论文学习_A Large-scale Empirical Study on theVulnerability of Deployed IoT Devices

论文名称

发表时间

发表期刊

期刊等级

研究单位

A Large-scale Empirical Study on the Vulnerability of Deployed IoT Devices

2020年

IEEE TDSC

CCF A

佐治亚理工大学

1. 引言

研究背景：物联网（IoT）已成为互联网连接的重要组成部分，为我们的日常生活带来了极大的便利。与此同时，物联网设备的蓬勃发展也引发了公众对其安全风险的担忧，而现实世界中的几起攻击事件进一步加剧了这种恐慌。例如，Mirai 感染了数百万个物联网设备，包括 IP 摄像机、DVR 和路由器，形成僵尸网络并对各种在线服务发起 DDoS 攻击。此外，黑客还可以利用光来破坏多种语音控制的物联网设备，例如智能扬声器。

现存问题：IoT 设备供应商通过限制用户对设备固件源码的访问来缓解现存的问题，例如混淆固件源码或禁止用户访问。他们主要从软件的角度来防御物联网攻击，但却忽略了 N-Day 漏洞攻击的缓解。为了避免这种攻击，设备供应商需要定期对固件进行更新。然而，由于安全意识有限，大多数供应商并未主动在其产品中提供这种必要的防御。此外，由于配置错误，大量物联网设备暴露在公共互联网上，这使得攻击变得更加严重。

因此，物联网设备的安全问题仍是物联网发展进程中最具挑战的问题之一。为了深入了解，论文对物联网设备的安全性进行了系统评估，以得出（1）物联网设备当前安全状况的全面视图；（2）物联网目前面临的主要安全挑战；（3）供应商和用户应该如何面对这些挑战。

研究内容：论文（1）首先通过使用 5 个流行且强大的物联网搜索引擎，Shodan、Censys、Zoomeye、Fofa、以及 NTI 迈出了评估物联网设备漏洞的第一步。更具体地说，论文评估了具有 73 个已知 N-Day 漏洞的物联网设备的安全漏洞。（2）然后讨论物联网设备的漏洞与其位置之间的联系。为了，论文收集了 8,554,183 个物联网设备，最终获得 1,362,906 个潜在易受攻击的物联网设备作为论文的数据集，它们分为 6 种类型并涉及 24 家供应商。论文还讨论了物联网设备安全性的地理差异。（3）此外，论文在部署在 Amazon Web Services、阿里云、Google Cloud、Microsoft Azure 以及腾讯云上的 14,477 台 MQTT 服务器上测试了无密码保护问题。

2. 背景知识

物联网搜索引擎：2009年，世界上第一个物联网搜索引擎 Shodan 上线，旨在搜索联网设备。随后，人们设计了各种其他搜索引擎，例如 Censys、Zoomeye、Fofa 以及 NTI。安全研究人员以及攻击者可以使用这些物联网搜索引擎来了解物联网设备的组件覆盖范围和漏洞的损害范围。考虑到论文致力于大规模评估物联网设备的安全性，因此选择合适的搜索引擎来收集数据至关重要。在这项工作中，论文主要关注五个物联网搜索引擎，详细描述如下：

Shodan：世界上第一个针对互联网连接设备的搜索引擎。 Shodan 被世界各地的大型企业和安全研究人员使用。它部署了多台位于世界各地的服务器，这些服务器通过互联网提供 24/7 的连续检测。由于持续的扫描，Shodan 提供了最新的互联网情报，用户可以了解特定组件的影响或漏洞在互联网范围内的影响。Shodan 还为用户提供公共API，帮助用户更方便地访问Shodan的所有数据。
Censys：是一个帮助信息安全从业者发现和分析可通过互联网访问的物联网设备的平台。扎基尔等人于 2015 年发布了 Censys 的第一个版本，现在由全球领先的互联网安全专家组成的团队正在支持该搜索引擎。 Censys 在过去五年中进行了数千次互联网范围内的扫描，其中包括数万亿个探测器，这些探测器在发现和分析几个严重的互联网规模漏洞方面发挥着重要作用：FREAK、Heartbleed 和 Mirai。
Zoomeye：是来自中国的网络空间搜索引擎，致力于记录设备、网站、服务和组件等信息。 Zoomeye 有两个强大的检测引擎 Xmap 和 Wmap，分别针对网络空间中的设备和网站。安全研究人员可以使用它通过 24/7 连续检测来识别物联网设备。 Zoomeye 专为互联网规模的威胁检测和态势感知而设计。
Fofa：是一个物联网设备搜索引擎，旨在以安全和保护隐私的方式使现实世界的数据可访问和可操作。Fofa为其VIP用户提供了一个漏洞市场，其中包含 N-Day 漏洞 PoC生成的数千个脚本，用户可以购买这些脚本并利用它们来评估物联网设备的安全性。
NTI：是一个尚未公开开放的非盈利搜索引擎，目前由绿盟科技支持。 NTI 在2018年已检测到数千台僵尸网络命令和控制服务器以及数百万台受感染主机。此外，NTI 每年都会对物联网安全状况进行调查。

