物聯(lián)網(wǎng)安全是意識(shí)問題不是技術(shù)問題

　　物聯(lián)網(wǎng)（IoT）這個(gè)詞既寬泛又模糊，有一種說法是，它包含了任一一種能作為網(wǎng)絡(luò)一部分的“事物”。這個(gè)定義顯然不夠精準(zhǔn)，事實(shí)上，沒哪種定義讓人滿意的。

　　細(xì)細(xì)琢磨，IoT似乎更多地是個(gè)心理范疇的概念，而非技術(shù)領(lǐng)域的概念。

　　對(duì)“什么是物聯(lián)網(wǎng)？”這個(gè)問題的回答，人們常常會(huì)以舉例子的方式，給出一長串實(shí)例。例子列表里可能包括：

　　· 智能家居

　　· SCADA/ICS

　　· 工廠自動(dòng)化裝配機(jī)器人

　　· 自動(dòng)駕駛汽車或聯(lián)網(wǎng)汽車

　　· 無線健身設(shè)備和其他可穿戴設(shè)備

　　· 聯(lián)網(wǎng)醫(yī)療機(jī)械

　　· 智能手機(jī)

　　· 家庭娛樂系統(tǒng)

　　· 計(jì)算機(jī)

　　這張列表對(duì)理解物聯(lián)網(wǎng)安全問題有什么幫助嗎？列表包含了那么多種事物和用例，以致很難看出期間有什么共性。其中一些東西在設(shè)計(jì)時(shí)就融合了安全思維，而其他的則完全無視了安全問題。有些是由用戶或管理員主動(dòng)管理和維護(hù)的，其他則是一旦安裝上就拋之腦后再也不管了的。

　　想要圍繞物聯(lián)網(wǎng)問題展開有效討論，就得先對(duì)“物聯(lián)網(wǎng)”的定義達(dá)成共識(shí)。更具體來講，要討論物聯(lián)網(wǎng)安全，我們得定義和確認(rèn)“有問題的物聯(lián)網(wǎng)（PIoT）”這個(gè)概念。上面那張列表里列出的東西里，或許有那么幾樣是可以不包含進(jìn)來的。

　　這些設(shè)備的創(chuàng)造者和使用者的心理才是我們應(yīng)該關(guān)注的，倒是它們工作的技術(shù)細(xì)節(jié)或者它們的設(shè)計(jì)目的反而沒那么重要。

　　桌面計(jì)算機(jī)位于物聯(lián)網(wǎng)設(shè)備列表的一端。計(jì)算機(jī)的創(chuàng)造者和用戶都默認(rèn)這些機(jī)器應(yīng)該定期更新，不時(shí)用殺毒軟件和其他安全工具查一查，理應(yīng)好好維護(hù)機(jī)器的環(huán)境。計(jì)算機(jī)就是要有主動(dòng)的管理才行。計(jì)算機(jī)安全，雖然遠(yuǎn)未解決，卻一直是各方考慮的重點(diǎn)。每個(gè)人都清楚，他們重要的數(shù)據(jù)和資源處于風(fēng)險(xiǎn)之中，對(duì)計(jì)算機(jī)的攻擊行為一直都有。

　　相對(duì)比智能烤面包機(jī)（一個(gè)現(xiàn)實(shí)世界中或許尚未真實(shí)存在的典型例子），很有可能無論是烤面包機(jī)的創(chuàng)造者還是用戶，都沒對(duì)烤面包機(jī)被黑的影響加以太多考慮。他們可能沒意識(shí)到烤糊了或者沒烤熟的面包也是會(huì)產(chǎn)生影響的。當(dāng)然，安全專家們會(huì)將它們視作家庭網(wǎng)絡(luò)邊界中的脆弱設(shè)備。

　　安全專家知道，這些設(shè)備可被用于收集信息，捕獲網(wǎng)絡(luò)憑證，發(fā)起后續(xù)攻擊等等。確實(shí)，它們沒有用于管理和查看安全狀態(tài)的用戶界面。無論創(chuàng)造者還是用戶都沒期待一個(gè)烤面包機(jī)還要定期打補(bǔ)丁和更新。對(duì)大多數(shù)人而言，這種想法簡直太奇怪了。

　　一個(gè)相關(guān)的想法是：安全可不是設(shè)備可感知價(jià)值的一部分。用戶對(duì)他們的燈泡沒有安全需求，于是，他們不會(huì)為燈泡的安全支付額外的費(fèi)用，創(chuàng)造者們（尤其是初創(chuàng)公司）也就不會(huì)在原始設(shè)計(jì)和架構(gòu)中引入安全了。

　　而物聯(lián)網(wǎng)的麻煩（PIoT）直接誕生于創(chuàng)造者和用戶的思維。他們所做的第一個(gè)假設(shè)，就是設(shè)備不會(huì)被攻擊。他們可能會(huì)覺得，“不就一個(gè)智能燈泡嗎，根本沒有黑的價(jià)值啊”?；蛘?，他們會(huì)認(rèn)為，自己的技術(shù)都沒接入公共互聯(lián)網(wǎng)（比如SCADA設(shè)備），沒有理由會(huì)被黑。

　　創(chuàng)造者和用戶經(jīng)常默認(rèn)這些設(shè)備不會(huì)、不能也不必要被好好維護(hù)。他們對(duì)用戶不可見，也不提供接口或界面來進(jìn)行管理。