《近匠》专访启明星辰安全研究中心副总监侯浩俊——物联网安全攻防的“线上幽灵”...

世界头号黑客凯文·米特尼克（Kevin Mitnick）曾在一次采访中表示——世上从无可以将我们从黑客入侵中保护起来的完美的防御方式，更没有完全安全的系统，「你所能做的就是尽可能做好自己的防御，尽量减少做自己可能受到威胁的操作」。而当全球互联设备迎来爆发式的增长，物联网环境下所暴露出的安全问题也是层出不穷。在人工智能等各项新兴技术推动着物联网发展的同时，我们可以如何去保障数据存储设备的安全性？作为开发者，我们又需要注意什么？本期《近匠》，我们从 IoT 安全防护着手，特别专访了启明星辰安全研究中心副总监侯浩俊，请他为我们一解物联网安全攻防之道。

侯浩俊 启明星辰安全研究中心副总监

安全研究之路

CSDN：首先，请您做个自我介绍，包括个人经历及负责工作。

侯浩俊： CSDN 的读者们大家好，我是侯浩俊，成都电子科技大学硕士，毕业之后进入启明星辰 ADLab（积极防御实验室）工作至今，目前主要负责 ADLab 的漏洞研究团队。

CSDN：您的团队日常工作有哪些？有着怎样的风格或共同特征？

侯浩俊： 日常的工作基本都是围绕着漏洞研究展开的，诸如漏洞挖掘、漏洞分析以及漏洞利用等，我们的研究领域覆盖传统桌面与服务器操作系统及主流应用、移动平台、车联网和物联网等。每个研究员都有自己确定的研究领域，长期对该领域相关软件系统开展深度研究分析和漏洞挖掘工作，同时也会及时对热点漏洞和安全事件进行分析；我们自主挖掘的漏洞会报送国际 CVE 或国家 CNVD 和 CNNVD 帮助厂商进行修复；有价值或有意思的技术研究也会以深度分析文章的方式分享给大家；高质量的研究成果会去安全峰会做议题演讲；对外界公布的一些危害较大的热点漏洞，我们还会第一时间推出检测工具以帮助大家能够快速进行自查，及时止损。

区别于研发团队，我们是个技术研究队伍，大家是因为对安全研究的兴趣走到了一起，大部分时间都是在自己感兴趣的研究领域积累和发力。在兴趣驱动的前提下，每个人对工作都表现出了专注、执着以及解决难题时不达目的不罢休的特质，有时为了分析某个漏洞或验证某个想法，通宵达旦都是家常便饭。研究工作的特殊性需要不断学习新技术以及研究新领域的安全问题，在这个过程中大家都秉持着开放和乐于分享的精神，互相从对方身上汲取养分促使整个团队研究能力的提升。

CSDN：您的团队在过去的一年里是否遭遇过重大的安全事件或难题？最终是如何攻克的？

侯浩俊： 在过去的 2016 年和近期爆出了很多影响力颇大的漏洞和安全事件。漏洞方面例如 OpenSSL 若干严重漏洞、Windows 辅助登录服务的提权漏洞、通杀所有 Windows 系统的“BadTunnel”漏洞、存在于 iOS 的 ImageIO 框架中的远程代码执行漏洞、跨协议攻击的“DROWN”漏洞、内核级“Dirty Cow”漏洞、Struts2 的若干远程代码执行漏洞以及被认为 2016 年最具影响力的“ImageTragick”漏洞等。

安全事件方面例如：乌克兰的电力门、TeslaCrypt 勒索软件、Maktub Locker 勒索软件、Mirai 僵尸蠕虫、“黑雀”攻击（由 ADLab 首次发现并提出），以及近期的 CIA 泄露事件和 Shadow Brokers 泄露事件等。针对第一时间获悉的严重漏洞和安全事件信息，我们会启动内部的应急响应机制，收集或编写漏洞利用，收集目标样本进行深度分析，及时对外发布安全预警公告和检测工具，另外相关特征也会提供给产品线提高公司产品防御能力。

