外媒：掃二維碼、拍照或可招來網(wǎng)上“潛伏間諜”

智能終端 dvbcn編輯 2017-10-16 15:36 閱讀 7,457 來源：DVBCN 　

近日，北達(dá)科他州立大學(xué)計(jì)算機(jī)科學(xué)副教授杰里米·斯特勞布(Jeremy Straub)在解釋型新聞網(wǎng)The Conversation發(fā)表文章稱，你可能被告知過在你的郵箱打開不明附件可能會(huì)帶來危險(xiǎn)——就像你不該打開你的信箱中的可疑包裹那樣。但你有沒有被警告過不要掃描來歷不明的二維碼，或者不要用你的手機(jī)拍照呢?新研究發(fā)現(xiàn)，網(wǎng)絡(luò)攻擊者可能會(huì)從手機(jī)及其它設(shè)備中的攝像頭和傳感器著手來進(jìn)行攻擊。

作為3D建模研究者(工作包括評(píng)估3D打印的物體，確保它們符合質(zhì)量標(biāo)準(zhǔn))，我知道將惡意計(jì)算機(jī)代碼存儲(chǔ)在現(xiàn)實(shí)世界的手段容易帶來傷害。我們的團(tuán)隊(duì)是在實(shí)驗(yàn)室里工作，還沒有碰到過惡意軟件隱藏在3D打印指令或者被編碼到被掃描物品的架構(gòu)中的情況。但我們正在準(zhǔn)備應(yīng)對(duì)那種可能性。

目前，那不大可能會(huì)發(fā)生在我們身上：攻擊者需要費(fèi)很大的功夫?qū)ｉT了解我們的系統(tǒng)功能，才能夠成功實(shí)施攻擊。然而，有朝一日，入侵會(huì)能夠通過與電腦或智能手機(jī)的正常通訊或者通過那些設(shè)備的感應(yīng)發(fā)生。產(chǎn)品設(shè)計(jì)師和用戶需要認(rèn)識(shí)到那些風(fēng)險(xiǎn)。

病毒感染

要使得設(shè)備感染病毒，不法分子得找到某種方法來使得電腦存儲(chǔ)或者運(yùn)行惡意軟件。電腦面前的人往往會(huì)成為被攻擊的目標(biāo)。攻擊者可能會(huì)發(fā)出電子郵件告訴電腦用戶，他們中了彩票，又或者如果不回復(fù)監(jiān)管員的話他們將會(huì)遭遇麻煩。在其它的情況中，病毒被設(shè)計(jì)得不知不覺地被平常的軟件活動(dòng)觸發(fā)。

華盛頓大學(xué)研究人員最近測試了另一種可能性：將電腦病毒嵌入DNA。好消息是，大多數(shù)的電腦都不會(huì)染上來自惡意軟件、植入生物病毒的電子病毒。DNA感染過往是對(duì)攻擊可讀取存儲(chǔ)于DNA的數(shù)字資料的電腦的概念的一種測試。

同樣地，當(dāng)我們的團(tuán)隊(duì)掃描3D打印的物品的時(shí)候，我們同時(shí)從我們收集的圖像存儲(chǔ)和處理數(shù)據(jù)。如果攻擊者專門去分析我們是如何完成該項(xiàng)工作的，他們有可能會(huì)發(fā)現(xiàn)我們有操作步驟容易被破損數(shù)據(jù)破壞。接著，他們要專門設(shè)計(jì)一個(gè)物體來讓我們?nèi)呙瑁沟梦覀兘邮盏侥切?shù)據(jù)。

言歸正傳，當(dāng)你掃描二維碼的時(shí)候，你的計(jì)算機(jī)或者手機(jī)會(huì)處理二維碼中的數(shù)據(jù)，然后進(jìn)行某種行動(dòng)——或許發(fā)出電子郵件，或者前往特定的網(wǎng)址。攻擊者可能會(huì)發(fā)現(xiàn)掃碼應(yīng)用存在漏洞，可讓特定精確格式化文本被執(zhí)行，而不只是被掃描和處理。又或者，在目標(biāo)網(wǎng)站可能有某種東西等著侵害你的手機(jī)。