这五个物联网搜索引擎都具备在短时间内扫描整个 IPv4 公共互联网的能力。它们之间的显著差异是扫描周期、扫描策略、收集的物联网设备信息量以及收集数据的准确率。

IoT 安全挑战：物联网设备如今在我们的日常生活中无处不在，为用户提供了极大的便利。然而，它们也带来了严重的安全问题。赫尔等人讨论了基于IP的物联网中的安全挑战，他们主要关注物联网设备之间通信的挑战。与他们的工作不同，论文从新的角度提出了现代物联网设备面临的三个安全挑战。

配置错误：借助物联网搜索引擎，收集数百万个连接到互联网的物联网设备并不困难。例如，通过简单的关键字路由器，人们可以从 Zoomeye 中获取自 2018 年以来收集的超过千万条相关记录。这些暴露的物联网设备大部分的关键原因是这些设备所有者的错误配置。由于安全意识或计算机网络知识有限，相当一部分用户可能会在不知情的情况下打开广域网（WAN）或在没有任何保护的情况下配置 NAT-DDNS。然而，由于搜索引擎每年可以收集数亿个新暴露的物联网设备，因此情况变得更加严峻。例如，Zoomeye 自成立以来已收集了超过10亿个物联网设备。因此，错误配置是物联网设备当前面临的最严峻的挑战之一。
默认凭证：大多数供应商为其设备提供默认帐户和密码，但这可能会对物联网设备的安全构成新的威胁。留下了主要的隐患源头。例如，最臭名昭著的僵尸网络 Mirai 利用默认密码影响数百万个物联网设备。事实上，默认凭证是一个广泛存在的安全问题，不仅限于物联网设备。尽管这个安全问题已经存在了很多年，但我们还没有看到任何缓解的趋势。与此同时，令人惊讶的是，供应商很少提供缓解这一严重问题的对策。
漏洞攻击：0-Day 漏洞攻击和 N-Day 漏洞攻击正在严重危害所有物联网设备的安全。彻底解决零日漏洞是不现实的，因为即使开发人员在编程和代码审核中非常谨慎，也无法避免该漏洞。供应商采取了多种策略来缓解这个问题。例如，他们在世界各地部署了可以捕获零日漏洞的蜜罐，并且一些供应商选择不公开他们的固件，因为黑客可以反编译固件来发现缺陷。然而，这些对策的效率非常低，因为蜜罐需要被动等待攻击，并且黑客可以通过其他方法获取固件。此外，传统的模糊测试方法不能直接应用于物联网固件。虽然公众更加关注 0-Day 漏洞，但 N-Day 漏洞实际上给物联网设备带来了更为严重的风险。 N-Day 漏洞对于黑客来说是一个金矿，因为这些漏洞的利用已经是众所周知的。借助物联网搜索引擎，黑客可以利用N-Day漏洞轻松地通过互联网攻击暴露的设备。

3. 评估方法和设置

3.1 设备选择

虽然暴露在互联网上的物联网设备有多种类型，但论文重点关注六种有代表性的类型，其中三种通用设备，另外三种是专用设备。对于通用设备，论文选择路由器、网络摄像机和打印机，因为它们在我们的日常生活中广泛使用。以前的工作非常关注这三种设备的安全性。对于专用设备，论文选择矿机、医疗设备和工业控制系统（ICS）。目前，关注其安全性的工作很少，尤其是