如果说物联网(IoT)行业是绝地武士的秩序，拥有飞利浦Hue光剑和“智能”云计算原力能力，那么受欢迎的推特账户狗屁网络(在新窗口打开)是西斯尊主。当科技行业似乎急于在所有东西上都装上芯片，后果不堪设想时，“屎网”给无用的新电子产品的问题起了个名字，并强调了其中一些产品可能不像我们想象的那么好。
我在匿名的条件下与该账号的运营者进行了交谈，这是PCMag在我们认为公共利益高于其他一切考虑时所给予的礼貌。我将把这个人称为IOS。我很想说我是在一个昏暗的停车场认识IOS的，但我们的对话是通过Twitter直接消息和电子邮件进行的。家常便饭。
“屎网”的推特账户专注于小众和大众。比如，用智能水瓶支付一顿饭，它就有理由质疑其实用性。它强调了必须等待基本必需品(如光和热)的荒谬，而“智能”产品在收到固件更新后就无法获得这些必需品。
每次有新产品出来，我都很兴奋pic.twitter.com/khHKAOcLbv(在新窗口打开)
-屎网(@internetofshit)2017年1月23日(在新窗口打开)
正如你可能想象的那样，“屎网”能够如此有效地剥去它所嘲笑的行业的内脏，因为这个行业接近它的核心。IOS公司表示:“这是很自然的事情。“我曾经花了很多时间在Kickstarter上，并在那里看到了物联网的兴起。似乎每隔一天就会有一些普通的物体被植入芯片，但没有人——甚至是媒体——对此提出批评。(网站)只会说，‘哇，我们终于可以把互联网放在雨伞里了。’”
IOS认为自己在某种程度上是消费者文化的魔鬼倡导者或集体良心。在他看来，Twitter账户是对硅谷虚假乐观情绪泛滥的一次必要的理智检查。“当我们走得太远时，技术人员往往会忘记一个重要的问题:谁真正需要这个?没有网络就不能正常做饭的烤箱?为什么人们不能更好地设计这些东西呢?”
但除了糟糕的设计和似是而非的实用性声明，IOS的主要担忧是隐私问题，最终是个人安全问题:“尽管如此，我确实认为物联网固有的风险。我不相信这些公司不会泄露我的数据，或者在未来不会受到严重的黑客攻击。”
在一个中柱(在新窗口打开)IOS表示，他担心公司会开始想方设法将从人们家中收集的数据货币化。这则报道的内容是:“如果Nest想增加利润，它可以把你家里的环境数据卖给广告商。太冷?亚马逊毛毯广告。太热吗?空调的横幅广告。太潮湿?除湿机就在你的Facebook上。”
IOS仍然坚持这些担忧。他在信中写道:“物联网对制造商如此有吸引力的原因，并不是因为他们在你的生活中添加了智能功能——那只是一个副产品。”“更重要的是，通过这样做，他们对这些设备的使用情况有了前所未有的了解，比如使用频率、使用最多的功能，以及随之而来的所有数据。”
IOS表示，物联网公司需要更加公开他们的数据收集政策，以及谁可以访问这些设备可能收集的信息。“我们都需要决定的问题是，我们愿意向这些公司提供什么级别的访问权限，以换取他们获得的数据——我们信任谁，这是关键。”
2016年圣诞节，只要推特上提到他的名字，IOS系统就能让他的灯闪烁。结果是激烈的，虎头蛇尾的，简短的，说明了IOS对物联网的所有厌恶。
不安全的互联网
然而，比无用的物联网设备对消费者钱包的影响更糟糕的是它们对个人安全的影响。IOS对物联网设备收集用户数据的市场的担忧并不牵强(你认为免费应用程序和免费互联网新闻公司是如何赚钱的?)，而且已经有其他非常现实的威胁。
出席黑帽2016会议上播放了安全研究员埃亚尔·罗内恩的录像。利用他的研究，他能够控制飞利浦Hue灯来自一架在办公楼外盘旋的无人机。这次袭击之所以引人注目，不仅因为其戏剧性的结果和使用无人机，还因为这栋建筑是几家知名安全公司的总部所在地。
