banner.jpg)
相關(guān)專題：
關(guān)健
就像硬幣的兩面，物聯(lián)網(wǎng)智能家居和黑客攻擊正在經(jīng)歷一場此消彼長的漫長博弈。
有這樣一個真實的場景，一名消費者走進(jìn)一家咖啡館，連接店內(nèi)WiFi收發(fā)郵件、登錄網(wǎng)銀，結(jié)果店內(nèi)的無線路由器已經(jīng)被黑客挾持，消費者的郵箱和網(wǎng)銀密碼被獲取，完全暴露在黑客面前。
全球黑客大賽GeekPwn創(chuàng)始人、上海白帽黑客團(tuán)隊碁震Keen公司CEO王琦對《第一財經(jīng)日報》記者說，國內(nèi)互聯(lián)網(wǎng)廠商在產(chǎn)品上存在各種系統(tǒng)漏洞，讓資金和隱私存在風(fēng)險，黑客大賽的目的不是一味去發(fā)現(xiàn)各種漏洞，而是幫助廠商完善自身產(chǎn)品的安全性。
路由器漏洞下的風(fēng)險
19日下午，一名白帽黑客向本報記者演示了通過路由器獲取用戶網(wǎng)上銀行密碼的全過程�？Х瑞^內(nèi)WiFi路由器因為自身漏洞被黑客通過DNS解析而劫持，消費者從搜索網(wǎng)站進(jìn)入網(wǎng)銀時，實際上跳轉(zhuǎn)登錄的是由黑客做的假銀行鏡像網(wǎng)站，但其域名和頁面與真銀行網(wǎng)站一模一樣。消費者在輸入網(wǎng)名、賬號密碼時，實際上是直接明文發(fā)給了黑客。
在這個過程中，消費者在操作上并沒有犯任何錯，咖啡館并不知道自己的路由器已被黑客劫持，主要責(zé)任被指向了路由器廠商，產(chǎn)品本身的安全漏洞讓黑客輕易攻破。王琦說，他們的團(tuán)隊曾列出市面上常見的路由器產(chǎn)品，作為黑客比賽的題目，結(jié)果無一例外均被選手攻破。
眼下，從智能門鈴到智能空調(diào)，智能電器正在占領(lǐng)消費者的客廳和臥室，這些設(shè)備無非是通過WiFi（或藍(lán)牙）聯(lián)網(wǎng)，家里的無線路由器相當(dāng)于各種智能電器的總網(wǎng)關(guān)，一旦因漏洞被黑客劫持，就等于這些設(shè)備均已在黑客的控制中。
黑客攻擊WiFi或無線路由器的能力有多強？一名白帽黑客大咖向《第一財經(jīng)日報》記者講了一個親歷的故事。他之前去新加坡參加一個黑客大會，在黑客云集的會場內(nèi)，他只是打開了手機的WiFi功能，并未連接任何一個WiFi，但他突然發(fā)現(xiàn)手機自動連接他在上海的辦公室WiFi。他趕緊關(guān)機，回到酒店后把自己所有密碼改了一遍。
“用戶能做的是盡量使用復(fù)雜密碼，將不同領(lǐng)域的密碼分開設(shè)置，如果一定要連公共場所的WiFi，不要登錄網(wǎng)銀，甚至連郵件也別收發(fā)，就用3G或4G網(wǎng)絡(luò)�！蓖蹒鶎Υ私ㄗh。
攻防戰(zhàn)
在微軟安全響應(yīng)部門（SRC）工作了7年后，技術(shù)出身的王琦創(chuàng)業(yè)開辦了黑客大賽GeekPwn，他的初衷是希望通過選手的模擬攻擊，找出漏洞，幫助廠商提高互聯(lián)網(wǎng)產(chǎn)品的安全性�！拔④沇indows的安全性已經(jīng)很強了，但還是不斷有各種補丁推出，國內(nèi)這些創(chuàng)業(yè)公司生產(chǎn)的軟硬件設(shè)備，安全漏洞可想而知�！彼f。
舉例來說，現(xiàn)在支付用的POS機越來越智能，以前能連接PC，現(xiàn)在可以連接手機，但有黑客就能利用POS機的漏洞進(jìn)行重放攻擊，即重放前一個消費者的刷卡動作，等于刷自己的卡花別人的錢。金錢和隱私，永遠(yuǎn)是用戶最敏感的那根神經(jīng)。
好在，微軟安全響應(yīng)部門所做的事情正在得到越來越多廠商的重視。像阿里的“神盾局”、攜程、京東等，都在做信息安全防范工作。但后臺系統(tǒng)漏洞被第三方監(jiān)控機構(gòu)識別，用戶密碼被集體泄露等事件仍不絕于耳。
一位信息安全人士對《第一財經(jīng)日報》記者說，互聯(lián)網(wǎng)公司之間的口水戰(zhàn)很常見，公關(guān)層面的對決只是明面上的交鋒，暗地里雇用黑客攻擊對手的后果會更嚴(yán)重，比如一些O2O項目，黑客可以用一分鐘下一個美甲的訂單，或者同時叫到1000輛專車，“抓住漏洞控制了系統(tǒng)，想做什么攻擊都很容易了”。目前，已發(fā)生過因黑客攻擊讓上市公司市值瞬間蒸發(fā)將近一半的案例。
像GeekPwn、Pwn2Own、DefConCTF這些黑客大賽的價值越來越體現(xiàn)出社會普適性，在GeekPwn舉辦的前兩年，曾有選手利用黑客技術(shù)控制了特斯拉汽車、無人機等設(shè)備，令現(xiàn)場嘩然。但這些是小眾領(lǐng)域，而公共WiFi、移動支付、O2O、智能家居等是應(yīng)用范圍更廣的領(lǐng)域，參賽選手努力找出這些領(lǐng)域中存在的漏洞，并利用黑客技術(shù)設(shè)法控制它。去年10月份舉辦的第二屆GeekPwn大賽，有選手憑借攻破https加密拿走了一筆42萬元獎金。
讓大賽主辦方感到可惜的是，去年由于簽證問題，很多國際上非常牛的白帽黑客（比如一位韓國軍方培養(yǎng)的年輕黑客）報名后沒能來到上海參賽。今年的比賽增加了一場5月澳門賽。今年會圍繞智能手機、智能交通、智能穿戴、智能家居等領(lǐng)域進(jìn)行黑客攻破。
王琦對本報記者說，本來一開始是想辦一個極端高大上的黑客比賽，推崇技術(shù)難度，但國內(nèi)的安全現(xiàn)狀觸目驚心，有些廠商的安全漏洞很低級，太容易被利用了，國內(nèi)的信息安全環(huán)境有待提升。
