姊妹站最新文章
事件經過
海外論壇 Lemmy 的 c/europe 板上,一則關於法國約100間超市所使用的營業用冷藏庫遭網路入侵的事件引發討論。原因出在韌體未更新,導致外部可以遠端連線存取,此事也讓大家聊到歐盟的《網路韌性法案》(Cyber Resilience Act)。串文中,「冷藏庫本來就不該直接暴露在網路上,這設計本身就是錯的」的批評聲浪,與「為了監控溫度等數據,遠端連線其實有其合理性」的意見彼此對立,大家對於該如何兼顧資安與系統維運吵得不可開交。
笑不出來的事:到底是誰駭了法國超市的冷藏庫?
這篇文章寫得不錯,涵蓋了技術上到底發生了什麼事、被利用的是哪種軟體漏洞,以及那些沒有更新韌體的冷藏庫是如何受害等多個層面。文章也提到了旨在防止這類事件的歐盟《網路韌性法案》。
要讓工業系統變得安全,是一項得花上好幾年的工程。因為很多系統都是幾十年前建的,軟硬體和通訊協定當初根本就沒把資安納入設計考量。這其實也適用在「智慧家庭」裝置或「智慧電視」之類的消費性產品上,這些產品往往也不是設計成可以隨時進行必要更新的樣子。
出處: en.wikipedia.org / 原文請見此處
網友怎麼說
自架伺服器(self-hosting)社群裡的朋友們也每天在問我「要怎麼架設安全的遠端連線」,但答案通常都是「能不做就別做」啊。
那倒是想請你說說看。我自己也自架了不少東西,隨時隨地都能存取正是其中一半的樂趣所在。只要用上適當的加密,可能的話再加上 mTLS,應該沒那麼難,也足夠能掌控吧。
我本來想說「是為了讓監控人員能及時發現溫度上升或故障的徵兆啦」,但仔細想想,冷藏庫那端根本不需要遠端連線,只要本地感測器回報給伺服器就夠了吧……
@elvith @bedwyr 如果冷藏庫本身裝了很多感測器,能讀取並統計這些數據,或許就能在故障前先處理掉問題。但把這些東西就這樣公開暴露在網路上,真的、真的、真的是蠢到不行。
這正是「IoT」要帶給大家的東西啊!!
沒錯,因為「IoT」裡的「s」就是「Security(安全)」的縮寫啊(當然是在諷刺——IoT這個單字裡根本沒有s這個字母,等於「資安不存在」的老笑話)。
@001 @HaraldvonBlauzahn 這是營業用冷藏庫啦,應該不會有專屬App這種東西喔。
@HaraldvonBlauzahn 密碼不是「當天日期本身」,而是「根據日期生成出來的東西」啦。
這個話題的背景與討論焦點
這次事件,正是歐盟推出的《網路韌性法案》(Cyber Resilience Act)所預設要處理的典型風險之一。該法案的目的,是要求連網設備必須提供安全性更新並處理漏洞問題,但像這次遭駭的冷藏庫一樣,許多沿用數十年的工業系統,原本在設計時根本沒有把資安當作前提,要進行改造往往得花上很長的時間。而在討論串中意見分歧的地方,其實是遠端連線本身是否有其必要性:一方認為,如果只是要監控溫度之類的數據,用遠端「唯讀」模式就已經夠用;另一方則更重視故障時可以遠端介入處理的好處。另外,串中也有人出面更正,指出這並非家用智慧冷藏庫,而是店家使用的營業用設備,並不存在所謂的專屬App,這點提醒大家別把消費性IoT產品的問題,和營業用基礎設施的問題混為一談。此外,有人指出密碼並非「日期本身」,而是「以日期為基礎生成的規則」,這項補充說明對於正確掌握漏洞的實際狀況也相當重要。
※本文摘錄、改寫自海外論壇 Lemmy c/europe 討論串「Not cool: who hacked France’s supermarket fridges?」,並由編輯部意譯為中文。譯文內容如有疏漏,由本站負責。
發佈留言