罗内恩向我解释说，他试图证明攻击顶级物联网设备是可能的。“有很多针对低端设备的物联网黑客攻击，这些设备没有真正的安全性。我们想测试一种被认为是安全的产品的安全性。”他还热衷于攻击一家知名公司，并选定了飞利浦(Philips)。罗内恩表示，这比他最初想象的更难破解，但他和他的团队在ZigBee Light Link软件中发现并利用了一个漏洞。ZigBee Light Link是一种第三方通信协议，被多家物联网公司使用，被视为成熟安全的系统。
“它使用先进的加密原语，并且具有很强的安全性，”Ronen说。罗内恩说:“但最终，在相对较短的时间内，我们用价值1000美元左右的低成本硬件攻破了这个漏洞。”
的视频Ronen的攻击(上图)显示，大楼的灯光按顺序闪烁，他通过盘旋的无人机远程发送命令。如果这种情况发生在你身上，那就太烦人了——也许不比他推特账户上IOS系统突出的任何场景更烦人。但安全专业人士认为，物联网安全的后果要大得多。
“在之前的工作中，我们展示了如何使用灯光从一个气隙网络中窃取数据并引起癫痫发作，而在这项工作中，我们展示了如何使用灯光攻击电网并干扰Wi-Fi，”罗内恩告诉我。“物联网正在进入我们生活的方方面面，它的安全性可以影响从医疗设备到汽车和家庭的一切。”
缺乏标准
Ronen的攻击利用了距离的优势，但Bitdefender的首席安全研究员Alexandru Balan概述了一些物联网设备中存在的许多其他安全漏洞。他说，硬编码的密码尤其成问题，配置为可从开放互联网访问的设备也是如此。
正是这种互联网可访问性和简单的默认密码的结合，在2016年10月造成了严重破坏Mirai僵尸网络主要的服务网飞公司而且Hulu要么离线，要么使它们如此之慢以至于无法使用。几周后，Mirai的一个变种限制了互联网访问利比里亚全国人民．
“其中最糟糕的是那些直接暴露在互联网上的默认凭证，”巴兰说。“(这些设备)可以通过Shodan等物联网搜索引擎找到，或者通过简单的互联网爬行并使用admin、admin 1234等访问它们，”巴兰继续列举了一些过于简单和容易猜到的密码。由于这些设备的安全性很低，而且可能受到来自互联网的攻击，感染它们的过程可能是自动化的，导致数千或数百万台损坏的设备。
在Mirai的消息传出后不久，我看到了这个场景归咎于物联网行业因为忽略了关于糟糕的身份验证和不必要的在线可访问性的警告。但巴兰并不认为这些缺陷是显而易见的。“(攻击者)需要在固件上进行逆向工程来提取这些凭据，但他们经常在设备中发现硬编码的凭据。原因在于，在很多情况下，在物联网安全方面没有标准。”
巴兰假设，出现这样的漏洞是因为物联网公司自己运营，没有普遍接受的标准或安全专业知识。“这样做更容易。你可以说他们在偷工减料，但主要的问题是他们没有研究如何以安全的方式正确地建造它。他们只是想让它正常工作。”
即使公司开发了针对罗内恩发现的攻击的修复程序，一些物联网设备也无法应用自动更新。这让消费者有责任自己寻找和应用补丁，这对于不打算提供服务的设备来说尤其令人生畏。
但即使是可以轻松更新的设备，漏洞仍然存在。一些研究人员已经表明，并非所有物联网开发人员都使用签名来签署更新加密签名．签名软件使用开发人员拥有的非对称加密密钥的私有部分进行加密。接收更新的设备拥有公钥的一半，用于解密更新。这确保了更新是正式的，没有被篡改，因为签署恶意更新或修改软件更新将需要开发人员的秘密密钥。“如果他们没有对更新进行数字签名，他们就可能被劫持，被篡改;代码可以注入到这些更新中，”巴兰说。
巴兰说，除了简单地打开和关闭灯，受感染的物联网设备可以被用作僵尸网络的一部分，就像Mirai所看到的那样，或者用于更阴险的目的。“我可以提取你的Wi-Fi证书，因为你显然已经将它连接到你的Wi-Fi网络上，而且(物联网设备)是一个Linux盒子，我可以用它来旋转，并开始在你的无线网络中发起攻击。
“在你自己的局域网网络的隐私中，认证机制是松懈的，”巴兰继续说。“局域网的问题在于，一旦我进入了你的私人网络，我就可以访问那里发生的几乎所有事情。”实际上，损坏的物联网成为攻击同一网络上更有价值设备的滩头阵地，例如网络连接存储或者个人电脑。
