GeekPwn2018：京東安全人“攻”智能上演四秒絕殺

10月24日-25日，GeekPwn2018國(guó)際安全極客大賽在上海如期而至，來(lái)自世界各地的安全大咖、白帽黑客組成黑客界“最強(qiáng)大腦”戰(zhàn)隊(duì)，上演了一場(chǎng)現(xiàn)實(shí)版“黑客帝國(guó)”。京東牧者安全實(shí)驗(yàn)室也同北京大學(xué)、北京郵電大學(xué)一起聯(lián)手，利用最新研究的挖掘IoT漏洞工具，在現(xiàn)場(chǎng)挖掘了多款智能硬件的漏洞，上演了一出“人攻智能”的精彩大戲。

人“攻”智能，四秒絕殺

參賽過(guò)程中，出現(xiàn)小插曲，選手們現(xiàn)場(chǎng)調(diào)整戰(zhàn)略現(xiàn)場(chǎng)編碼，團(tuán)隊(duì)配合默契，在距離倒計(jì)時(shí)結(jié)束只剩4秒時(shí)攻破最后一個(gè)攝像頭，成功完成了整場(chǎng)挑戰(zhàn)，最終取得優(yōu)勝獎(jiǎng)和最佳展示獎(jiǎng)兩個(gè)獎(jiǎng)項(xiàng)。

參賽團(tuán)隊(duì)隊(duì)長(zhǎng)，京東牧者安全實(shí)驗(yàn)室高級(jí)研究員KJ表示是第一次帶隊(duì)參加GeekPwn挑戰(zhàn)賽，本次Pwn主要演示了常見(jiàn)的幾種IoT攻擊，包括物理端、Web端口調(diào)試和棧溢出等，幾乎覆蓋了所有 IOT 的攻擊方式。在賽后回顧中，KJ介紹了本次選擇破解智能硬件，僅是為了展示攻擊手法，而智能設(shè)備漏洞引發(fā)的安全隱患很多，黑產(chǎn)不僅可以竊取用戶隱私，進(jìn)行典型詐騙，還可能利用智能設(shè)備漏洞挖礦，謀取暴利。因此，更早一步發(fā)現(xiàn)IoT漏洞，及時(shí)修復(fù)，不僅能提升設(shè)備安全性能保護(hù)用戶隱私，還能幫助硬件廠商及時(shí)止損。

KJ還透漏，本次參賽使用的自動(dòng)化挖洞工具是京東牧者安全實(shí)驗(yàn)室研究的新框架，在10月31日-11月2日舉辦的 “2018京東HITB安全峰會(huì)”上，他們將現(xiàn)場(chǎng)演示這款挖洞工具。

人“攻”智能，一觸即發(fā)

萬(wàn)物互聯(lián)讓生活越來(lái)越便捷的同時(shí)，也為人們帶來(lái)了許多安全隱憂。路由器從上網(wǎng)的鑰匙變成泄密的窗口、攝像頭從證據(jù)采集器變成隱私曝光機(jī)……智能硬件之所以會(huì)變得如此危險(xiǎn)，很大程度上是因?yàn)樽陨泶嬖诘穆┒次幢粡S商察覺(jué)，而讓一些不法分子鉆了空子。

在本次大會(huì)上，京東安全硅谷研究員分享了利用汽車智能硬件安全漏洞進(jìn)行惡意謀利的攻擊思路，為整個(gè)IoT安全行業(yè)敲響了警鐘。研究員介紹，北美的車險(xiǎn)公司會(huì)在車輛中安裝一個(gè)設(shè)備來(lái)檢查駕駛員的駕駛行為，但是這個(gè)設(shè)備接口上存在一個(gè)硬件漏洞，京東安全硅谷研究團(tuán)隊(duì)發(fā)現(xiàn)了這個(gè)問(wèn)題并加以研究，發(fā)現(xiàn)黑客、黑產(chǎn)可以利用這個(gè)漏洞，勾結(jié)保險(xiǎn)公司、4S店、保險(xiǎn)公司等，篡改用戶的駕駛習(xí)慣記錄，使得用戶繳納更多甚至雙倍的保險(xiǎn)費(fèi)，從而獲取大額利潤(rùn)。

