物联网时代移动互联的数码安全新挑战

　　我越来越觉得“物联网时代移动互联的数码安全新挑战”是错的。

　　去年2月份，我在深圳湾科技生态园B3栋17楼，蹲着调一台海康威视的AI边缘盒子——它连着七台门禁、三台电梯梯控、两套会议室预约屏，还有物业保洁员手机APP的打卡定位。我拧开设备底壳时指甲缝里还嵌着昨天拆的LoRa网关胶粒，冷气打在后颈上发痒。那台盒子固件是2021年12月的，但客户坚持要“用最新安卓12底层兼容5G切片”。我信了。结果上线第三天凌晨两点，保洁张姨扫脸进负二停车场时，系统把她的工牌ID和隔壁律所实习生的钉钉账号混绑了——实习生第二天收到四条停车缴费通知，而张姨刷了十七次脸，闸机纹丝不动。她蹲在门口啃包子，包子馅儿掉在地砖缝里，像一小坨干掉的血痂。

　　我原以为漏洞出在OAuth2.0鉴权链路上，结果发现是盒子启动时自动读取了手机USB调试模式下残留的ADB端口映射；更糟的是，那个端口被物业IT王工上周顺手设成“允许任意IP访问”，理由是他女儿要用平板看爱奇艺——他说“又不是银行核心系统”。这事我没拦住。因为当时我正盯着屏幕右下角跳动的“设备在线率99.3%”，还顺手截图发了朋友圈配文：“边缘侧安全闭环达成”。

　　所以现在说“新挑战”，我就想笑。什么叫新？2018年杭州菜鸟仓的AGV叉车撞穿防火墙时，没人喊新挑战；2020年郑州某医院输液泵批量拒收更新指令导致护士手动扫码五百次，也没人提新挑战；去年2月那个凌晨，张姨第三次按碎指纹识别区玻璃盖板，碎片扎进她左手食指第二节——血珠浮出来，亮得刺眼。那才叫新。新在你根本来不及命名，新在命名还没出口，血已经干了。

　　优胜劣汰是真的。活下来的不是防住了多少攻击，是被捅穿之后，谁先认出自己代码里那行注释写着“此处待补签名验签（by 李工 2019.4）”还敢删掉重写。我们组老周上个月把整套楼宇IoT设备的TLS握手全砍了，换成本地AES-128硬编码密钥。他说：“反正甲方连WiFi密码都贴在茶水间微波炉背面。”他没被开除，反而升了组长。原理我说不清——可能是密钥泄露成本比证书吊销快，也可能就是没人真去扫那个二维码。我试了三个月，十七个站，每个站都贴着一张A4纸：上面印着Wi-Fi名称、密码、还有物业刘主任的手机号后四位，说是“紧急联络方式”。其实刘主任上个月已调去龙岗管充电桩了。

　　前天路过南山书城，看见一家叫“零信任智能安防”的展台，LED屏滚动播着动态热力图，标注“毫秒级风险感知”。我凑近，发现热力图数据源是商场WIFI探针抓到的手机MAC地址。但旁边保安大叔正用同一个手机连着“万达物业-工程部”群——群里刚有人发了张截图：路由器后台界面，WPA2密码栏明文显示“wanda2023!@#”。我问他要不要帮忙改下。他摇摇头，叼着半截烟，“改啥？上次改完，洗碗机的远程启停也连不上了。”

文章配图，仅供参考

　　所以别跟我谈“挑战”。挑战是实验室里拿虚拟机压测出来的，是PPT里用红色箭头标出的“潜在入口点”。现实里没有入口点，只有出口。张姨那天最后是爬通风管道下去的，从负二层配电室翻进车库，拎着清洁桶穿过七排车位，去给行政总监擦办公桌——桌上摆着台崭新的华为MatePad，屏幕锁着，但摄像头指示灯幽幽亮着，绿得不像真的。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!