北京時間7月28日消息，《福布斯》女記者卡什米爾·希爾（Kashmir Hill）通過親身經(jīng)歷證明，可聯(lián)網(wǎng)的智能家居產(chǎn)品存在諸多安全漏洞。

以下為文章全文：

“我能看到你家里的所有設(shè)備，我認(rèn)為我能控制他們。”一個周四清晨，我粗魯?shù)卮螂娫捊行淹旭R斯·哈勒（Thomas Hatley），一個住在俄勒岡州的陌生人。

他和妻子還沒起床。表達(dá)驚訝之余，他讓我打開和關(guān)閉主臥里的電燈。坐在舊金山的臥室里，我輕輕點(diǎn)擊一下就完成開關(guān)操作，與此同時極力抑制打開電視機(jī)的惡作劇沖動。

“剛才打開了，現(xiàn)在又關(guān)了，”他說，“我真是活見鬼！”

根據(jù)路透社的消息，家居自動化市場2012年的市值達(dá)到15億美元。許諾能讓家居更智能化的產(chǎn)品呈現(xiàn)爆炸式發(fā)展。其中最知名的要數(shù)Nest恒溫器，它能夠監(jiān)測房主的活動，學(xué)習(xí)他的日程安排和溫度偏好，據(jù)此給房間加溫或減溫。很多這種產(chǎn)品都開發(fā)了智能手機(jī)應(yīng)用程序和網(wǎng)絡(luò)接口，方便用戶遠(yuǎn)程操作設(shè)備。

過著如此高科技的生活也有不利之處。當(dāng)我們把家里的東西都和網(wǎng)絡(luò)掛鉤時，那些聯(lián)網(wǎng)設(shè)備面臨的安全風(fēng)險(xiǎn)都會讓我們碰到：它們可能會“被黑”。

搜索了一條簡單的短語后，我就明白了一系列“智能家居”能干的傻事。這些家庭安裝了來自Insteon的自動化系統(tǒng)，用戶可遠(yuǎn)程控制他們的燈光、浴室、電風(fēng)扇、電視、水管、倉庫門、相機(jī)等等。主人可以借助智能手機(jī)或者網(wǎng)絡(luò)實(shí)現(xiàn)遠(yuǎn)程控制。傻不傻?。克麄兊南到y(tǒng)可以在搜索引擎的結(jié)果抓取。由于Insteon默認(rèn)不需要驗(yàn)證用戶名和密碼，我點(diǎn)擊這些鏈接，就能“黑掉”別人的房間。打開倉庫門就能讓一個家庭成為被侵犯的目標(biāo)。

托馬斯·哈勒的家只是我能入侵的8個家庭當(dāng)中的一個。一些敏感信息遭到泄露，不僅包括他們使用的應(yīng)用程序和設(shè)備，而且他們所處的時區(qū)、IP地址甚至孩子的名字都被獲取。顯然，當(dāng)父母的希望能遠(yuǎn)程控制家里的電視機(jī)。其中至少有3個家庭的網(wǎng)絡(luò)信息足以指向他們現(xiàn)實(shí)生活中所在的位置。

很多系統(tǒng)的名字都是普通的，但其中一家包含了街道信息，我能夠追蹤其至康涅狄格州的一所住宅。當(dāng)我打電話時，一個名叫“克雷格”的家伙接了電話。他表示自己的副業(yè)是一名顧問，幫助有需要求的客戶安裝Insteon的設(shè)備。他本人使用該系統(tǒng)也有十年之久。當(dāng)我自稱可以控制他家的系統(tǒng)時，他立刻有了敵意。

“有密碼的！”他暴躁地回應(yīng)?！拔蚁Ｍ麧撛诘目蛻裟軌蚩吹较到y(tǒng)，了解它的運(yùn)行機(jī)制。你不可以控制它，只能看?！?

我問他，我能打開他家的一個設(shè)備。他告訴我打開所在臥室的燈。我做完后，接著是一段意味深長的沉默?！坝蟹磻?yīng)沒？”我問道。他說什么也沒發(fā)生就草草掛斷電話。我懷疑他說謊。第二天，他的系統(tǒng)上了鎖，只能通過用戶名和密碼進(jìn)入。

Insteon的安全隱患是Trustwave公司安全專家大衛(wèi)·布萊恩(David Bryan)丹尼爾·克洛利(Daniel Crowley)在智能家居設(shè)備中發(fā)現(xiàn)的個案之一。

去年12月份，布萊恩購買了Insteon的HUB設(shè)備，并在手機(jī)上安裝了應(yīng)用，開始監(jiān)視它的工作狀況。

“我看到的情況令人擔(dān)憂，”他說，“智能設(shè)備發(fā)送控制命令不需要授權(quán)?！?

