圖片來源：https://pixabay.com/images/id-4423092/

號稱日本最強的小學生，名偵探柯南，除了會開飛機、拆炸彈及撩小蘭姊姊外，近年也開始涉足大家愈來愈重視的安全議題。已于2018年上映的第22部劇場版“名偵探柯南：零的執(zhí)行人”，就以萬物連網(wǎng)為主題，透過于物聯(lián)網(wǎng)發(fā)生的攻擊為起頭，包括犯人駭入物聯(lián)網(wǎng)電飯鍋與引爆各式電器，到最后駭入衛(wèi)星使之墜毀等，進而發(fā)展出一系列的拯救日本大作戰(zhàn)。

本篇電影我們將分成兩個篇幅針對其中的安全議題進行探討，Part I 我們將探討造成一切事件發(fā)展的原因：物聯(lián)網(wǎng) (Internet of Things, IoT)的安全議題; Part II 則是進一步討論黑客使用的洋蔥路由(The Onion Routing, TOR)，一種在計算機網(wǎng)絡上匿名溝通與傳輸數(shù)據(jù)的技術(shù)。

物聯(lián)網(wǎng)一般統(tǒng)稱為IoT，也就是Internet of Things的縮寫，那何為物聯(lián)網(wǎng)呢?簡單來說，比如大小家電、各種網(wǎng)絡監(jiān)視器與錄像設備、智能電表、連網(wǎng)門鎖甚至是智能手表等，只要具備連網(wǎng)功能，雖然不一定具備如計算機般強大的運算能力，但都可被稱做物聯(lián)網(wǎng)中的信息設備。當然，真實世界中不一定這么容易就能造成如電影內(nèi)大范圍的爆炸事件與攻擊，但各式智能家電遭駭卻早就時有所聞，至于地球軌道上的各式大小衛(wèi)星，有的已經(jīng)是古董級的信息設備，其所使用的加密技術(shù)和通信網(wǎng)路只要稍加不慎都有可能暴露在黑客的攻擊之下。

片中從一開始的會場爆炸、檢察官手機爆炸到后來東京市內(nèi)多起手機、電器等爆炸事故，皆可歸類為物聯(lián)網(wǎng)攻擊。隨著物聯(lián)網(wǎng)信息設備的普及，物聯(lián)網(wǎng)攻擊在近年來的網(wǎng)絡攻擊趨勢中有逐漸上升的情形，同時針對物聯(lián)網(wǎng)信息設備的各種惡意軟件數(shù)量也跟著大幅成長。

一般來說物聯(lián)網(wǎng)信息設備其架構(gòu)可分為3個部分︰分別為裝置端、通訊(端)網(wǎng)絡及控制端。

1、控制端

使用者可透過控制端來管理物聯(lián)網(wǎng)設備，而控制端所使用之平臺及技術(shù)種類眾多，像是透過手機/平版安裝APP或云端平臺等，若是登入時的身分認證或登入后的訪問控制沒有做好，就有可能導致攻擊者登入系統(tǒng)，并在登入后使用較高的權(quán)限下達指令，或是存取該使用者與他人的機敏數(shù)據(jù)。另一風險則是當控制端所使用的操作系統(tǒng)未進行更新或是使用有漏洞的程序套件或軟件，就可能讓攻擊者透過漏洞來入侵系統(tǒng)或植入惡意軟件。

2、通訊(端)網(wǎng)絡

在通訊(端)網(wǎng)絡所會遇到的問題其實就是數(shù)據(jù)傳輸時的安全問題，這部分和一般網(wǎng)站、系統(tǒng)所面臨到的問題大同小異，若是數(shù)據(jù)在傳輸時未經(jīng)過加密或是所使用不安全的加密算法，就有可能在傳輸過程中遭受中間人攻擊(Man-in-the-middle attack, MITM)或是機敏數(shù)據(jù)遭竊聽。

3、裝置端

實體設備暴露在公開環(huán)境中，容易遭有心人士利用，加上其儲存空間或運算能力有限，這些設備往往無法執(zhí)行自動安全更新的動作，所以容易造成系統(tǒng)存在漏洞，但系統(tǒng)又無法實時修復，攻擊者就可以利用漏洞進行攻擊。

目前物聯(lián)網(wǎng)裝置的入侵主要有幾種途徑，其中包含如下但不限于：

▲殭尸網(wǎng)絡

使用默認密碼掃描網(wǎng)絡裝置后嘗試登入，或是透過暴力破解密碼后登入。殭尸網(wǎng)絡最可怕的地方在于：這些被入侵的物聯(lián)網(wǎng)裝置會再變成新的殭尸網(wǎng)絡成員，并持續(xù)去攻擊其他設備進行擴散。

▲手機APP

經(jīng)由手機裝置中設計不良的APP取得物聯(lián)網(wǎng)裝置的控制權(quán)限，其中包含破解APP中內(nèi)嵌的固定密鑰，或是傳輸過程中信息被劫持或竊取等。

▲WiFi網(wǎng)絡

透過改變物聯(lián)網(wǎng)裝置的網(wǎng)絡設定，使其聯(lián)機到不安全的網(wǎng)絡，或是造成其網(wǎng)絡聯(lián)機中斷而使系統(tǒng)不穩(wěn)定，像是居家智能鎖或醫(yī)療裝置等都曾有相關的破解手法。

水能載舟亦能覆舟，在享受高科技生活所帶來便利性的同時，為了不讓這些方便人們生活的物聯(lián)網(wǎng)信息設備，變成攻擊者的目標或是受害后擔任惡意攻擊的角色，一般民眾可以做到的是：

▲修改默認密碼

物聯(lián)網(wǎng)信息設備通常具備連網(wǎng)功能，而這些設備的預設帳號密碼可以輕易在網(wǎng)絡上搜尋到，所以設備買來或是安裝好之后，記得要先刪除預設帳號或更新密碼。

▲定期進行安全更新或程序升級

物聯(lián)網(wǎng)信息設備應該要和其他信息設備一樣定期執(zhí)行安全性更新，以避免存在未修復的漏洞。

▲建立訪問控制機制

限制物聯(lián)網(wǎng)信息設備相關應用程序與組件之權(quán)限，只提供該設備之必須或最小權(quán)限。

若是公司行號或是政府機關則還可以再加碼下列防護措施：

▲避免采購具安全疑慮之物聯(lián)網(wǎng)信息設備

由于部分國家的物聯(lián)網(wǎng)信息設備頻傳安全外泄危機，所以采購相關設備時，應以白名單或黑名單方式進行管制

▲盤點物聯(lián)網(wǎng)信息設備

應定期盤點相關物聯(lián)網(wǎng)設備，并視其需要進行更新或汰換

▲定期檢測物聯(lián)網(wǎng)信息設備

制定并發(fā)展物聯(lián)網(wǎng)信息設備之檢測規(guī)范及機制，并將路由器、網(wǎng)絡攝影機、網(wǎng)絡打印機以及門禁系統(tǒng)等相關辦公室連網(wǎng)設備，納入檢測范圍內(nèi)