别让网络黑客盗取了你的“智能家居”

提到联网住宅，人们会自然认为自己才是家里的主人。但不幸的是，黑客的攻击可能让你因为这种技术的发展而深受其害。

    马克·吉尔伯特(Marc Gilbert)对此深有体会。为了照顾2岁的女儿，他在家里装了IP摄像头。但今年8月，摄像头被黑客入侵，导致熟睡中的女儿遭到黑客的“隔空辱骂”。

    类似的事情其实并不少见，这也凸显出所谓的智能住宅技术普及过程中面临的一大障碍。

    这样的黑客攻击绝非小事。如果说住宅是人们身份的延伸，那么恐怕没有什么地方能比那里更能给予我们庇护，让我们安心。也正因如此，对智能住宅技术的入侵，自然会让我们心生恐惧。

    谁在盯着谁?

    曾几何时，破解车库遥控器的无线电频率还是一种普通人难以接触到的高科技，但现在却几乎成了小儿科。

    如今，陌生人已经可以掌控他人的家用摄像头，甚至入侵联网电视和恒温器。这显然令人毛骨悚然，甚至会带来切实的破坏。

    摄像头可以用来窃取登录信息，而恒温器则可以透露主人是否在家。电视原本是帮助我们进入虚构世界的窗口，但现在却成了外人偷窥我们日常生活的隐秘渠道。

    例如，智能电视上既有摄像头、麦克风，还能安装应用、上网冲浪，功能已经越来越接近电脑。不仅如此，它也跟电脑一样可以入侵。用户不仅可能被自己家的电视监控，甚至会被引诱到恶意网站，导致敏感信息被窃。

    安全评估公司iSECPartners首席安全工程师阿隆·格拉塔菲奥里(AaronGrattafiori)是这方面的专家。他和他的同事约什·亚沃(JoshYavor)在今年的拉斯维加斯黑帽安全大会上向观众演示了成功入侵三星智能电视的过程。

    格拉塔菲奥里通过邮件解释称，他使用那款电视的网络浏览器攻破了它的前置摄像头，控制了DNS设置，并向其他应用植入了类似于病毒的代码。他表示，之所以能完成这种攻击，是因为三星智能电视的很多应用(包括Skype和Twitter)都是用Javascript和HTML5编写的，而且使用了Binary API(应用编程接口)，使之极易受到攻击。

    最终，格拉塔菲奥里和亚沃轻松将他们的恶意代码植入到电视里，不过三星后来修补了这一漏洞。

    宝宝摄像头失控

    为了照看宝宝，吉尔伯特购买了Foscam的IP摄像头，但那款产品的软件却存在重大安全问题。在安装过程中，Foscam使用了默认的用户登录名，也就是最经典的admin用户名，但并没有提醒用户自行更改。

    更改初始登录信息是所有安全专家的首要建议，大概是因为很多用户都疏忽了这一点。事实上，任何联网设备都会有一套默认的身份验证程序，可以被黑客轻而易举地攻破。而由于Shodan专用搜索引擎可以方便用户寻找各种上网家电，所以要找到家用路由器和IP摄像头便更加容易。

    对Foscam来说，黑客还可以直接解析*.myfoscam.org名空间，因为多数联网的Foscame摄像头都会列出主机名称。这些方式都可以帮助黑客找到巨大的宝藏。

    当然，安全问题并非Foscam摄像头独有。通过苹果旗舰店和百思买销售的IZON监控摄像头最近也被曝存在与默认登录名有关的安全问题。

    Foscam已经发布了软件补丁，催促用户更改用户名和密码。然而，这或许仍然不能彻底解决这类问题。因为无论技术水平高低，科技用户通常都无法及时更新软件。

    选择一个独特而难以猜测的用户名是十分重要的，而且非常必要，但仍然不能保证100%的安全。家住休斯顿的吉尔伯特表示，他家里的路由器有密码保护，而且启用了防火墙。IP摄像头同样设置了密码。

    然而，入侵者还是拿到了这款摄像头的控制权，具体方法有可能是通过暴力破解实现的，也有可能是更加复杂的黑客技术。已有信息显示，这名黑客来自欧洲。

    家门大开

    联网家用产品可以通过多种方式接入网络，有的用蓝牙，因此号称可以使用设备配对协议来预防未经授权的访问行为。还有的直接接入WiFi网络。飞利浦Hue灯泡、Dropcam摄像头、Nest恒温器和火警报警器、贝尔金WeMo设备等产品都可以直接接入路由器，从而通过互联网访问，所以可以直接通过网站或移动应用实现远程监控。

    另有一些产品使用了别的方法，例如家住俄勒冈的托马斯·哈特利(ThomasHatley)家里就使用了这样一套系统。他家安装了Insteon住宅自动化系统，可以利用无线电信号和已有的线路通讯。但仍然需要通过互联网与外界相连，所以仍然无法避免攻击事件的发生。

    当《福布斯》编辑喀什米尔?希尔(Kashmir Hill)远程攻入他的住宅，并获得了住宅自动化系统的控制权后，他感到颇为震惊。通过这种方式，希尔虽然身在纽约，但却可以轻易掌控哈特利家的各种设备，从电扇到灯泡，再到车库门，无所不包。她发现，希尔家的这套系统甚至在默认状态下不需要密码保护，而这却是最基本的安全要求。