CSDN：作为一位专业的安全人员，您认为在安全方面有什么不可逾越的红线吗？

侯浩俊： 作为普通公民遵纪守法是必须谨守的底线，而作为安全从业人员，这更是显得尤为重要。我们要谨遵如《中华人民共和国网络安全法》等一系列国家相关法律法规的要求，对于项目涉密人员更要时刻绷紧防止涉密信息泄露之弦、安全之弦，我们日常所有的安全研究或者相关业务的开展都要以此为基本前提。

CSDN：您认为一名优秀的安全从业人员需要具备哪些素质？或者说，您希望与什么样的人共事？

侯浩俊： 首先需要具备的素质就是知道什么坚决不能碰、不能做，就是上面提到的不要违反职业操守，不要触碰法律法规的红线。安全的领域其实非常广，任何一个细分领域需要具备专业的知识和技术储备，因此专业能力必不可少。对比传统行业，互联网发展迅猛，相应的新领域新技术不断涌现，势必带来的相关安全问题也是新颖多样的，这就需要安全从业人员时刻保持一颗“海绵”心态，迅速学习吸收新知识以应对新挑战。安全的很多细分方向（比如漏洞研究）的研究领域越往后走人数越少，相应的在一个团队里能交流的人也越少，所以大家要有抱持开放和分享的态度，多在内部和外部做交流，互相借鉴互相成就。

另外，对于做安全的人来讲一定不能把安全做“窄”了，要有大局观。安全一直以来都是作为产品或业务的“附属品”，随着他们的改变而变化，但是如果想把安全作为终身的事业去追求，可能需要跳出这口“井”，时刻保持对整个行业的生态和发展动向的关注，未雨绸缪地进行一些探索。总体来说在工作中，我们更倾向于跟那些有职业操守，时刻保持技术好奇心并乐于分享、有探索精神，将安全当成兴趣乐在其中且执着既定目标的人共事。

CSDN：您的团队最为关注物联网安全的哪些方面，当前正在深度研究的是？

侯浩俊： 物联网所涵盖的范围非常广，应用领域也很多，我们通常侧重跟用户切身利益直接相关的安全问题，例如非授权访问、信息泄露、资金安全甚至人身安全等。

现阶段的研究领域主要包括智能家居、智能机器人、共享单车（汽车）和车联网等。所有在研究中发现的问题，我们都会及时通知权威机构告知厂商帮助他们尽快修复以使受影响用户隐私及人身财产安全更有保障。

在物联网安全方面，我们所面临的问题及有效对策

CSDN：在物联网安全的体系结构中，从感知层到应用层您认为哪方面的安全问题最为严重？

侯浩俊： 在物联网的体系构架中从感知层、传输层到应用层各层扮演的角色不同（其构架如下）所面临安全问题也截然不同。

1. 感知层负责通过 RFID、各类传感器、GPS、激光扫描仪、二维码等采集原始信息，并且感知节点之间要协同工作，通过传感器网络等实现数据的汇聚和传输，感知节点受限于自身计算资源所限，抗攻击能力很弱；大多节点长期处于无人值守状态，易受侵；节点与节点或节点与汇聚点之间存在着若干情况下的身份认证脆弱问题。

2. 传输层负责把感知层收集的信息传输到应用层进行处理，由于物联网是构建在互联网基础之上，故在传输的过程中所有目前存在在互联网中的威胁同样也对物联网构成危害（DoS 攻击、中间人攻击等），而且在物联网环境中跨异构网络的攻击更为突出。

3. 应用层根据自身的业务需求，通过应用支撑子层对信息进行处理以满足用户需求，应用于诸如智能家居、智能交通、智能电力、智能物流、智能医疗等领域，该层主要因应用需求的多样性以及其支撑子层所采用的如分布式、云计算、大数据等不同的安全策略所面临着整体的安全构架问题，另外在各个领域的应用中最严重的安全威胁来自用户隐私数据的泄露，以及由此导致的支付风险甚至人身安全风险。

