Allion Labs/ Felix Kao
在物聯網的世界，不分產業、不分產品大小等級；只要有連網功能，就可能在網路上遭受攻擊，進而造成您個人財產損失甚至人身損失；而企業也將面臨病毒蓄意攻擊，導致中控主機當機、產線中斷，蒙受金錢損失。因此，透過資安檢測找出潛在風險與其威脅強度是廠商的當務之急。在「物聯網中自由、便利與安全的恐怖三角關係，您選擇了誰？」-上篇，百佳泰特別針對廠商「輕忽資安嚴重性」或是「不知該怎麼選擇方案」等種種的僥倖心態與不安，介紹了由百佳泰開發的一套快速有效、符合成本效益的「資安檢測方案」，將依照物聯網裝置特性、潛在資安風險以及應用情境，來驗證產品的風險等級，檢視產品的資安漏洞，並提供完整資安報告讓您有效加強資安弱點。
在了解我們的檢測方案之後，現在，就透過我們資安專家來分享物聯網裝置的實測案例，讓讀者更加貼近百佳泰資安檢測。
百佳泰資安實驗室 智能燈泡案例分享
就算只是一個藍牙®燈泡，亦可能隨時成為殭屍網路的一份子
本篇分享的測試案例待測物為支援藍牙®低功耗網絡 (Bluetooth Low Energy Mesh)燈泡，可透過手機安裝對應的App後由手機的控制介面操作燈泡，不僅僅控制開關，亦可與手機的鏡頭連動觸發仿色功能，手機播放音樂時亦可設定為隨著節奏隨機跳色；在多人使用者之間亦可指定權限或轉移主控制權，連上雲端之後可以透過IFTTT channel與語音助理設置連動，功能堪稱相當完備。一個連線單純且無直接上網的裝置貌似安全，但若從資安檢測角度仔細審視，潛在風險其實遠比想像中高出許多。
首先，我們將燈泡的連線邏輯展開，從資安檢測的角度來檢視，實體裝置共有三個，分別為燈泡、App載體(手機)以及雲端資料庫；而連線則可拆分為近端連線以及雲端連線如下圖示1：
圖示1:資安網路連線架構
百佳泰的資安驗證項目共有數十個項目，從測試結果得知，大部分的潛在風險竟來自於控制燈泡的APP(如下圖2)，相信這結果令大家感到十分意外吧!?言下之意，駭客可偷取強度較弱的APP載體密碼，便可遠端控制介面操作用戶的智能燈泡，恣意開關燈泡裝置，在不該開啟的時候刻意浪費消耗電力。讀者再想想，若是將燈泡換成監視商場的IP攝影機，駭客便可輕易關閉攝影機，而讓盜竊者有機可趁。
圖示2:資安報告弱點分析比重
另外，根據國際級的漏洞評鑑系統(CVSS: Common Vulnerability Scoring System)的條件來推估報告中每項測試的風險等級，測試的藍牙®燈泡裝置竟存在7個具有中高風險程度以上的漏洞，風險等級為”4”(風險程度從0到4，由低至高)，有較高的可能被駭客利用並且攻擊，需要立即採取修正措施。
從報告結果我們可歸納出一個結論，並非只有物聯裝置才會有風險，在物聯網的世界，不論是實體裝置、APP載體、雲端資料庫或是傳輸連線，只要有資安漏洞，就極可能遭受攻擊! 然消費者在第一時間總是將責任歸咎於裝置品牌廠商，並不會抱怨後端配合的相關廠商。事實上，裝置品牌商配合的APP開發商、網路營運商以及雲端伺服器廠商，都應該需要做好安全防護措施，甚至應該有稽核檢查表，挑選符合資安標準的廠商，並檢視其資安能力!
導入開發階段的 Software軟體驗證方案
如上一篇我們提及，「資安是一個風險控管的行為」，這如同人類每年需要定期做健康檢查來評估掌控自身狀況；而事實上，預防勝於治療，安全軟體發展週期始於產品設計，雖然產品設計階段導入資安會增加開發時程，但是事後修補所付出的成本反而越高且面臨的風險也越大，因此識別產品所面臨的威脅、評估風險、考量安全需求及檢視安全設計是在設計階段皆需要思考的；廠商於開發階段時，透過白箱檢測方式的源碼靜態涵式庫分析，得以避免具資安風險的編程內容及避用不安全函式庫等，以確保程式的安全性，百佳泰專業軟體實驗室的開發團隊，具備各項程式語法能力，能夠站在”開發者”的角度設計測試案例，確保測試中的路徑都可以被分析、執行，以提供開發人員程式碼最佳化的反饋。
圖示3:白箱測試，又稱透明盒測試，不同於黑箱測試驗證軟體的功能性，主要在測試應用程式的內部結構與運作。
廠商除了在安全軟體功能開發上需要投入相當時間與心力，另在整個物聯網產品開發週期，包括在EVT、DVT階段是否落實安全相關開發準則、MP前是否通過一道重要關卡「資安檢測」等，實際測試產品是否存在資安漏洞，評估產品潛在風險，預先檢視產品上線後所可能面臨的資安攻擊。廠商唯有釐清每一個環節可達到的安全程度，方為確保產品安全信心的最佳判定依據。
百佳泰的資安檢測服務是物聯網裝置的神隊友
百佳泰能夠針對各產品特性及使用情境，提供快速有效、符合經濟效益的資安檢測方案，從物聯網產品得五大連網架構-裝置韌體、裝置控制APP、雲端伺服器、近端連線以及遠端連線切入，提出適切的國際標準的資安風險檢測，像是目前較知名的OWASP Top 10系列、IEC 62443系列等，透過網路安全測試項目，替您的產品做資安把關。百佳泰深知，若產品滿足國際資安標準要求，更可明確彰顯產品其安全保證等級。