傳感器不算精確

好消息是，大多數(shù)的傳感器都沒有DNA測序儀那么精確。例如，兩個(gè)不同的手機(jī)攝像頭對(duì)準(zhǔn)同一個(gè)物體，由于照明、攝像頭位置和拉近距離的差異，會(huì)收集到不同的信息。即便是很小的偏差，可能都會(huì)讓編碼的惡意軟件無法運(yùn)行，因?yàn)楸桓袦y到的數(shù)據(jù)并不總是能夠準(zhǔn)確轉(zhuǎn)變成可行的軟件。因此，人們的手機(jī)不大可能會(huì)僅僅因?yàn)榕牧藦堈掌磺秩搿?/span>

然而，有的系統(tǒng)，比如二維碼讀取器，包含修正感測數(shù)據(jù)異常情況的功能。當(dāng)感測環(huán)境高度可控的時(shí)候，比如我們最近評(píng)估3D打印的工作，攻擊者會(huì)相對(duì)容易更具預(yù)見性地影響傳感器的讀數(shù)。

也許，最麻煩的情況是，攻擊者能夠通過感應(yīng)形成進(jìn)入原本十分安全、難以被攻擊的系統(tǒng)的通道。例如，為了防止我們的3D打印質(zhì)量感測系統(tǒng)被常規(guī)的攻擊感染，我們提議將它置于另一臺(tái)與互聯(lián)網(wǎng)和其它的潛在網(wǎng)絡(luò)攻擊來源隔離的計(jì)算機(jī)上。但系統(tǒng)還時(shí)得掃描3D打印的物體。被惡意設(shè)計(jì)的物體可能會(huì)是攻擊這種本來脫離外部的系統(tǒng)的一種方式。

篩查預(yù)防

很多軟件開發(fā)者還沒有考慮黑客控制感測數(shù)據(jù)的可能性。但2011年，伊朗政府黑客正是通過這種方式俘獲美國的無人偵察機(jī)。程序員和電腦管理員必須要確保感測數(shù)據(jù)在被安全處理之前經(jīng)過篩查，以便防止意想不到的劫持事故。

除了開發(fā)安全軟件以外，另一種系統(tǒng)也能夠帶來幫助：入侵檢測系統(tǒng)能夠檢測常見的攻擊，不同尋常的行為，甚至本來預(yù)期要發(fā)生但實(shí)際上沒有發(fā)生的事情。當(dāng)然，它們并非完美無缺，有時(shí)候會(huì)無法檢測到攻擊活動(dòng)，有時(shí)候還會(huì)將正當(dāng)?shù)幕顒?dòng)誤以為是攻擊活動(dòng)。

能夠感應(yīng)和修改周圍環(huán)境的計(jì)算設(shè)備正變得越來越常見，它們出現(xiàn)在諸多的設(shè)備上，如制造機(jī)器人、無人機(jī)和無人駕駛汽車。同時(shí)針對(duì)現(xiàn)實(shí)世界和電子世界的攻擊發(fā)生的可能性隨之顯著上升。攻擊者可能會(huì)覺得在現(xiàn)實(shí)世界中植入惡意軟件很有吸引力，只需要靜靜等待無疑心的人拿智能手機(jī)或者專業(yè)設(shè)備掃描即可。隱藏在醒目處的惡意軟件成了某種“潛伏間諜”，在觸達(dá)目標(biāo)之前不會(huì)被發(fā)現(xiàn)——也許隱藏于安全的政府大樓、銀行或者醫(yī)院里。

GFIC亞太物聯(lián)網(wǎng)

峰會(huì)

外媒：掃二維碼、拍照或可招來網(wǎng)上“潛伏間諜”-DVBCN