- 文章分類 -

文章專區

2019-06-20有洞,只能靠補丁? 物聯網的漏洞問題與管理 450 期

Author 作者 郭家銘/本刊編輯。
趨勢科技(Trend Micro)威脅和漏洞研 究中心副總裁吉卜森(Mike Gibson), 目前專攻威脅的發現、分析與漏洞揭露 (vulnerability disclosure),擁有超過15年 的資訊安全相關(包括漏洞、威脅研究、 安全運營、安全評估和測試等)經驗,近 日於2019 Computex論壇為物聯網(IoT) 的漏洞管理進行演說。

由於工作的關係,吉卜森周遊世界各地,在與許多相關組織討論資訊安全的議題的時候,許多人曾問他:「作為一個威脅與漏洞專家,哪些事情一直困擾著你?」而他的答案,就是物聯網的安全上挑戰,特別是以下3件事:
 

1.新的漏洞被發現後,也能夠在連接裝置(connected devices)中識別出來。

2.安全研究需與供應商(vendor)維持某些關係,除了披露該漏洞,也要能與他們分享這些漏洞的細節, 好讓他們能夠尋求解決辦法。

3.漏洞的修復程序(remediation) 需能修復或圍繞著能夠解決該漏洞的策略。

連特斯拉都緊張的漏洞安全

曾與趨勢科技合作過的汽車公司特斯拉(Tesla),對安全的考量早在幾年前就相當具有前瞻性,其在過去已有相當不錯的漏洞回報獎勵計畫(Bug Bounty Program),鼓勵大眾對該公司的車子進行研究,找到可能存在安全缺陷的地方, 然而他們仍在趨勢科技每兩年舉辦1次的世界駭客競賽Pwn2Own上與趨勢科技取得聯繫。該活動是由趨勢科技零時差倡議 (zero day initiative)團隊主導的年度盛會,每次活動都會建立一個目標列表,鼓勵眾研究者針對列表上的目標進行研究, 並展示其處理漏洞的能力。

那次活動辦在溫哥華,當時有兩位研究人員成功開拓特斯拉內部運行的瀏覽器, 從而帶走活動獎金與汽車獎勵。提起這段往事,吉卜森笑稱,既然他們都有了特斯拉的車,當然就不會只是拿來兜風而已, 還能做更多安全研究!
 

從漏洞的生命週期 看系統安全的處理

連特斯拉都如此在意漏洞安全,顯然這事非同小可。漏洞是系統中的一個弱點, 它的出現會使系統安全策略被凌駕其上。 然而,漏洞的生命週期究竟長什麼樣子? 人們如何接收漏洞的資訊?

要洞悉漏洞的生命週期,可以從發現漏洞的那一天開始看起。已知一個漏洞出現在系統當中,它可能是被資訊安全研究人員辨識出來的,也可能是使用者偶然在系統裡發現的。某段日子裡,該情況似乎更頻繁發生,即便現在問題看似慢慢消失, 但也許仍有其他人在利用這個有漏洞的系統。理想的狀態裡,供應商會在事發後被告知系統異常,而此時他們也會注意到該系統可能存在漏洞,必須對此採取行動。

之後,資安人員會進入該供應商的回報窗口(response window),期間大約會花120天與他們來回溝通。在清楚漏洞進出的來龍去脈後,他們便得為此提出某些補救策略。既然有洞,就得把它補起來,因此他們會利用補丁(patch)解決這個問題;然而在某些情況下,由於系統過於傳統或問題太過複雜,導致無法產生相對應的補丁。

假使今天他們成功修補漏洞,公眾便會意識到:「啊!系統出現漏洞了!」此時研究者就能公開談論關於這個漏洞的一切細節,而客戶理論上也會在這個時間點使用修補程序或補丁。如同絕大多數使用者的經驗:反正,無論這些東西怎麼來的,供應商給的東西,用就對了。然而,漏洞被發現的那一刻,人們還能做些什麼?

發現新漏洞,可以帶來什麼訊息?