对于感知层、传输层和应用层任何一层遭到攻击，都会影响到整个系统和最终的端用户，但从当前情况看，应用层的安全问题尤为突出。

CSDN：对于当前物联网安全的需求，有哪些有效的对策？如攻击检测、防御、通信保护等方面。

侯浩俊： 从技术的角度，物联网安全需求源自所面临的安全问题。感知层应对策略：

1. 提高节点与节点之间以及节点与汇聚点之间的身份认证复杂度；
2. 限制节点的恶意发包行为，防御 DoS 攻击；
3. 备份关键节点，提高容侵和恢复能力。

传输层应对策略：

1. 通过密钥管理机制保证内部通信安全；
2. 利用互联网僵木蠕特征库资源进行入侵检测和病毒检测；
3. 端到端的认证和密钥管理协商机制，选择较强的加密算法。

应用层应对策略：

1. 开发过程中注重安全编码；
2. 加强用户身份认证；
3. 通过加密保存日志和信息泄露溯源技术提高事后追责的不可抵赖性；
4. 重要数据必要时的自毁技术等。

从管理的角度，物联网的安全需要以政府和行业主管为主体，加上权威的第三方机构参与来共同进行规划管理。除了技术和管理等手段，还需要出台相应的法律法规进行约束。

CSDN：从软件开发层面来讲，作为开发者需要注意什么？可否分享一下您的经验总结及建议？

侯浩俊： 对于物联网，我们一般的研究方法都必然包含使用逆向工程分析定位相关软件或库的脆弱点，这些问题反映出正向开发中存在的一些不好的编程习惯以及在安全设计之初欠缺考虑的地方（当然不止包涵这些）。例如：

1. 使用风险函数；
2. 闭门造车实现一些功能，而这些功能更安全的实现在 SDK 里早已存在；
3. 明文存储用户敏感信息；
4. 硬编码密钥；
5. 未使用加密协议传输重要数据；
6. 产品发布时未删除调试信息；
7. 过分依赖框架，导致框架产生的安全问题波及到开发目标；
8. 编程工具的污染影响到通过其开发的目标上；
9. 私有协议设计实现过于脆弱；
10. 没有采取必要的混淆加固措施；
11. 对安全漏洞响应不及时，更新不及时，修补不彻底。

CSDN：当物联网迎来人工智能、混合现实等诸多新兴技术时，关于物联网设备、平台以及系统的安全问题又该如何与之结合呢？

侯浩俊： 人工智能与物联网是天生一对，据思科的预测，2020 年全球在线的物联网设备数量会达到 500 亿，这些设备每时每刻都会产生大量数据，而这海量的数据信息需要一种方式来进行分析，应用于不同的领域区别出“有用”和“冗余”内容，进而帮助人类智能做出决策，这种方式非人工智能莫属。对于通过二者的结合来满足安全需求，目前已经有公司在做类似的事情，例如利用人工智能透过物联网提供的预测模型检测并阻止可疑行为，利用人工智能分析内外部极大数量的元数据相互的关联性来检测企业异常流量，利用人工智能对移动应用进行精确有效分类，初步鉴定应用是否携带恶意内容等。

物联网改变着人们的生活方式，VR（虚拟现实）/AR（增强现实）/MR（混合现实）技术的发展改变着虚拟世界和物理世界的表现形式以及逐步缩小着二者的边界，这其中 MR 便是 AR/VR 和物联网的结合，它无缝地结合现实和虚拟世界，使用户体验更沉浸、交互更直接自然。但由此也会带来一些安全挑战，比如模拟出来的虚拟信息的完整性、保密性和可用性问题，我们是否应该相信眼前所见并且不被误导？我们如何确保在增强用户体验的同时保护自己的隐私等？目前，由此产生的安全问题尚未显现，但是历史经验告诉我们提前一步思考安全问题总是没错的。