也许这说明安全行业已经开始密切关注物联网。在过去的几年里，一些产品已经进入市场，声称可以保护物联网设备免受攻击。我已经看到或读到一些这样的产品，并审查了Bitdefender的产品。被称为Bitdefender的盒子，该设备连接到您现有的网络，并为您网络上的每个设备提供防病毒保护。它甚至会探测你的设备，找出潜在的弱点。Bitdefender将启动第二个版本今年，苹果将推出Box设备。诺顿将进入它自己的产品(下图)，吹嘘深包检查，而F-Secure还宣布硬件设备。
作为最早进入市场的公司之一，Bitdefender的独特之处在于，它拥有软件安全方面的背景，然后设计出消费者硬件，想必是无可挑剔的安全。那次经历怎么样?“这很难，”巴兰回答说。
Bitdefender确实有一个bug赏金计划(为发现网站或应用程序中的bug并提供解决方案的程序员提供金钱奖励)，巴兰证实这有助于Box的开发。“任何公司都不应该自大到相信自己可以找到所有的漏洞。这就是漏洞赏金程序存在的原因，但硬件的挑战在于，实际芯片中可能存在后门。”
“我们知道要找什么，要看什么，我们实际上有一个硬件团队，可以拆卸和检查电路板上的每个组件。值得庆幸的是，这个董事会并没有那么大。”
这并不全是胡扯
人们很容易根据最差的参与者来低估整个行业，物联网也是如此。但飞利浦照明家庭系统技术主管乔治·伊安尼(George Yianni)认为这种观点尤其令人沮丧。
“我们从一开始就非常重视(安全)问题。这是一个新的类别。我们必须建立信任，而这些攻击实际上破坏了信任。这也是为什么我认为做得不好的产品最大的耻辱是它侵蚀了对整个类别的信任。任何产品都可能做得不好。这并不是对整个行业的批评。”
就像安全问题一样，公司如何应对攻击通常比攻击本身的影响更重要。在无人机袭击飞利浦设备的案例中，Yianni解释说，Ronen通过公司现有的负责任披露计划提交了他的调查结果。这些程序是为了让公司有时间在安全研究人员的发现被公开之前做出回应。这样，消费者就可以放心，他们是安全的，而研究人员则获得了荣誉。
伊阿尼说，罗内恩在第三方软件堆栈中发现了一个漏洞。具体来说，它是ZigBee标准的一部分，将通信限制在两米内的设备。如你所回忆的那样，罗内恩的工作能够从40米外的标准天线和100米外的增强天线进行控制。Yianni说，多亏了负责任的披露计划，飞利浦能够在罗内恩告诉全世界袭击事件之前推出现场灯光补丁。
目睹了许多公司与公共安全漏洞或安全研究人员的工作结果作斗争，Yianni和飞利浦的反应听起来像是事后的拍后背——但这确实是一次成功。“我们所有的产品都是软件可更新的，这样就可以解决问题，”Yianni告诉我。“我们做的另一件事是安全风险评估、安全审计、渗透测试(雇佣人员攻击你的产品或组织，然后利用这些信息防止坏人对我们所有的产品做同样的事情)。但是，我们也运行这些负责任的披露程序，因此，如果确实发生了什么，我们能够提前发现并迅速修复。
“我们有一个完整的流程，我们可以将软件更新从整个云中推送到(Hue hub)，并将其分发到所有的灯。这是非常重要的，因为这个领域发展得如此之快，这些产品将持续15年。如果我们要确保它们在功能方面仍然具有相关性，并对最新的攻击具有足够的安全性，我们就需要这样做。”
罗内恩在与我的通信中证实，飞利浦在确保Hue照明系统的安全方面确实做得令人钦佩。罗内恩告诉我:“飞利浦在确保灯具安全方面付出了惊人的努力。”“但不幸的是，基于Atmel芯片安全实现的一些基本安全假设是错误的。”正如巴兰在Bitdefender对Box的研究中所指出的那样，物联网设备的各个方面都容易受到攻击。
