久久久91-久久久91精品国产一区二区-久久久91精品国产一区二区三区-久久久999国产精品-久久久999久久久精品

多家廠商機器人軟件組件中發(fā)現(xiàn)基礎(chǔ)安全漏洞

對家用、商用、工業(yè)用機器人的一份分析報告，暴露出該領(lǐng)域存在多個與IoT設(shè)備常見漏洞相似的基本安全弱點，引發(fā)對人類安全影響的思考。

機器人行業(yè)在近些年得到了長足發(fā)展，而且發(fā)展腳步在未來只會進一步加快。機器人可充當多種角色，從家務(wù)、購物、醫(yī)護助手，到在工廠里從事生產(chǎn)，甚至處理安全和執(zhí)法任務(wù)。

“把機器人想成有胳膊有腿帶輪子的計算機，它們就是移動的IoT設(shè)備，一旦被黑，是有可能產(chǎn)生我們前所未見的嚴重威脅的。”網(wǎng)絡(luò)安全咨詢公司IOActive在一份新報告( http://www.ioactive.com/pdfs/Hacking-Robots-Before-Skynet.pdf )中說道。

隨著人機交互的發(fā)展，新攻擊方法浮出水面，威脅場景開始擴張。機械手足、外圍設(shè)備和人類信任，擴展了網(wǎng)絡(luò)安全問題可被利用來造成傷害、破壞財物，甚或形成殺傷的領(lǐng)域。

該研究由IOActive首席技術(shù)官凱撒·塞魯多和高級安全顧問盧卡斯·阿帕領(lǐng)銜，涉及對多家廠商生產(chǎn)的家用、商業(yè)、工業(yè)機器人所用的移動應(yīng)用、操作系統(tǒng)、固件鏡像和其他軟件的分析。

被測試了軟件組件的機器人包括：軟銀機器人公司的NAO和Pepper人形機器人，UBTECH機器人公司的 Alpha 1S 和 Alpha 2，ROBOTIS公司的 ROBOTIS OP2 和 THORMANG3，優(yōu)傲機器人公司的UR3、UR5和UR10，Rethink Robotics 公司的Baxter和Sawyer，以及采用了Asratec公司V-Sido機器人控制技術(shù)的多種機器人。

研究人員發(fā)現(xiàn)，大多數(shù)機器人使用了不安全通信，有身份驗證問題，缺乏授權(quán)機制，采用弱加密，暴露隱私信息，默認采用弱配置，且是用脆弱開源框架和庫打造而成。

雖然不是每種機器人都有上述全部問題，但基本都存在其中幾種毛病。這也讓研究人員推測，沒有包括在本次評估中的其他機器人，應(yīng)該也是問題多多的。

有些機器人可用移動應(yīng)用控制，或用安裝在電腦上的軟件進行編程。其他機器人通過云服務(wù)來接收軟件更新和應(yīng)用安裝。

如果各種不同組件間的通信信道是不安全的非加密信道，攻擊者便可以發(fā)起中間人攻擊，注入惡意指令或軟件更新，讓機器人執(zhí)行惡意代碼。

而且，被測試的很多機器人固件和操作系統(tǒng)都有遠程訪問服務(wù)供操作不同功能。訪問其中一些甚至不需要任何身份驗證。有些服務(wù)需要身份驗證，但使用的是可被輕易繞過的弱機制。

“這是我們發(fā)現(xiàn)的問題中最嚴重的一個，可致任何人都能輕易遠程黑了機器人。”

有些機器人沒有加密存儲的口令、密鑰、第三方服務(wù)憑證和其他敏感數(shù)據(jù)。其他嘗試用加密保護數(shù)據(jù)，但用的是沒有恰當實現(xiàn)的加密體制。

很多隨附的移動App會不經(jīng)用戶同意就向遠程服務(wù)發(fā)送網(wǎng)絡(luò)、設(shè)備、GPS位置等敏感信息，有些機器人的默認配置還包含有不能被禁用的不安全功能，或者不能被修改的默認口令。

一些身份驗證、授權(quán)和不安全通信問題，是機器人開發(fā)商共享的開源軟件框架、庫和操作系統(tǒng)漏洞的結(jié)果。其中一個案例就是機器人操作系統(tǒng)(ROS)——多家機器人廠商采用的流行OS。

另一個問題是，很多案例中，機器人從原型機到商用產(chǎn)品之間的過渡太快了，都沒有經(jīng)過任何網(wǎng)絡(luò)安全審計和添加額外的防護。

機器人被黑的后果，與IoT設(shè)備或計算機被黑類似：通過麥克風或攝像頭進行監(jiān)視，在內(nèi)網(wǎng)中建立橋頭堡以發(fā)動其他攻擊，暴露個人數(shù)據(jù)和第三方服務(wù)憑證。然而，由于機器人的移動性，它們還能造成其他危險后果。

在家里，被黑機器人可被用來通過突然的移動毀壞物體，撞傷人。它們還可以有意引發(fā)火災(zāi)，開門，關(guān)閉防盜警報等等。商用環(huán)境中的機器人若是被黑，也可引發(fā)同樣的問題。

工業(yè)機器人則更加危險，因為它們更大更強力。它們可以輕易殺死人類，而且已經(jīng)有工業(yè)機器人誤操作致人死亡的案例了。

我們的研究揭露的很多網(wǎng)絡(luò)安全問題，本可以通過實現(xiàn)眾所周知的網(wǎng)絡(luò)安全實踐來預(yù)防的。我們發(fā)現(xiàn)可用多種方式黑了這些機器人，我們做了大量工作來理解此類威脅，給它們劃分優(yōu)先級，供受影響廠商修復(fù)緩解所用。研究結(jié)果讓我們證實了之前的想法：是時候讓所有機器人廠商立即采取行動保衛(wèi)它們的技術(shù)了。

該研究揭示：直到現(xiàn)在，機器人廠商依然將推出產(chǎn)品置于保證安全之上。其他行業(yè)也是如此，比如已經(jīng)成為安全大泥潭的物聯(lián)網(wǎng)。

如果網(wǎng)絡(luò)安全沒有在產(chǎn)品生命周期之初就納入考慮，在投放市場之后才進行漏洞修復(fù)就更復(fù)雜也更昂貴得多了。

“幸運的是，因為機器人的采用尚未成為主流，現(xiàn)在還有時間來改進技術(shù)，讓它們更安全。”