“你可以打開別人家的熱水器，讓他的電費(fèi)賬單頂破天。”布萊恩說。他趕緊通過電子郵件聯(lián)系Insteon的技術(shù)支持，并詢問獲得用戶名和密碼的方法。Trustwave近期曾就系統(tǒng)的脆弱性與Insteon溝通。Insteon后來解決了HUB的問題，并于2013年初召回該設(shè)備。當(dāng)然，他們并未告訴消費(fèi)者安全問題是召回產(chǎn)品的原因之一。

Insteon的首席信息官麥克·努爾斯（Mike Nunes），他在網(wǎng)絡(luò)上看到的系統(tǒng)都來自一些停產(chǎn)的產(chǎn)品。它們之所以出現(xiàn)在搜索引擎中，完全是用戶的責(zé)任。他表示，老產(chǎn)品最初并非用于遠(yuǎn)程控制，設(shè)置這種功能需要用戶費(fèi)一點(diǎn)周折。裝置本身附帶操作手冊，告訴用戶如何將裝置聯(lián)網(wǎng)，并強(qiáng)烈建議他們增加用戶名和密碼。

“這需要用戶將一個鏈接粘貼至網(wǎng)絡(luò)，而用戶可能沒有設(shè)置用戶名和密碼?！迸瑺査拐f。我告訴努爾斯，如果產(chǎn)品默認(rèn)需要設(shè)置用戶名密碼，就不會犯這樣的錯誤?！拔乙仓С趾凸膭钸@么做?！彼f。

在托馬斯·哈勒的例子中，他創(chuàng)建了一個網(wǎng)站，作為接入家庭設(shè)備的入口。他的網(wǎng)站設(shè)置了密碼，但你可以繞開它，直接進(jìn)入不受密碼保護(hù)的Insteon端口?！翱梢赃@么說，我承擔(dān)一部分責(zé)任。因?yàn)榧依锏穆酚善魇俏矣H自配置的，”哈勒說，“但是我沒有意識到那個端口可以從外部網(wǎng)絡(luò)進(jìn)入?！?

Insteon公司當(dāng)前的產(chǎn)品自動分配用戶名和密碼，這在產(chǎn)品發(fā)布的前幾個月是沒有的事情。布萊恩恰恰買的就是沒有被自動分配密碼的產(chǎn)品。布萊恩還表示，產(chǎn)品新的認(rèn)證手段很“糟糕”。很多黑客只需很少的工作量就能夠破解它。

Insteon產(chǎn)品默認(rèn)不需要密碼的問題和Trendnet IP相機(jī)幾年前的漏洞類似。不需要認(rèn)證意味著任何人只要獲得相機(jī)的IP地址，就能觀看相機(jī)內(nèi)的照片流。

即便沒有面向公眾的網(wǎng)站，只要產(chǎn)品具備這樣的隱患，任何人搞清楚系統(tǒng)的地址后就能控制他人的家居。

“這些技術(shù)的出現(xiàn)令人興奮，這些漏洞的存在令人心碎?！笨寺謇f。

他和同事發(fā)現(xiàn)的安全漏洞允許一個入侵者控制數(shù)個Insteon系統(tǒng)中的敏感設(shè)備，從Belkin WeMo開關(guān)到Satis 智能廁所。是的，他們發(fā)現(xiàn)廁所也能黑。你只要安裝了智能廁所的應(yīng)用程序，離廁所的距離足夠近，那么你就可以與之通信。

“藍(lán)牙連接，無需用戶名或密碼，”克洛利說，“任何人在手機(jī)上安裝應(yīng)用并接入網(wǎng)絡(luò)，就能控制別人的廁所。當(dāng)有人如廁時，你可以打開坐浴盆。”

他們將在未來兩周舉辦的黑帽技術(shù)大會和Defcon黑客大會上公布發(fā)現(xiàn)。Trustwave指出公布這樣的漏洞是想讓公司知道產(chǎn)品發(fā)布前的安全測試有多重要。

還有一個問題，比如MIOS無線網(wǎng)關(guān)控制器，一旦它們接入網(wǎng)絡(luò)，那么它們就默認(rèn)任何使用該網(wǎng)絡(luò)的都是授權(quán)用戶。所以，如果你能接入別人的熱點(diǎn)網(wǎng)絡(luò)，你就能控制他們的家居?！斑@些公司認(rèn)為家庭網(wǎng)絡(luò)是防守的要塞，”克洛利說，“但大多數(shù)情況下，什么都不是。”

Insteon的漏洞之所以嚴(yán)重，是因?yàn)樗试S任何人通過網(wǎng)絡(luò)接入。

研究人員能看到暴露在網(wǎng)上的系統(tǒng)，但是不想進(jìn)一步搜索。我真的為此感到不安，在關(guān)掉其他人的燈之前，我都確保獲得這些用戶的許可，不然有可能面臨法律的指控。

“發(fā)現(xiàn)問題并報(bào)告給相關(guān)公司的人不用擔(dān)心觸犯法律，”一名擅長網(wǎng)絡(luò)安全法規(guī)的律師馬西亞霍夫曼(Marcia Hofmann)說。

“我們的演講重點(diǎn)是這些設(shè)備沒有良好的安全性，需要改善?！笨寺謇f，“很多缺陷研究幾個小時就能發(fā)現(xiàn)?！?/P>