家庭物联网安全.ppt
《家庭物联网安全.ppt》由会员分享,可在线阅读,更多相关《家庭物联网安全.ppt(16页珍藏版)》请在咨信网上搜索。
1、家庭物联网安全.5/8/20241家庭宽带业务现状当前家庭宽带正逐步向智能化发展,以智能家庭网关为核心,通过物联网技术将家中的各种设备连接,提供家电控制、防 盗报警、环境监测等多种功能,并通过与云端业务系统的紧密结合,建立起人、家庭设备与网络的家庭物联生态。智能门禁温控系统中央空调客厅安防系统厨房CO监测火灾监测智能窗帘卧室换气系统智能家庭网关 照明系统人体监测书房智能家庭宽带业务特点:智能家庭网关 集合光猫、路由器、智能中心为一体的智能化网关,不仅连接所有家庭网络中的智能设备,同时 是网络接入的入口,是智能家庭集中管理的核心设备。设备更加智能智能家庭网络中的联网设备都拥有智能操作系 统,提供
2、更多智能化的业务应用。各类物联网技术 智能设备可通过各类物联网技术构建自组网络,实现多个设备的自动控制及远程控制,如蓝 牙、Zigbee等。魔百盒云端业务平台2.5/8/20242家庭宽带安全事件分析(1)2016年10月21日,美国东海岸地区遭受大面积网络瘫痪,其原因为美国域名解析服务提供商Dyn公 司当天受到强力的DDoS攻击所致。这些攻击的主要来源是被Mirai僵尸网络控制的物联网设备。2016年11月27日开始,德国电信遭遇一次为期两天的大范围网络故障,在这次故障中,超过90万 个路由器被Mirai僵尸网络新的变种破坏,并由此导致大面积网络访问受限。问题表现:IOT设备存在默认口令或弱
3、口令 问题原因:Mirai变种依然会扫描网络中 IOT设备的Telnet服务,并使用三组常见 的口令组合进行暴力破解攻击。弱口令 攻击非主要攻击手段。问题1:IOT设备弱口令问题2:路由设备的策略不当问题3:TR-064命令注入漏洞问题表现:路由设备的7547端口对互联 网开放 问题原因:路由设备的7547端口对互联 网开放,暴露了TR-064服务。问题表现:TR-064命令注入漏洞 问题原因:执行TR-064中的命令,在设定时 间服务器的时候存在命令注入漏洞,利用该漏 洞打开防火墙80端口,进行远程连接并下载 mirai。德国电信事件设备默认密码与弱口令问题:IOT设备弱口令问题表现:IOT
4、设备存在默认口令或弱口令 攻击原理:Mirai会扫描网络中IOT设备的Telnet服务,当Mirai扫描到Telnet服务时,会连接Telnet并通过内置的60余个用户名和密 码进行暴力破解,爆破成功后登录IOT设备,并植入mirai恶意程序进行感染,将IOT设备的IP地址、端口、设备处理器架构等信息 回传给僵尸服务器,静默等待僵尸服务器的指令来完成攻击。美国mirai事件威胁来源网关及下挂设备不强制用户修改默认密码,或不对用户修改的密码做强度校验,导致大 多数设备容易被黑客轻易登录。启动不安全的配置及服务在一些网络设备及智能设备上默认开启了一 些不安全的端口及服务,黑客专门扫描带有 这些服务
5、的设备并发起攻击。系统及协议漏洞利用在一些操作系统及服务指令中,存在如命令 注入、缓冲区溢出及执行任意代码漏洞,控 制设备权限并执行非法操作。3.5/8/202434家庭宽带安全事件分析(2)2017年2月,Netgear数十个型号的路由器曝出严重安全漏洞,由于其密码恢复流程存在缺陷,入侵 者可以利用这个漏洞远程获取Netgear路由器的管理员密码,从而对路由器进行远程控制。问题:不安全的授权认证问题表现:存在可被绕过的授权认证逻辑 问题原因:Netgear的密码恢复流程会将用户重定向到一个页面,而这个页面会暴露密码恢复的token,如果用户能够在请求中提 供正确的token,就能获得路由器的
6、管理员密码。2015年8月21日,在HackPwn2015安全极客狂欢节上,被黑客破解之后的小米手环除了可以获得 身体特征、步数、睡眠时间等个人数据外,还使现场所有观众的小米手环实时震动。Netgear路由器 漏洞小米手环破解威胁来源不安全的认证授权智能设备及业务系统存在弱认证或认证绕过等 不安全认证因素,直接导致系统被黑客控制及 利用。不安全的信息传输智能设备与业务系统或其他设备间的数据通 信未采用安全加密或使用了简单密钥,导致 通信的数据可被嗅探窃取。WEB漏洞+APP安全大部分智能设备由APP进行操作,且业务平 台以WEB页面为主要展示及操控方式,采用 各类WEB攻击以及APP破解并成功
7、,即可对 设备及业务平台进行控制操作。问题1:蓝牙认证漏洞问题表现:认证强度低 问题原因:使用非安全模式的蓝牙通信,导致操控设备被 伪冒问题2:通信未加密问题问题表现:通信数据可嗅探抓取,得到信号关键部分,破解通 信密钥 问题原因:通讯信号未加密传输,导致信号被截取,并对指令 分析篡改,实现对手环的操控2015年2月,江苏省公安厅发布的特急通知称,主营安防产品的海康威视其生产的监控设备被曝严 重的安全隐患,其设备存在SQL注入及弱口令,导致可被非法接入从而获得大量敏感视频信息,造 成恶劣影响。海康“安全 门”事件问题:SQL注入及弱口令问题原因:业务平台存在WEB漏洞,以及对口令强度未做强制校
