zigbee嚴(yán)重漏洞，物聯(lián)網(wǎng)安全堪憂(yōu)

1、<p>　　ZigBee嚴(yán)重漏洞，物聯(lián)網(wǎng)安全堪憂(yōu)</p><p>　　[導(dǎo)讀] 2015黑帽大會(huì)(BlackHat2015)上暴露出了不少的物聯(lián)網(wǎng)和智能硬件方面的安全隱患問(wèn)題。除了特斯拉之外，ZigBee也被曝光說(shuō)存在嚴(yán)重漏洞。這種漏洞可能引發(fā)物聯(lián)網(wǎng)危機(jī)問(wèn)題。ZigBee作為連接人們身邊的日常用品、終端設(shè)備、</p><p>　　2015黑帽大會(huì)(BlackHat201

2、5)上暴露出了不少的物聯(lián)網(wǎng)和智能硬件方面的安全隱患問(wèn)題。除了特斯拉之外，ZigBee也被曝光說(shuō)存在嚴(yán)重漏洞。這種漏洞可能引發(fā)物聯(lián)網(wǎng)危機(jī)問(wèn)題。ZigBee作為連接人們身邊的日常用品、終端設(shè)備、家用電器等設(shè)備所廣泛使用的重要無(wú)線(xiàn)互聯(lián)標(biāo)準(zhǔn)之一，被曝出存在嚴(yán)重的安全漏洞，引發(fā)了業(yè)內(nèi)的廣泛關(guān)注。</p><p>　　伴隨科技的快速演進(jìn)，物聯(lián)網(wǎng)(The Internet of Things，IoT)概念再次興起，人們身邊的日

3、常用品、終端設(shè)備、家用電器等也逐步被賦予了網(wǎng)絡(luò)連接的能力。然而作為連接上述設(shè)備所廣泛使用的重要無(wú)線(xiàn)互聯(lián)標(biāo)準(zhǔn)之一，ZigBee技術(shù)卻于近期召開(kāi)的2015黑帽大會(huì)(BlackHat2015)上被曝出存在嚴(yán)重的安全漏洞，引發(fā)了業(yè)內(nèi)的廣泛關(guān)注。</p><p>　　ZigBee被曝出有嚴(yán)重的安全漏洞</p><p>　　ZigBee是一種低成本、低功耗、近距離的無(wú)線(xiàn)組網(wǎng)通訊技術(shù)。由于其名稱(chēng)(Zig

4、Bee，Zig“嗡嗡”，Bee“蜜蜂”)來(lái)源于蜜蜂的八字舞，所以該協(xié)議又被稱(chēng)為紫蜂協(xié)議。在理論層面上來(lái)說(shuō)，它是基于IEEE802.15.4標(biāo)準(zhǔn)的低功耗局域網(wǎng)協(xié)議，主要適合用于自動(dòng)控制和遠(yuǎn)程控制領(lǐng)域，可以嵌入各種設(shè)備中進(jìn)行數(shù)據(jù)的通訊傳輸。目前ZigBee協(xié)議已廣泛存在于諸如智能燈泡、智能門(mén)鎖、運(yùn)動(dòng)傳感器、溫度傳感器等大量新興的物聯(lián)網(wǎng)設(shè)備中。</p><p>　　ZigBee是目前重要的無(wú)線(xiàn)通訊協(xié)議之一</p&

5、gt;<p>　　然而就在各家公司仍舊將關(guān)注點(diǎn)集中在上述設(shè)備的連通性、兼容性等方面之時(shí)，卻沒(méi)有注意到一些常用的通訊協(xié)議在安全方面的進(jìn)展上則處于滯后狀態(tài)。這不，在剛剛結(jié)束的2015黑帽大會(huì)上，就有安全研究人員指出，在ZigBee技術(shù)的實(shí)施方法中存在一個(gè)嚴(yán)重缺陷。而該缺陷涉及到多種類(lèi)型的設(shè)備中，黑客有可能以此危害ZigBee網(wǎng)絡(luò)，并“接管該網(wǎng)絡(luò)內(nèi)所有互聯(lián)設(shè)備的控制權(quán)”。</p><p>　　研究人員表示