安全研究員還介紹稱：由于這個(gè)攻擊是從物理層面發(fā)起的，所以僅憑軟件更新是無(wú)力應(yīng)對(duì)的，而在我們的日常生活中，類似存在漏洞的硬件還有很多，對(duì)于IoT安全的重視程度我們還遠(yuǎn)遠(yuǎn)不夠。

藍(lán)軍視角 變被動(dòng)防御為主動(dòng)防御

或許你會(huì)奇怪，挖掘漏洞破解設(shè)備應(yīng)該是攻擊者做的事情，為什么防御者也會(huì)“同流合污”?事實(shí)上，網(wǎng)絡(luò)安全從來(lái)都是一場(chǎng)非對(duì)稱的對(duì)抗，可怕的不是敵人有多強(qiáng)大，而是不知道敵人會(huì)在什么時(shí)候什么地方攻擊。而漏洞挖掘技術(shù)恰恰是打破這一僵局的有效手段。這就類似軍事演習(xí)上的“假想敵”概念，以藍(lán)軍視角，發(fā)現(xiàn)自身缺點(diǎn)，同時(shí)理解對(duì)手的攻擊思路，才能知己知彼，從而更有針對(duì)性的做出應(yīng)對(duì)措施，變被動(dòng)防御為主動(dòng)防御。就像大賽發(fā)起人、KEEN公司CEO王琦說(shuō)的：漏洞從來(lái)不是因?yàn)楹诳筒糯嬖?，恰恰是被黑客發(fā)現(xiàn)后消滅的。人“攻”智能不是目的，我們這些年的努力，是為了讓更多的人可以享受智能生活，讓黑客帶給我們更安全的光明和未來(lái)。

令人欣喜的是，事情正在朝好的方向改變。就在本次Geekpwn大會(huì)上，各個(gè)參賽團(tuán)隊(duì)帶來(lái)的 “人攻智能”項(xiàng)目，現(xiàn)場(chǎng)展示挖掘智能硬件漏洞的過(guò)程，讓越來(lái)越多的廠商、學(xué)術(shù)機(jī)構(gòu)和白帽子們，甚至讓越來(lái)越多的普通人關(guān)注到IoT安全，并形成了更多積極有建設(shè)性的合作。京東首席安全專家Tony Lee表示：希望更多這種IoT安全研究，并開(kāi)放研究成果，使得組織和廠商能提前知道和修復(fù)這些危險(xiǎn)，人們才能享受更智能也是更安全的生活。

生成海報(bào)

免責(zé)聲明：本網(wǎng)站內(nèi)容主要來(lái)自原創(chuàng)、合作伙伴供稿和第三方自媒體作者投稿，凡在本網(wǎng)站出現(xiàn)的信息，均僅供參考。本網(wǎng)站將盡力確保所提供信息的準(zhǔn)確性及可靠性，但不保證有關(guān)資料的準(zhǔn)確性及可靠性，讀者在使用前請(qǐng)進(jìn)一步核實(shí)，并對(duì)任何自主決定的行為負(fù)責(zé)。本網(wǎng)站對(duì)有關(guān)資料所引致的錯(cuò)誤、不確或遺漏，概不負(fù)任何法律責(zé)任。任何單位或個(gè)人認(rèn)為本網(wǎng)站中的網(wǎng)頁(yè)或鏈接內(nèi)容可能涉嫌侵犯其知識(shí)產(chǎn)權(quán)或存在不實(shí)內(nèi)容時(shí)，應(yīng)及時(shí)向本網(wǎng)站提出書(shū)面權(quán)利通知或不實(shí)情況說(shuō)明，并提供身份證明、權(quán)屬證明及詳細(xì)侵權(quán)或不實(shí)情況證明。本網(wǎng)站在收到上述法律文件后，將會(huì)依法盡快聯(lián)系相關(guān)文章源頭核實(shí)，溝通刪除相關(guān)內(nèi)容或斷開(kāi)相關(guān)鏈接。