飞利浦还设计了中央hub -用于协调飞利浦物联网产品网络所需的设备-可以从开放的互联网上访问。“所有与互联网的连接都是从设备发起的。我们从不在路由器上开放端口，也不会让互联网上的设备直接与Hue Hub通信。”Yianni解释道。Hub将请求发送到飞利浦的云基础设施，由后者响应请求，而不是由后者响应请求。这也使飞利浦能够增加额外的层来保护消费者的设备，而无需进入他们的家中进行任何更改。“(设备)不可能从中心之外进行通信，除非你通过这个云路由，在那里我们可以建立额外的安全和监控层。”
Yianni解释说，这是飞利浦为确保Hue照明系统安全所采取的多层方法的一部分。由于该系统由几个不同的部分组成——从灯泡内部的硬件到Hue Hub上的软件和硬件，再到用户手机内的应用程序——各级必须采取不同的措施。“他们都需要不同的安全措施来保证他们的安全。他们都有不同程度的风险和脆弱性。所以我们对所有这些不同的部分采取不同的措施。”
这包括渗透测试，也包括旨在挫败攻击者的自下而上的设计。Yianni说:“没有像Mirai僵尸网络中使用的那种全局密码。”Mirai恶意软件有几十个默认密码，它会用来试图接管物联网设备。“每个(Hue Hub)都有唯一的、不对称签名的密钥来验证固件等等。对一台设备的硬件进行修改，不会产生全球性风险。”
这也适用于物联网设备的价值。“很多这样的产品往往是为了连接而连接，”他说。“对家里所有东西进行自动化的需求不是许多消费者的问题，而且这很难让你理解。我们认为，表现良好的产品是那些向消费者提供更容易理解的价值的产品。”
不可抗拒的物联网
知道物联网的风险，甚至承认它的轻浮，当然并没有阻止人们购买智能照明，如飞利浦Hue，总是倾听的家庭助手，如谷歌的家(Target售价99.00美元)(在新窗口打开)或者是亚马逊的回声，没错，还有智能水瓶。连屎网的运营者都是物联网的狂热粉丝。
IOS表示:“屎网背后真正具有讽刺意味的是，我是这些设备的忠实粉丝。”“我是一个早期采用者，在科技行业工作，所以很多时候我无法抗拒这些东西。”IOS列出了飞利浦连接的灯塔度恒温器,Sense睡眠追踪器、智能音箱、智能音箱等金丝雀的相机(亚马逊285.00美元)(在新窗口打开)以及wi - fi连接插头，这些都是他未来主义的家居设施。
IOS说:“我意识到这个账户的规模意外地超出了我的想象，我从来不想阻止人们进入技术领域。我认为，尝试愚蠢的想法是伟大想法诞生的方式，这是Simone Giertz教会我的一点东西。”
Giertz，一个荒诞主义机器人专家youtube(在新窗口打开)是垃圾机器人背后的思想。她的作品包括一架能给人理发的无人机，或者更确切地说，不能给人理发，还有一顶巨大的帽子，可以把墨镜戏剧性地戴在她的脸上。你可以把它想象成带有硅谷犬儒主义的鲁布·戈德堡(Rube Goldberg)。
IOS背后的人表示，他正在努力控制自己的早期采用者本能。“我想，当我不得不更新我的灯泡的固件来打开它们的时候，我有点意识到……”
Bitdefender的巴兰说，他使用的灯泡可以兼作Wi-Fi中继器。这些设备将灯光和Wi-Fi扩展到他家里的每个角落。但它们也充满了许多他嘲笑的漏洞，包括脆弱的默认密码。不过，谈到物联网，他仍然毫不气馁。
“这就像做爱，”他告诉我。“没有避孕套你是不会做的。我们喜欢性，性很棒，我们不会因为危险就放弃性。但我们在做的时候会采取保护措施。”他认为，消费者不应该陷入偏执，而应该依靠安全公司和受过良好教育的朋友，他们可以识别出哪些公司认真对待安全问题，提供漏洞奖励和安全、频繁的更新工具。
无人机黑客罗内恩使用物联网吗?“目前还没有，”他说。“我担心这会对我的隐私和安全造成影响。而且福利还不够我的需要。”
即使是你谦逊的作者，他多年来一直抵制会说话的烟雾探测器和变色灯的诱惑，也开始崩溃了。最近，为了在假期期间把办公室收拾干净，我发现自己布置了三个独立的办公桌智能灯光．结果，是令人恐惧的，令人信服的美丽。
与此同时，我的亚马逊购物篮里放着一盏全新的飞利浦Hue灯。不久的将来，我将按下“立即购买”按钮。
这个故事最初发表在个人电脑杂志数码版．