6、，通過(guò)對(duì)每一臺(tái)設(shè)備評(píng)估得出的實(shí)踐安全分析表明，利用ZigBee技術(shù)雖然為設(shè)備的快速聯(lián)網(wǎng)帶來(lái)了便捷，但由于缺乏有效的安全配置選項(xiàng)，致使設(shè)備在配對(duì)流程存在漏洞，黑客將有機(jī)會(huì)從外部嗅探出網(wǎng)絡(luò)的交換密鑰。而ZigBee網(wǎng)絡(luò)的安全性則完全依賴(lài)于網(wǎng)絡(luò)密鑰的保密性，因此這個(gè)漏洞的影響將非常的嚴(yán)重。</p><p>　　硬傷竟是源于使用默認(rèn)鏈路密鑰</p><p>　　在安全人員的分析中，他們指出具體問(wèn)題

7、在于，ZigBee協(xié)議標(biāo)準(zhǔn)要求支持不安全的初始密鑰的傳輸，再加上制造商對(duì)默認(rèn)鏈路密鑰的使用——使得黑客有機(jī)會(huì)侵入網(wǎng)絡(luò)，通過(guò)嗅探某個(gè)設(shè)備破解用戶(hù)配置文件，并使用默認(rèn)鏈路密鑰加入該網(wǎng)絡(luò)。</p><p>　　然而，默認(rèn)鏈路密鑰的使用給網(wǎng)絡(luò)密鑰的保密性帶來(lái)了極大的風(fēng)險(xiǎn)。因?yàn)閆igBee的安全性很大程度上依賴(lài)于密鑰的保密性，即加密密鑰安全的初始化及傳輸過(guò)程，因此這種開(kāi)倒車(chē)的默認(rèn)密鑰使用機(jī)制必須被視作嚴(yán)重風(fēng)險(xiǎn)。</p

8、><p>　　安全人員表示，如果攻擊者能夠嗅探一臺(tái)設(shè)備并使用默認(rèn)鏈路密鑰加入網(wǎng)絡(luò)，那么該網(wǎng)絡(luò)的在用密鑰就不再安全，整個(gè)網(wǎng)絡(luò)的通信機(jī)密性也可以判定為不安全。</p><p>　　可實(shí)際上，ZigBee協(xié)議標(biāo)準(zhǔn)本身的設(shè)計(jì)問(wèn)題并不是引發(fā)上述漏洞的原因。上述漏洞的根源更多地被指向了由于制造商為了生產(chǎn)出方便易用、可與其它聯(lián)網(wǎng)設(shè)備無(wú)縫協(xié)作的設(shè)備，同時(shí)又要最大化地壓低設(shè)備成本，而不顧及在安全層面上采用必要的

9、安全性考量。</p><p>　　安全人員指出，在對(duì)智能燈泡、智能門(mén)鎖、運(yùn)動(dòng)傳感器、溫度傳感器等所做的測(cè)試中顯示，這些設(shè)備的供應(yīng)商僅部署了最少數(shù)量的要求認(rèn)證的功能。其它提高安全級(jí)別的選項(xiàng)都沒(méi)被部署，也沒(méi)有開(kāi)放給終端用戶(hù)。而這種情況下所帶來(lái)的安全隱患，其嚴(yán)重程度將是非常高的。</p><p>　　綜上，正如無(wú)線(xiàn)路由器會(huì)曝出存在默認(rèn)管理密碼的安全漏洞一樣，現(xiàn)在被部署于大量智能設(shè)備中的ZigBe