吉卜森引用美國MITRE公司的「通用漏洞與披露(Common Vulnerabilities and Exposures, CVE)統計表」,其顯示每年得到的漏洞回報數量。透過該圖表發現,

2017與2018年的數值相當突出,吉卜森認 為這可能肇因於越來越多軟體企業都在開 拓漏洞回報獎勵計畫,他們與研究機構密切聯繫,獎勵那些協助識別軟體缺陷並回報問題的人,以針對這些狀況進行修復, 而從這份統計,也能找到問題的根源。

工業控制系統網路緊急應變團隊(ICS- CERT)的漏洞數量統計,同樣也能指出一些問題。ICS-CERT是一個有助於披露 漏洞的組織,他們的作為與後續的措施有關,處理對象也包含連接裝置,如醫療連 接裝置。事實上,每當趨勢科技發現、識別連接裝置或物聯網設備中的漏洞時,都會嘗試通過ICS-CERT進行披露,並與供應商有直接的合作關係。
 

而一個新漏洞的發現,也是連接裝置安全問題所面臨的第一個關卡,因此,吉卜森與其團隊近年也從事相關的研究,像是具遠程啟動相機或麥克風能力的Crestron 裝置能用來監聽會議內容。再嚴重點的案 例,是在美國衛星電視供應端的驚人發 現:他們竟能將影片內容導入其中,成為假新聞的來源之一,進而讓CNN或CNBC 等末端使用者(end-user)播出任何他們想 播放的內容。

此外,他們在無人機研究中發現,假使 有人利用無人機(drone)拍攝照片或影片,有心人士只要站在附近,就能駭入無人機系統,很巧的是,美國聯邦航空總署 (Federal Aviation Administration, FAA) 最近准許CNN在人群上方操作無人機⋯⋯
 

醫療連接裝置與惡意軟體 又有什麼關係?

上述研究中的裝置都能以不到1000美元的價格購入,這意味著多數相關研究不會花到研究單位太多錢。然而,如果今天想在如核磁共振(MRI)般的設備鑽研漏 洞問題時,挑戰性就相對高些。過去,吉卜森曾與許多美國醫療組織的資訊安全長 (chief information security officer, CISO) 進行交談,他們也非常擔心醫療連接裝置的安全問題,不過相關研究的執行並不容易,使得這些設備可能存在的漏洞問題並未得到太多關注。

然而,這些醫療設備能幫助患者維持生命並監督他們的生理狀況,若這些設備出現安全上的疑慮,情況可能就會不太妙。醫療設備的軟體更新,在修復與修補等方面遭遇一個困境──裝置往往停留在舊的系統版本。今日,已有逾1百萬個殭屍網絡(botnets)誕生,不同的殭屍網絡 與分散式惡意軟體(malware),都有可能會利用這些設備進行別的操作,也有如 BrickerBot這樣的破壞性惡意軟體,他們 不會破壞系統,反而是讓裝置的運作被停擺,如此一來人們便可藉此進行網絡犯罪 (cyber crimminal)。
 

漏洞的出現意味著什麼?

破壞裝置本身並不會為網路犯罪者帶來什麼好處,因此對那些罪犯來說,這都不是優先考慮要做的事。那麼,怎樣才能讓他們從中獲益呢?吉卜森提出所謂的「勒索軟體(ransomware)」,它沒有特定針對的連接裝置,但由於標的設備所運行的軟體堆層(software stack)相當類似,若遇到像是魔窟(WannaCry)這種蠕蟲病毒,便會造成連帶損害,這些都是相當嚴重的問題。

不過,這些人「單槍匹馬」顯然也沒辦法成就什麼事,因此他們需要特別開發演算法,以人工智慧(artificial intellegence, AI)來決定他們的下一步該怎麼做;當攻擊者處在AI的場景下,便能利用相機、麥克風以及家裡的其它裝置胡作非為,好比偷看影片或竊聽。在這些漏洞底下,無論使用者說了什麼話或做了什麼事,駭客們都能透過漏洞取得使用者資訊,甚至 對他們提出勒索。 不過吉卜森也提 到,未來將可能看到一些有趣的攻擊方式,因為他不認 為這些人已經想好如何利用連接裝置 來做壞事。

那麼舊的系統, 你還在用?

