还有1亿多物联网设备暴露在外——而且它们不会是最后一个

在过去的几年里，研究人员在看似基本的代码中发现了数量惊人的漏洞，这些代码支撑着设备与互联网的通信方式。现在，一组新的9个此类漏洞正在全球范围内暴露约1亿台设备，包括一系列物联网产品和IT管理服务器。然而，研究人员正在努力回答的更大的问题是，随着这些类型的漏洞越来越多，如何刺激实质性的变化，并实施有效的防御。

被称为名称:沉船在美国，这些新披露的缺陷存在于四种无处不在的TCP/IP协议栈中，这些代码集成了网络通信协议，在设备和互联网之间建立连接。这些漏洞存在于操作系统中，比如开源项目FreeBSD，以及工业控制公司西门子的Nucleus NET，它们都与这些堆栈如何实现“域名系统”互联网电话簿有关。它们都能让攻击者要么使设备崩溃并使其离线，要么远程控制设备。这两种攻击都可能在网络中造成严重破坏，特别是在关键的基础设施、医疗保健或制造环境中，在这些环境中，渗透连接的设备或IT服务器可能破坏整个系统，或作为深入受害者网络的有价值的起点。

所有这些漏洞都是由安全公司Forescout和JSOF的研究人员发现的，现在都有可用的补丁，但这并不一定会在实际设备中得到修复，这些设备通常运行的是较旧的软件版本。有时制造商没有创建更新代码的机制，但在其他情况下，他们不生产运行代码的组件，而且根本没有控制机制。

“这些发现,我知道它看起来像我们只是把问题表,但是我们真的试图提高认识,与社区合作,并找出解决这个问题的方法,”Elisa Costante说Forescout研究部的副总裁,已经做了其他类似的研究通过它调用项目记忆。“我们分析了超过15个TCP/IP协议栈，其中既有专有的，也有开源的，我们发现它们在质量上没有真正的区别。但这些共性也很有用，因为我们发现它们有相似的弱点。当我们分析一个新堆栈时，我们可以去看看这些相同的地方，并与其他研究人员和开发人员分享这些共同的问题。”

研究人员还没有看到攻击者在野外积极利用这类漏洞的证据。但是，由于数以亿计——也许是数十亿——的设备可能会受到众多不同发现的影响，因此暴露的影响是显著的。

西门子美国首席网络安全官Kurt John在一份声明中告诉《连线》杂志，该公司“与政府和行业合作伙伴密切合作，以减轻漏洞……在这种情况下，我们很高兴与这样的合作伙伴之一Forescout合作，以快速识别和减轻漏洞。”

研究人员协调信息披露开发者发布的缺陷补丁美国国土安全部(Department of Homeland Security)下属的网络安全和基础设施安全局(Cybersecurity and Infrastructure Security Agency)，以及其他漏洞追踪组织。类似的缺陷由Forescout和JSOF在其他专有和开放源代码中发现TCP / IP栈已经被发现在全球范围内暴露了数亿甚至数十亿台设备。

这些无处不在的网络协议之所以经常出现问题，是因为随着周围技术的发展，它们在很大程度上已经被传承了几十年。本质上，既然它没坏，就没人修。

物联网安全公司红气球安全(Red Balloon security)的首席执行官Ang Cui表示:“不管怎样，这些设备里面有20年前人们写的代码，带着20年前的安全心态。””和它的工作原理;它永远不会失败。但一旦你把它连接到互联网上，就不安全了。这并不奇怪，因为我们不得不重新思考过去20年里我们如何为通用计算机做安全工作。”

现在的问题是臭名昭著的在这一点上，这是安全行业无法消除的，因为充满漏洞的僵尸代码似乎总是再次出现。

开放加密货币审计项目(Open Crypto Audit Project)联席主任肯·怀特(Kenn White)表示:“有很多例子都是无意中重现了90年代的低级网络漏洞。”“这在很大程度上是因为缺乏经济激励来真正关注这一代码的质量。”

关于研究人员发现的新弱点，也有一些好消息。尽管这些补丁可能不会在短期内完全普及，但它们是可用的。其他权能缓解措施可以减少暴露，即尽可能多地避免设备直接连接到互联网，并使用内部DNS服务器路由数据。Forescout的Costante还指出，开发活动将是相当可预测的，从而更容易发现利用这些缺陷的企图。

当谈到长期解决方案时，考虑到参与这些供应链和产品的所有供应商、制造商和开发人员，没有快速解决方案。但是Forescout发布了一个开放源码脚本网络管理人员可用于识别其环境中可能存在漏洞的物联网设备和服务器。该公司还维护着一个开源数据库查询库，研究人员和开发人员可以使用它更容易地找到与dns相关的类似漏洞。

“这是一个普遍的问题;这不仅仅是一种特定设备的问题，”科斯坦特说。“这不仅仅是便宜的物联网设备。越来越多的证据表明这是多么普遍。这就是为什么我们一直努力提高人们的意识。”

这个故事最初出现在wired.com。