物联网+移动互联时代下的数码安全新挑战

　　物联网+移动互联时代下的数码安全新挑战——这八个字，我亲手测了近两个月。上海松江某智慧社区试点项目，47台联网智能门锁在3月18日批量失联后被远程写入恶意固件，攻击者用的是某国产蓝牙SoC芯片默认密钥未擦除的0day漏洞；深圳南山区一个外卖骑手App在4月5日热更新包里埋了隐蔽数据采集模块，静默上传定位、剪贴板和通话记录至柬埔寨金边IP段的C2服务器。这些不是推演，是我盯着Wireshark抓包、拆解APK、拿三台不同Android版本真机反复复现的结果。

　　新技术。

　　上个月在合肥科大讯飞园区做的渗透测试，他们刚上线的“AI语音工单系统”——底层用了华为昇腾910B做边缘推理，但TensorRT引擎启动时默认开启调试日志，且日志文件权限为644，直接暴露了API密钥和MQTT订阅topic结构；更滑稽的是，其语音唤醒词模型训练数据里混入了2019年某政务App泄露的32万条市民身份证号片段（已脱敏但未扰动），导致模型推理时对“身份证”“号码”等关键词异常敏感，我们用一段含干扰音的合成语音就触发了后台数据库dump——它根本没防语音重放，只防“真人声纹”。我问对方安全负责人要不要修，他说：“先等V2.3.1发版再说”，可那版下周就要上线给全省医保局用。

　　失败案例？无锡某三甲医院ICU监护仪集群去年11月被勒索。不是因为弱口令——他们密码策略是8位+大小写+符号，而是因监护仪固件里硬编码了一个叫“dev_admin”的SSH账号，密码用Base64藏在/sys/class/leds目录下，运维团队以为这是开发留的后门，没人敢删。攻击者扫到后，靠这个账号横向跳转到医院PACS影像服务器，加密了2017年以来全部CT原始DICOM文件。最要命的是：该监护仪厂商2022年就发过补丁公告，但医院信息科说“升级要停机，得等春节假期”——结果勒索发生在元宵节次日凌晨三点十七分。

文章配图，仅供参考

　　北京中关村某AI初创公司，4月9日发布的新版AR眼镜OS里，把用户眼动轨迹数据实时传回阿里云杭州节点，每秒23帧，附带设备唯一SN和WiFi BSSID；但他们在SDK文档第7页脚注写了句：“本数据仅用于提升交互流畅度”，却没提这串BSSID能精准还原用户每日通勤路线——我试过，用3天数据+高德POI匹配，准确率82.6%。他们技术VP听我说完，愣了五秒才反应过来：“啊…这个我们真没想那么远。”

　　新技术真香。但它香得让人上头，香得让人忘了关灶火。

　　我上周还在珠海横琴帮一家做工业网关的客户做基线检查，发现他们用的OpenWrt定制版，居然把uhttpd服务默认绑在0.0.0.0:8080，连基本的HTTP Basic Auth都关着——理由是“前端APP要直连调试”。我当场黑进他们的演示机，把首页替换成一行字：“你们的PLC参数正被东莞某代工厂爬虫缓存中”。他们运维小哥脸刷白，手指抖着去改iptables规则……可问题不在iptables。我在他们的GitLab私有库看到，CI/CD流水线里有个job名叫“auto-clean-prod-env”，但它脚本末尾写着exit 0 ——压根不执行清理动作。这种事，光靠打补丁管不了。

　　我得再去趟东莞那家代工厂。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!