北京12月28日訊 27日，《網(wǎng)絡空間測繪系列——2018年攝像頭安全報告》發(fā)布。報告顯示，攝像頭對公網(wǎng)開放的安全問題已是全世界共同面臨的重要挑戰(zhàn)。

隨著“互聯(lián)網(wǎng)+”模式的興起，物聯(lián)網(wǎng)呈現(xiàn)出爆發(fā)式增長和普遍化發(fā)展的趨勢。如果說在互聯(lián)網(wǎng)時代,硬件和系統(tǒng)漏洞帶來的危害尚局限于用戶，那么在萬物互聯(lián)時代，由其衍生的危害將拓展至我們的人身安全。

例如，物聯(lián)網(wǎng)中攝像頭的應用已經(jīng)遍及城市交通、企業(yè)內部、醫(yī)院、銀行、家庭等生產生活的各個場景。隨著攝像頭使用量的不斷增加和應用場景的不斷拓展,攝像頭安全之于社會生活、生產的重要性日趨顯著。但值得注意的是，攝像頭應用已形成一條集黑客破解、買賣、偷窺于一體的網(wǎng)絡黑產鏈。

攝像頭危害較大的原因一方面是源于設備數(shù)量眾多，安全性被使用者忽視。廉價的攝像頭、監(jiān)視器等物聯(lián)網(wǎng)應用產品大量出現(xiàn)，但這些產品往往沒有采取任何安全措施，黑客能夠輕易地控制它們；另一方面，隨著物聯(lián)網(wǎng)設備的增多，硬件難以更新。未來僵尸網(wǎng)絡的規(guī)模會越來越大，攻擊能力越來越強。

的確，近兩年諸多攝像頭嚴重漏洞曝出事件頻發(fā)。2018年6月，Axis攝像頭被ADOO安全公司發(fā)現(xiàn)其設備的7個安全漏洞，攻擊者可以利用這些漏洞以root權限執(zhí)行任意命令。8 月，Swann攝像頭被發(fā)現(xiàn)存在訪問控制缺陷,該漏洞可以將一個攝像頭的視頻流切換到另一個攝像頭上，攻擊者可以利用該漏洞訪問任意攝像頭。

根據(jù)高盛等市場研究公司日前發(fā)布的數(shù)據(jù)顯示,截止到 2017 年,世界上的攝像頭總數(shù)約為14萬億個；到2022年，全球攝像頭總量將增至44萬億個。而需注意的是，對于手機來說，假設全球每人都使用兩臺，全球手機數(shù)目也不過150億臺左右。“這一數(shù)量等級的差距,決定了攝像頭的監(jiān)管和使用很難做到面面俱到，也不可能像手機一樣做到一對一監(jiān)管。”

事實上，隨著智能電器的快速發(fā)展，攝像頭數(shù)量快速增長的同時，漏洞也快速升級。報告顯示，自2017年起攝像頭漏洞呈現(xiàn)爆發(fā)式增長。截至2018年11月，攝像頭漏洞有221條，較2017全年的186條相比，增長高達19%。

具體來看，攝像頭設備存在的漏洞類型包括權限繞過、拒絕服務、信息泄漏、跨站、命令執(zhí)行、緩沖區(qū)溢出、SQL 注入、弱口令、設計缺陷等。其中，權限繞過、信息泄漏、代碼執(zhí)行等類型漏洞數(shù)量占比最高，分別占所有漏洞類型總數(shù)的23%、15%和10%。

據(jù)了解，華順信安此前利用網(wǎng)絡空間測繪技術對攝像頭、路由器等設備進行掃描后發(fā)現(xiàn)11923個產品，暴露在公網(wǎng)的網(wǎng)絡資產數(shù)多達7018萬個。“代碼執(zhí)行漏洞的危害與影響最大，惡意攻擊者可以通過該漏洞執(zhí)行植入僵尸程序，達到完整控制該程序的目的。”吳明說，“攝像頭設備授權驗證將直接導致用戶隱私數(shù)據(jù)遭到泄漏。值得關注的是,硬編碼、默認密碼、隱藏后門等占比 6%，此類漏洞可能是廠商或廠商被攻擊者入侵而在設備中制造的后門。”

趙武表示，在目前攝像頭安全風險較大的背景下，華順信安希望通過網(wǎng)絡空間測繪技術，從暴露情況、漏洞、隱患等多方面對攝像頭應用現(xiàn)存的安全威脅和相關黑色產業(yè)攻擊行為進行深度剖析，并可以利用網(wǎng)絡空間測繪技術對攝像頭進行安全排查，搭建安全防護體系，從根源上促使攝像頭使用生態(tài)實現(xiàn)優(yōu)化。

趙武認為，攝像頭設備應用的特點決定攝像頭的安全問題應將國家、企業(yè)和個人都納入在內；應從標準制定、資產排查、風險監(jiān)測、漏洞修復等多個方面提高攝像頭的安全性，網(wǎng)絡空間測繪系統(tǒng)將成為此過程中的重要技術力量和推動攝像頭安全發(fā)展的技術突破口。