CSDN：最后，对于企业和个人来讲如何保护自己免遭黑客攻击？可否分享一些有效的安全防御手段？

侯浩俊： 首先，现实一再证明并不存在绝对安全的系统，也就说没有万全之法能使得企业和个人免受攻击。在这个万物互联时代里，我们能做的就是接受自己随时可能遭受网络攻击的前提假设，多为安全做些考量。

针对企业，部署纵深的防御体系以及严格遵守日常安全管理规范，尽量将潜在的攻击抵御在门外。构建完善的事中预警机制和事后应急处理机制，以应对一旦攻击无法避免，也能将危害降到最低的情形，也就是威胁可控。

针对个人而言，无论是处于主机互联还是移动互联时代，遭受攻击最严重危害还是个人隐私数据（文件、照片、支付信息等）泄露。而到了物联网时代，除了个人隐私数据泄露的形式更加多样化（比如摄像头被攻击）外，攻击还可能带来人身安全的威胁（车互联被攻击、心脏起搏器被攻击等）。

因此除了我们之前一直建议的个人用户要不断加强安全意识重视安全，养成良好的安全习惯（避免弱密码的陋习、各种账号尽量一号一密定期更新、不要轻易点击一些来历不明的链接或者照片、谨慎连接公共 Wi-Fi、慎重上传隐私或者敏感内容等）外，建议大家在选购物联网相关设备方便自己日常生活的同时一定要把产品的安全性作为和产品功能性同等重要的因素考量。做到这些，基本就能抵御很多安全隐患了，但如果还是怀疑或发现被攻击了，及时咨询专业人士，必要的时候拿起法律武器保护自己。

---

匠人·匠物·匠心 —— 《近匠》语录推荐

《近匠》是 CSDN 于 2013 年 12 月正式推出的访谈栏目，其意思即为「走近工匠」，走近深耕于移动应用、物联网领域的工具及服务开发商们，听他们怎么看待现在的开发工作，自己精雕细琢出来的工具有何特点。也希望能够对工具的实际能力进行一番罗列与剖析，帮助开发者找寻到趁手的「兵器」。详情可以从【1】【2】了解。

在今年万物智能互联的背景下，我们特别推出《近匠》物联网 TOP 100 系列访谈专题，走访来自物联网领域（感知层、网络层、平台层、应用层及安全）卓越的软硬件工具及服务提供商，既以此窥探整个行业的趋势走向、前沿技术及业务实践情况，向开发者传播更好的产品开发、设计交互等经验，也帮助来自物联网领域的企业团队及其产品在开发者圈中扩大知名度及更深层次的了解。如果您及团队有报道需求，欢迎通过邮件（jiawd#csdn.net，请将#改成@）进行联系，我们将在24小时内进行回复。

• 初级的智能化是依靠芯片，而真正把物联网智能化领上一个新台阶的，却是由芯片所产生的数据。物联网的智能化程度取决于其对数据整合的能力与高度，对复杂数据的整合能力越高，服务就越“智能”。 —— Sudha Sundaresan，Ayla Networks 云平台工程部主管

• 目前物联网行业产业链条长，导致分工协作的复杂性加大，产业有待进一步的标准化。其次，物联网产品经理角色缺失，如何把消费者的诉求和厂商的诉求结合到一起，既要做到洞悉用户需求，又要借助物联网探索企业新的商业模式，也是一个需要不断去探索的过程。 —— 孙志东，AbleCloud CTO

• 任何一个 IoT 的解决方案，都会有两个端，终端设备和云端应用。在这两个地方紧紧契合用户的需求，花时间做到最好。从技术人员的个人角度来说，中间的这个部分，很有难度，天然地会很吸引人花时间去深挖，但是，请不要把宝贵的时间用来重新发明轮子，因为你是做车的，并不是做轮子的。 —— 赵东炜，SENSORO CTO