优势还能更大,因为端点设备将能拥有更强的通信能力。

但是,边缘计算也会大幅增加潜在的攻击界面。尚未开始转向零信任网络架构的公司企业,现在应该开始考虑这事儿了,要在大幅投入边缘计算基础设施之前完成向零信任网络的迁移。真正开始构建边缘计算基础设施的时候,安全应是首要考虑,而非事后补救。

6. 物联网供应商重视率先进入市场而轻安全

物联网淘金潮将激励一批新供应商进入这个领域,也将刺激现有供应商加快向市场推出新产品的脚步。Barracuda高级安全研究员坦纳称,寻找漏洞的安全研究人员已经赶不上物联网设备的推出速度了。随着新制造商的不断涌入,我们将见证新一轮的安全漏洞爆发。

据坦纳观察,同样的错误不断重现,物联网设备的漏洞报告一直在上升,从未下降。“前事不忘,后事之师”这句话,似乎并未在前赴后继的物联网供应商身上体现分毫。

A-lign Compliance and Security公司渗透测试主管乔·柯蒂斯(Joe Cortese)称:“供应商一点都不在意安全。今年早些时候,我买了5个与开关灯相关的设备,其中4个我从屋子外面就能访问。供应商从未移除设备中内置的测试模式。”

柯蒂斯表示,所有供应商都想首先进入市场。对很多供应商而言,推出设备的最快方式,就是使用嵌入式Linux等现成的平台。他说:“我以前在情报部门工作。最近,我经手的一个恶意软件只用7行代码就能搞定一台设备。不加固自身设备安全的制造商,对此类攻击毫无抵抗力。”

使用这类恶意软件,攻击者可以关停工厂或关键基础设施,或者劫持公司企业的系统索要赎金。柯蒂斯说:“我还没看到此类安全事件发生,但这仅仅是因为5G尚未广泛部署。随着5G采纳增加和物联网设备数量增长,我们很可能会看到制造业系统漏洞利用井喷。”

7. 小心假冒攻击

因为大多数5G网络不是独立组网,4G和更早些的协议中固有的一些缺陷,仍能影响到5G网络。在4G等早期网络上传输用户和控制流量的GTP协议就是其中一例。攻击者可以利用GTP协议中的一个漏洞拦截用户数据,进而实施假冒攻击。

Positive Technologies公司最近发布了一份报告,描述GTP协议漏洞及其对5G网络的影响。其中一个漏洞就是GTP不检查用户的位置,导致无法判断哪个流量才是合法的。攻击者冒充用户所需要的全部东西,仅仅是用户的IMSI用户识别码和TEID隧道标识。后者很容易获取,但攻击者有多条途径获得IMSI,最简单的办法就是在暗网上购买数据库了。

为方便用户而执行直通身份验证的服务,也常会方便攻击者开展假冒攻击。这一便利还可能会导致第三方合作伙伴遭遇未授权访问。

Positive Technologies的研究人员建议组织机构跟踪用户或设备位置,但又指出,大多数网络上并未部署执行跟踪所需的安全工具。

8. 应有人负责物联网安全

物联网安全最大的障碍并不是技术上的,而是心理上的。没人愿意承担责任。谁都想指责别人。买家指责供应商制造的设备不安全。供应商责怪买家选择廉价的不安全产品。在5G世界中,假设别人该为物联网安全负责的后果将会严重得多。

Radware去年发布的一份调查研究表明,34%的受访者认为设备制造商应为物联网安全负责,11%的受访者认为物联网安全的责任人应该是服务提供商,21%认为责任在私人消费者身上,还有35%认为公司企业应为此承担责任。Radware战略副总裁麦克·奥马利(Mike O’Malley)称:“换句话说,根本没有什么共识。而且,消费者也没有这方面的知识或技能。”企业雇不到足够的人手。制造商又是一盘散沙,各自为战,难以控制。

企业可以雇佣服务提供商来减轻一些负担,但问题依然存在,比如不安全的消费者设备、不想做出改变的制造商,还有不一致的全球监管和实施。

物联网安全人人有责。买家需保持所购买产品没有遗留默认密码或测试模式,采用经加密和身份验证的通信,并定期修复和更新设备。供应商需下架不安全设备,并在产品设计过程初期就引入安全,而不是在发生安全事件之后,更不是在安全事件见诸报端之后。

转载自:数世咨询

发表评论