數據泄露又添新途徑，不聯網不接觸也跑不掉

發布時間：2018-03-26 瀏覽次數：3128

        不聯網、沒有物理接觸，還能數據外泄？以色列的研究人員用實驗告訴我們，只有想不到沒有做不到。通過名為“Mosquito”（蚊子）的概念驗證攻擊，可利用音箱或耳機將數據從聯網或隔離的電腦中外傳。那么，這么神奇的攻擊究竟是如何實現的呢？（本文轉自亞信安全，如有侵權，聯系即刪）

        原來，研究人員是利用電腦的音效孔來暗中進行數據傳輸的。這個方法是將接收端的音訊輸出孔轉換成輸入孔，然后將音箱當成麥克風使用。如今的音效芯片大多具備插孔轉換的功能，只需透過軟件設定就能達成。針對這項實驗，研究人員特別設計了一個惡意程序來將音箱或耳機當成麥克風使用。兩臺機器之間的數據傳輸是可透過超聲波來進行（最遠可達9米）。

        除此之外，研究人員還開發了其他可將隔離電腦上的數據外傳的方式，包括： 

            Odini：利用CPU核心所產生的低頻磁信號。

            Magneto：利用磁信號將數據從隔離的系統外泄至附近的智慧手機。

            LED-it-Go：在隔離的網絡內利用LED將數據外傳。

            aIR-Jumper：利用紅外線LED搭配監視攝像機與隔離的網絡進行遠端通信。

            BitWhisper：利用電腦CPU/GPU的溫度變化在鄰近的兩臺隔離系統之間進行通信。

        研究人員解釋，Mosquito甚至不需要麥克風，這套方法的核心是利用惡意程序來設定音效芯片的功能，將電腦連接的音箱從音訊輸出設備變成輸入設備。

亞信安全：IoT安全不容忽視

        雖然Mosquito攻擊目前還在實驗階段，但也證明了沒有任何平臺或設備能夠免于安全危險，尤其是物聯網（IoT）設備。盡管這些設備的新技術確實能夠為生活帶來便利，但也存在著一些系統漏洞或弱點可能造成個人或企業資料外泄，甚至讓整個網絡暴露于威脅。

        之前亞信安全研究人員對IoT音箱的安全性進行了專項研究，他們發現市面上兩個知名品牌的音箱有外泄使用者數據及其他信息的可能性，黑客可利用這些數據來發動進一步攻擊，其中包括了阻斷服務（DoS）漏洞。如果這些設備使用在工作場所，那安全風險將更加嚴重。

 

        與我們以往的認知不同，過去的研究都專注在音箱（如Amazon Echo和Google Home）控制能力的攻防上，而這次安全專家發現，包含開放端口所造成的安全間隙，可以讓網絡上的任何人隨意存取設備和使用者的信息。

        首先，最先被找到的是跟設備同步的音樂串流服務所連接的電子郵件地址。

• 其次，還可以拿到與測試機位于同網絡的設備及共享文件夾列表。在測試中，安全專家還獲取了BSSID信息，查詢BSSID則可以知道測試機所使用無線基地臺的大致位置。

• 最后，安全專家還可看到設備上正在進行的動作，比如正在播放的歌曲、遠端控制設備以及通過URI路徑播放的音樂等。

       這些問題所帶來影響的嚴重性，甚至超過了設備被完全控制，因為智能音箱等物聯網設備可能會泄露用戶大量信息，這些信息可以被用來進行惡意攻擊。最重要的是，這些問題不僅是家庭用戶才會遇到，企業網絡中也可能出現，而且這也不是智能音箱才會遇到情況，其他的物聯網設備都面臨類似的問題。

亞信安全教你如何抵御此類風險

        上述兩項研究已經明確告訴我們安全性為何必須一開始就加入到設計當中，不能事后才想到，更何況在互聯網時代，新的威脅很快就會成為主流。隨著物聯網的普及，從使用者、企業、網絡服務供應商，再到OEM制造商都應采取一套主動且多層式的安全防護方法。

        當我們進入“萬物互聯”的世界，IoT多層安全風險的有效治理則依賴“云、管、端”的整體安全。目前，亞信安全已經形成了涵蓋IoT云管端一體化安全解決方案，在云上提供“Deep Security SaaS深度安全防護平臺”等集入侵檢測、云WAF、審計等技術于一體的綜合性SaaS安全解決方案；在管道方面，亞信安全和三大運營商攜手為用戶提供加密信道等高安全等級服務；在終端設備上通過與設備廠商向用戶提供定時的補丁或者其他系統升級工具。

【返回上頁】　【打印本頁】