10、e協(xié)議也被設(shè)備制造商隨意濫用，導(dǎo)致使用該協(xié)議的家用或企業(yè)級(jí)互聯(lián)設(shè)備暴露在惡意攻擊者的覬覦之下。由此可見(jiàn)，在確保智能設(shè)備獲得出色的互通性與普及性同時(shí)，如何還能為消費(fèi)者兼顧安全層面上的可靠防護(hù)，才是當(dāng)前智能設(shè)備廠(chǎng)商最該做的。</p><p>　　藍(lán)牙、Wifi與ZigBee上演三國(guó)殺，誰(shuí)將一統(tǒng)物“聯(lián)”天下?</p><p>　　中國(guó)的物聯(lián)網(wǎng)市場(chǎng)究竟有多大?僅就市場(chǎng)規(guī)模而言，在2012年，我國(guó)的

11、物聯(lián)網(wǎng)市場(chǎng)規(guī)模就已達(dá)3650億元，而據(jù)多家第三方機(jī)構(gòu)預(yù)測(cè)，2015年我國(guó)物聯(lián)網(wǎng)市場(chǎng)規(guī)模將突破7500億元，未來(lái)5年內(nèi)，市場(chǎng)規(guī)模更是有望突破萬(wàn)億元大關(guān)，未來(lái)物聯(lián)網(wǎng)產(chǎn)業(yè)的年復(fù)合增長(zhǎng)率超過(guò)30%，物聯(lián)網(wǎng)前景可謂無(wú)可限量!</p><p>　　何為物聯(lián)網(wǎng)?物聯(lián)網(wǎng)是指通過(guò)射頻識(shí)別、紅外感應(yīng)器、全球定位系統(tǒng)、激光掃描器等信息傳感設(shè)備，按約定的協(xié)議，把任何物品與互聯(lián)網(wǎng)相連接，進(jìn)行信息交換和通信，以實(shí)現(xiàn)智能化識(shí)別、定位、跟蹤、監(jiān)

12、控和管理的一種網(wǎng)絡(luò)概念，在此，我們可以將其簡(jiǎn)單的理解為通過(guò)物與物的聯(lián)接來(lái)實(shí)現(xiàn)各種不同功能的應(yīng)用。</p><p>　　那么物與物之間是通過(guò)哪些方式來(lái)進(jìn)行聯(lián)接的呢?兩種方式，其一是有線(xiàn)聯(lián)接方式，比如通過(guò)網(wǎng)線(xiàn)將你的電腦接入互聯(lián)網(wǎng)或者通過(guò)同軸電纜將攝像機(jī)接入監(jiān)控平臺(tái)等;其二是無(wú)線(xiàn)聯(lián)接方式，比如你的手機(jī)可通過(guò)無(wú)線(xiàn)WIFI實(shí)現(xiàn)上網(wǎng)等。</p><p>　　有線(xiàn)聯(lián)接的優(yōu)勢(shì)主要體現(xiàn)在穩(wěn)定性、可靠性與傳輸

13、速度上，但由于其采用了實(shí)體的聯(lián)接方式，便利性與實(shí)用性是其致命傷。隨著無(wú)線(xiàn)技術(shù)在穩(wěn)定性、可靠性與速度上的進(jìn)化，在未來(lái)的物聯(lián)網(wǎng)應(yīng)用中，應(yīng)該說(shuō)留給有線(xiàn)聯(lián)接方式的發(fā)展空間已不大(當(dāng)然也不會(huì)消失)。而在當(dāng)下的物聯(lián)網(wǎng)應(yīng)用中，無(wú)線(xiàn)傳輸技術(shù)可謂眾多，但細(xì)數(shù)下來(lái)，筆者以為應(yīng)用范圍最廣且最具潛力的無(wú)非是藍(lán)牙、Wifi與ZigBee三種，這三種無(wú)線(xiàn)傳輸技術(shù)在物聯(lián)網(wǎng)應(yīng)用中上演著三國(guó)殺的大戲，那么究竟誰(shuí)將一統(tǒng)物“聯(lián)”天下?</p><p>