8、验,导致后台被攻破。问题表现:监控设备后台可被轻易入侵.5/8/20245家庭宽带安全事件分析(3)2016年6月,乌云报告发现了大量针对包括d-link、tp-link、zte等品牌路由器的攻击代码,劫持者 通过路由器的CSRF漏洞篡改用户路由器的DNS设置,实现对用户网站访问行为的劫持,诱导用户访问恶意网站。问题:恶意网站访问问题表现:路由器默认DNS被篡改,导致用户使用合法域名访问至非法网站。问题原因:路由器由于自身漏洞被黑客控制或可执行远程代码,使得其在用户不知情的情况下,默认DNS服务器地址被篡改,导致 用户访问恶意网站。2015年8月21日,Cognosec 公司在拉斯维加斯的黑帽
9、大会(Black Hat)发布了一篇论文,指出 ZigBee 协议实施方法中的一个缺陷,黑客有可能以此危害 ZigBee 网络,并“接管该网络内所有 互联设备的控制权”。多品牌路由器 DNS劫持ZigBee网络缺陷威胁来源恶意网站访问攻击者通过DNS劫持或其他手段,诱导用户 访问钓鱼网站及恶意网址,并引导其泄露个 人隐私及下载恶意程序。设备自组网安全设备通过Zigbee等自组网协议,可构建自行 管理的局域网络,组网协议的漏洞,威胁着 自组网中各类设备的安全。问题:设备自组网络安全路由器上被篡改的默认DNS问题表现:攻击者可通过Zigbee默认链路密码非法接入用户设备自组网实施破坏问题原因:Zi
10、gBee 协议标准要求支持不安全的初始密钥的传输,再加上制造商对默认链路密钥的使用使得黑客有机会侵入网 络,通过嗅探某个设备破解用户配置文件,并使用默认链路密钥加入该网络。.5/8/20246家庭宽带安全事件分析(4)Cisco多款交换机 存在远程代码执行 漏洞烽火通信部分ONU 设备可被远程控制CIA Vault7数据泄露事件后,思科通过排查,发现了存在于IOS/IOS XE之中CMP协议处理代码的漏洞,可被未经授权的攻击者利用,提升权限并远程执行代码,另外还能导致设备重新加载。攻击影 响范围超过300款不同型号的交换机。烽火通信科技股份有限公司部分版本ONU设备,存在越权访问漏洞和隐藏账号
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 家庭 联网 安全
1、咨信平台为文档C2C交易模式,即用户上传的文档直接被用户下载,收益归上传人(含作者)所有;本站仅是提供信息存储空间和展示预览,仅对用户上传内容的表现方式做保护处理,对上载内容不做任何修改或编辑。所展示的作品文档包括内容和图片全部来源于网络用户和作者上传投稿,我们不确定上传用户享有完全著作权,根据《信息网络传播权保护条例》,如果侵犯了您的版权、权益或隐私,请联系我们,核实后会尽快下架及时删除,并可随时和客服了解处理情况,尊重保护知识产权我们共同努力。
2、文档的总页数、文档格式和文档大小以系统显示为准(内容中显示的页数不一定正确),网站客服只以系统显示的页数、文件格式、文档大小作为仲裁依据,平台无法对文档的真实性、完整性、权威性、准确性、专业性及其观点立场做任何保证或承诺,下载前须认真查看,确认无误后再购买,务必慎重购买;若有违法违纪将进行移交司法处理,若涉侵权平台将进行基本处罚并下架。
3、本站所有内容均由用户上传,付费前请自行鉴别,如您付费,意味着您已接受本站规则且自行承担风险,本站不进行额外附加服务,虚拟产品一经售出概不退款(未进行购买下载可退充值款),文档一经付费(服务费)、不意味着购买了该文档的版权,仅供个人/单位学习、研究之用,不得用于商业用途,未经授权,严禁复制、发行、汇编、翻译或者网络传播等,侵权必究。
4、如你看到网页展示的文档有www.zixin.com.cn水印,是因预览和防盗链等技术需要对页面进行转换压缩成图而已,我们并不对上传的文档进行任何编辑或修改,文档下载后都不会有水印标识(原文档上传前个别存留的除外),下载后原文更清晰;试题试卷类文档,如果标题没有明确说明有答案则都视为没有答案,请知晓;PPT和DOC文档可被视为“模板”,允许上传人保留章节、目录结构的情况下删减部份的内容;PDF文档不管是原文档转换或图片扫描而得,本站不作要求视为允许,下载前自行私信或留言给上传者【精****】。
5、本文档所展示的图片、画像、字体、音乐的版权可能需版权方额外授权,请谨慎使用;网站提供的党政主题相关内容(国旗、国徽、党徽--等)目的在于配合国家政策宣传,仅限个人学习分享使用,禁止用于任何广告和商用目的。
6、文档遇到问题,请及时私信或留言给本站上传会员【精****】,需本站解决可联系【 微信客服】、【 QQ客服】,若有其他问题请点击或扫码反馈【 服务填表】;文档侵犯商业秘密、侵犯著作权、侵犯人身权等,请点击“【 版权申诉】”(推荐),意见反馈和侵权处理邮箱:1219186828@qq.com;也可以拔打客服电话:4008-655-100;投诉/维权电话:4009-655-100。