在物聯網上衝浪,是怎樣一種體驗?
作為9102年的新時代網民,我們好像對於搜尋引擎的存在已經習以為常了。已經不會有人再像小時候第一次上微機課那樣,在搜尋引擎上胡亂發散好奇心,體驗網上衝浪的快感。
但當另一種形式的搜尋引擎出現,一切可就不一樣了。
最近在推特上火了一個話題,叫#ShodanSafari,既在一款名叫Shodan的搜尋引擎上網上衝浪。而衝浪的收穫,是話題下發布的一張張監控攝像頭截圖。
什麼是Shodan?
在90年代一款古老的射擊遊戲網路奇兵中,Shodan是其中的大BOSS,是一臺遍佈全場時刻監視玩家行動的電腦主機。在2009年,一名名為John Matherly程式設計師決定讓Shodan降臨於現實生活,研發了一款名為Shodan的搜尋引擎。
和谷歌、Bing這樣資訊內容檢索的搜尋引擎不同,Shodan可以通過特定型別的網路地址、SCADA(管理控制與資料獲取系統)等等特徵來搜尋網路上的線上裝置。
具體來說,通過對主機域名、指定埠、指定公司和地區等資訊的過濾,Shodan可以找到包括伺服器、路由器、攝像頭、公共印表機等一系列的物聯網裝置。
不僅搜尋到,Shodan還可以攔截埠資料、設定索引並且顯示結果。也就是說人們通過Shodan可以搜尋到一棟大樓中空調控制系統,從而看到每個房間的空調溫度是多少。或是搜尋到某一家醫院的心率監控器,默默地盯著某一個病人的心跳。更可怕的是,當利用Shodan進行公共攝像頭搜尋時,甚至能看到攝像頭所拍下的內容。
在推特的#ShodanSafari話題中,大多也是人們對於全球各地攝像頭的截圖。其中有情趣用品店的監控攝像頭、有種植大麻的房間,甚至還有私人的兒童臥室。
有推特網友評價到,利用Shodan在物聯網上衝浪的體驗就如同垃圾箱潛水,沒人知道開啟下個攝像頭後能看到什麼驚人又獵奇的畫面。
物聯網衝浪有多危險?有人正在直播你家中的嬰兒房
其實從創作者的初衷來說,Shodan的作用就是用來尋找那些不夠安全、可以被隨意訪問的物聯網裝置,可人們很快發現,不夠安全的物聯網裝置實在太多了。
其中很大一部分原因在於,很多廉價的物聯網裝置只是簡單的將資訊採集/控制埠與資訊傳輸協議相連線,並沒有進行額外的安全加密。而且很多裝置並沒有設定許可權密碼,或者使用者沒有修改“password”“000000”這樣形同虛設的原始密碼,導致訪問者可以輕易獲得許可權。
從2013年開始,媒體就開始對ShodanSafari這種行為進行猛烈的抨擊,因為使用Shodan進行物聯網裝置搜尋已經脫離了一開始的初衷,而變成了一種惡意滿滿的行為。
1、 利用Shodan侵犯兒童隱私
CNN曾經對Shodan進行過報道,將其稱為“最危險的搜尋引擎”。其中的導火索,就是有人進入了家庭嬰兒房的攝像頭,盜攝下嬰幼兒的視訊併發布到網上。這種行為無形中已經和兒童色情這一敏感話題脫不開關係,一下引起了大眾對於Shodan的反感。
2、 利用Shodan探知商業機密
Shodan的另一特點,是可以根據產品的品牌、型號來進行特定搜尋。這也讓很多以往無法被探知的商業機密浮上水面。例如有好事者搜尋了一家名為“藍色山羊”的攝像頭聯網情況,結果在一些禁售國家地區的物聯網網路中發現了這一品牌的產品。
3、 Shodan的出現進一步加大了物聯網裝置被攻擊的風險
Shodan進入的不僅僅是監控攝像頭,還有很多物聯網裝置的控制介面。從話題#ShodanSafari下的發言中,甚至能找到交通訊號燈、火葬場、卡車等等一系列裝置,其中不乏安檢掃描器、工廠汙染洩露監控器等敏感裝置,如果有人對此進行破解,將造成難以想象的意外。甚至根本不需要破解,很多物聯網裝置的控制賬號密碼都是“admin,password”這樣的組合。
不過好在Shodan的使用方式本身也有一些門檻,目前使用Shodan的大多數是調研機構、學術機構和少部分技術宅。即使應用方向有所偏差,目前也沒有聲音提出要對Shodan進行禁封。
物聯網搜尋未來到來之前
不僅沒有禁封,實際在IoT裝置即將氾濫的未來,物聯網搜尋將會是一項非常旺盛的需求,也會是一項不錯的生意。
首先,物聯網裝置供應商自己有豐富的裝置檢修、升級需求。
就像上文提到那些通過Shodan發現可被訪問的裝置,是可以通過裝置商埠來進行統一升級補丁的。但有些使用者自己可能不瞭解安全問題的重要性,拒絕了自動升級。這時裝置商就可以通過搜尋引擎來快速定位到未升級的裝置位置,從而進行鍼對性解決。
同時在未來,物聯網裝置情況的收集與調查會對商業諮詢、社會調研等起到關鍵作用。
未來當我們研究某一路段是否開放自動駕駛時,這一路段有多少個智慧紅綠燈、分別是什麼品牌的智慧紅綠燈就是非常重要的資訊。相比實地調查或詢問市政交通部門,利用搜索引擎搜尋自然是更高效的解決方案。
對於應用者來說,搜尋引擎也能幫助他們更方便的使用物聯網。
在一家巨型工廠中,可能會有數千個不同品牌、不同用途的IoT硬體。搜尋引擎的存在可以幫助他們將裝置分類分組,更高效的進行查詢和處理。當然這種搜尋引擎最好建立在內網之中,才能保證裝置的隱私和安全。
而且和網際網路的搜尋引擎不同,物聯網搜尋是一項ToB端收費的業務。以Shodan模式為例,一個賬戶一年的使用費用大概在幾十到上百美元間不等。未來還可以擴充套件至企業內部,提供定製化的搜尋引擎服務,甚至延伸成為IoT作業系統。
目前除了Shodan以外,中國也開始有一些創業企業推出了類似的服務,藉以進入IoT市場。
當然,物聯網搜尋引擎想要進行普及化和商業化,還要看能否做好資料脫敏、把握好公有云和私有云之間的邊界,實現在不侵犯他人隱私的前提下完成搜尋任務。
不過,在這一切發生之前,還是先改掉中一切IoT裝置的初始密碼吧!