14、;　　三國(guó)殺之曹魏：WIFI</p><p>　　WIFI無(wú)線(xiàn)技術(shù)在當(dāng)下的應(yīng)用可謂極其廣泛，其可將個(gè)人電腦、路由器、手持設(shè)備等終端以無(wú)線(xiàn)方式進(jìn)行互相連接，WIFI是一種高頻無(wú)線(xiàn)電信號(hào)，它擁有最為廣泛的用戶(hù)與群眾基礎(chǔ)，就像三國(guó)時(shí)代的曹魏，人多勢(shì)眾，實(shí)力雄厚，來(lái)勢(shì)洶洶。</p><p>　　在技術(shù)上，WIFI的主要優(yōu)勢(shì)體現(xiàn)在傳輸速度與傳輸距離上，其最大傳輸距離可達(dá)300m，最大傳輸速度可達(dá)30

15、0Mbps，弱點(diǎn)則體現(xiàn)在功耗上，其最大功耗為50mA。</p><p><b>　　三國(guó)殺之蜀漢：藍(lán)牙</b></p><p>　　盡管在手機(jī)及電腦領(lǐng)域中，藍(lán)牙的應(yīng)用并不普遍，幾乎都快被人遺忘，但就像三國(guó)時(shí)代的蜀漢一樣，藍(lán)牙的血統(tǒng)高貴，默默無(wú)聞卻從不放棄，不斷地開(kāi)疆拓土，如今可謂有所成，由1.0版本發(fā)展到當(dāng)下最新的4.2版本，功能也越來(lái)越強(qiáng)大，其中4.2版本中，藍(lán)牙大

16、大加強(qiáng)了物聯(lián)網(wǎng)應(yīng)用特性，可實(shí)現(xiàn)IP聯(lián)接及網(wǎng)關(guān)設(shè)置等諸多新特性。</p><p>　　跟WIFI相比，藍(lán)牙的優(yōu)勢(shì)主要體現(xiàn)在功耗及安全性上，相對(duì)WIFI最大50mA的功耗，藍(lán)牙最大20mA的功耗要小得多，但在傳輸速度與距離上的劣勢(shì)也較明顯，其最大傳輸速度與最遠(yuǎn)傳輸距離分別為1Mbps及100m。</p><p>　　三國(guó)殺之東吳：ZigBee</p><p>　　相對(duì)W

17、IFI與藍(lán)牙而言，ZigBee可算新貴了，這個(gè)新貴風(fēng)度翩翩，前途無(wú)量，就像三國(guó)殺中的東吳一般年輕有為、野心勃勃!ZigBee作為一種無(wú)線(xiàn)通訊技術(shù)，目前其主要應(yīng)用在智能家居領(lǐng)域，與眾多的智能家居設(shè)備商有著良好的合作關(guān)系。</p><p>　　作為一種短距離的無(wú)線(xiàn)通訊技術(shù)，ZigBee的優(yōu)勢(shì)體現(xiàn)在低復(fù)雜度、自組織、高安全性、低功耗上，此外ZigBee還具備組網(wǎng)和路由特性，可以方便地嵌入到各種設(shè)備中，在功耗表現(xiàn)上，Zi

18、gBee在三者中表現(xiàn)最好，安全性則在WIFI與藍(lán)牙之間。</p><p>　　誰(shuí)將一統(tǒng)物“聯(lián)”天下?</p><p>　　由此可見(jiàn)，藍(lán)牙、Wifi與ZigBee這三種無(wú)線(xiàn)傳輸技術(shù)依據(jù)各自在技術(shù)上的優(yōu)勢(shì)，從而在物聯(lián)網(wǎng)的不同應(yīng)用中發(fā)揮所長(zhǎng)，但它們彼此之間的競(jìng)爭(zhēng)關(guān)系卻是毋容置疑的，正所謂天下大勢(shì)，分久必合!那么在藍(lán)牙、Wifi與ZigBee中，哪種無(wú)線(xiàn)傳輸技術(shù)將一統(tǒng)物“聯(lián)”天下?抑或是還會(huì)出現(xiàn)第