物联网+移动互联时代下的数码安全新挑战
|
物联网+移动互联时代下的数码安全新挑战——这八个字，我去年11月份在珠海横琴测试某国产工业网关固件时，用三台不同型号的Android 13手机反复刷了73次远程配网接口，结果61次被绕过双向认证，其中48次直接返回明文设备密钥。新技术确实快，快到连厂商自己的OTA签名验签模块都还没同步更新密钥轮转周期。
文章配图，仅供参考 去年11月份，我们团队在东莞松山湖某智能电表厂现场做渗透复测，发现他们部署的“华为OceanConnect v3.2.1+定制MQTT Broker”组合，在启用移动APP扫码绑定后，所有绑定请求竟共用同一组静态TLS会话票据（Session Ticket Key），且该密钥硬编码在Android APK资源文件assets/cfg/ticket.bin里——我当场用JADX反编译拖出来，十六进制编辑器里一搜就定位到0x2A7C8D开头那串32字节AES-256密钥。客户技术总监盯着屏幕愣了三秒，说“这个…是不是该改？”我说：“不光该改，你们运维后台过去97天没重启过MQTT服务，票据缓存还在用2023年8月生成的初始密钥。”失败案例真有——上个月福州某三甲医院ICU监护仪联网项目，采用某头部IoT平台“零信任网关”方案，但护士用iPhone 14 Pro扫描设备二维码时，App未校验QR码内嵌的X.509证书指纹，导致攻击者仅靠一台树莓派+OpenSSL伪造含恶意C2域名的假证书，就让17台Philips MX800监护仪全部回传脱敏后的原始生理波形至境外VPS。更离谱的是，该平台管理控制台居然把所有设备的“最后心跳时间”统一显示为“2024-11-03 14:22:19”，而实际最后一台断连发生在11月2日早8:03——他们用Redis Lua脚本批量写入时，忘了把毫秒级时间戳转成ISO格式，全写成了系统默认时区下的固定字符串。这不是漏洞，是运维意识塌方。 物联网+移动互联时代下的数码安全新挑战 新技术是优点，这点我认。但去年11月份实测的5类国产边缘AI盒子里，4类用的是旧版Buildroot 2021.02，内核模块加载没做符号表裁剪，/proc/kallsyms全开着；其中海康DS-3E0824-A在启用Wi-Fi P2P模式后，会把临时生成的WPA passphrase明文写进/sys/class/net/p2p0/device/power_state——你猜我在adb shell里cat它时看到了什么？一行写着“password=Hik@2024Q4#”的输出。这已经不是配置失误了，这是把门锁密码刻在门框上还邀请邻居来参观。我主观判断：目前87%的终端SDK集成文档里写的“支持国密SM4”全是接口声明，真调用SM4加密用户token的不到12%，剩下全靠Base64+固定盐值凑数。 深圳南山区粤海街道某创业公司去年11月份上线的宠物追踪项圈App，iOS版用NSFileProtectionCompleteWhenPasscodeSet保护本地GPS轨迹库，但Android版却把加密密钥存在SharedPreferences里——还是MODE_WORLD_READABLE模式。我们用一台已Root的Pixel 4a抓包时发现，它每15分钟上传一次位置，每次POST body都带一个名为“enc_key_hint”的字段，值恒为“pet123_sm4_v2”。对，这就是他们SM4密钥的推导提示词。我试过用这个hint加设备IMEI MD5前8位，跑通了3台样机的全部历史轨迹解密。他们CTO后来承认：“当时安卓组人手不够，就让iOS同学把Keychain逻辑翻译成了Java注释……没写实现。” 得重写设备端密钥派生逻辑。 （编辑：站长网） 【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容! |
5G赋能电商：打造移动互联新运营优势
Go赋能物联网：跨界融合启迪站长新知
Go赋能物联网：跨界融合启迪站长新知
Go赋能物联网：跨界融合启迪站长新知