除了醫療連接裝置外,吉卜森也講述他1年前拜訪

加拿大北安大略省一家製造商的案例。當

時,他與該工廠的副總裁一起參觀工廠, 並聊到這家工廠如何經歷製造設施的現代化。當副總裁拿出工廠裡一台耗資數百萬美元製造的機器時,吉卜森有些好奇;在得到副總裁的允許後,他走近一看,觸碰鍵盤後螢幕上出現的第一個畫面竟是 Windows XP,也就是說,他們竟然還在使 用一個已經停產多年的操作系統!

吉卜森很疑惑,該廠商究竟期望這個設備有多長的使用壽命呢?結果他的回答是:15∼20年。這意味著接下來的15~20 年裡,同樣的狀況將會持續發生,屆時如果出現新的漏洞,他們也無能為力,因為根本沒有補丁給他們救,這也是許多組織在連接裝置上正面臨的巨大挑戰。因此, 該廠商真的要考慮是否該為那些設備進行維護或軟體更新,否則這些機器恐怕就不再適用;當然,他們也能選擇使用過時的軟體,或是讓機器就這樣離線作業⋯⋯

漏洞揭露的攻防戰:研究人員是間諜嗎?

一般來說,安全研究人員會和供應商分享與漏洞有關的資訊,並協助修復他們的系統缺口,甚至提供補丁測試,如趨勢科技在與供應商的合作下,可以識別設備和 系統應用中的漏洞,此為一雙向的溝通過程。然而,許多供應商似乎會將安全研究業者視為敵人。

供應商在能解決該漏洞前,通常不會做公開討論,這在企業軟體領域可說是行之有年。目前,多數組織認為漏洞揭露的相互協調很重要,他們會針對過程作記錄, 並在網站告知使用者如何與他們回報問題。然而,今天若把軟體換成連接裝置, 安全研究者便會被丟到法律部門重新審視一番,這表示供應商對漏洞與通用的漏洞 披露沒有什麼概念,也不知道如何與研究圈聯繫;他們可能將這些人都視為敵人, 或一些可能利用、超越他們的角色。

安全研究者所希望的,其實只是讓終端客戶(end costumer)的漏洞問題得到解 決,因此他們並不希望這些組織採取這樣的立場;當然,如果對方認為法律團隊的介入是必要的,那其實也無妨,只要別將他們拒於千里之外就好。
 

給製造業者的一些建議

隨著連接裝置的數量持續增加,許多漏洞識別及修復的挑戰應運而生。吉卜森以自家為例,他與太太及兩個女兒共擁有幾台MacBook、iPad與iPhone,且他們生活在一個智能家居(smart home)裡。居家使用的連接裝置百百種,舉凡門鈴、相機、門鎖、恆溫器和煙霧報警器等設備, 都是需要列入考慮的對象,必須針對這些韌體(firmware)和軟體做更新,這其實是相當令人頭痛的問題。其中一些設備還 不錯,至少會自主更新(或可切換成這種模式),但其他設備恐怕就不行,安全問題油然而生。

因此,吉卜森也對製造商提出幾點建議:

首先,可充分利用安全研究社群的資源,那裡的研究人員都希望能協助解決安全問題,並試圖找到突圍的方法,並對技術提供一些安全防護的策略與方法。其次,可為漏洞披露制定政策及程序,至少別將研究人員視為壞人,他們並非真想從技術中獲得些什麼,也不會試圖對公眾提供任何不利於廠商的訊息;反之,他們只 會協助案主了解、保護設備,並關閉一些安全漏洞。第三,在這個存在數十億個連接裝置的時代裡,廠商須確認其產品易於更新及修補,讓客戶能輕鬆管理,甚至能自己做手動更新,隨著設備在這方面的成長與發展,漏洞的問題將只會越來越少。

企業或個人裝置的製造商都需要關注安全議題,如今許多公司的網站也有一個頁 面,專門展示他們處理安全問題的方式, 且他們也都有因應產品安全事件的團隊, 可以解決漏洞問題並做出回應。對消費者來說,如果有所選擇,自然會選用能夠進行更新且易於取得補丁的產品。

不僅是物聯網,連接裝置就存在於你我的生活當中,若能謹慎地部署安全防護措施,便能在確保系統健康之虞,避免漏洞的連帶傷害。