建站
咨詢
售后
建站咨詢
新聞中心
10月24-25日，由KEEN Team主辦的GeekPwn2015極棒嘉年華與極棒安全峰會在上海成功舉行。記者有幸目睹了這場精彩炫酷的黑客大賽。本屆大賽中，有40多款主流智能設(shè)備成為選手攻破對象，其中不乏360、小米、華為在內(nèi)的各大廠商的主流智能產(chǎn)品。
在比賽現(xiàn)場，隨著一款款智能設(shè)備被Pwned，記者的心情變得越發(fā)沉重。尤其當(dāng)智能路由器大擂臺上的十款主流智能路由器被攻破時，記者感到憂心忡忡。還有什么是安全的呢?這些智能設(shè)備真的這么不安全么?用戶該如何防御呢?于是，記者帶著諸多疑問在現(xiàn)場采訪了參與智能路由破解項目的選手——來自北京長亭科技有限公司(以下簡稱：長亭科技)的楊坤。
長亭科技首席安全研究員及聯(lián)合創(chuàng)始人 楊坤
楊坤是長亭科技首席安全研究員及聯(lián)合創(chuàng)始人，也是曾帶領(lǐng)藍蓮花戰(zhàn)隊連續(xù)三次闖入DEFCON CTF總決賽的隊長，主要研究軟件漏洞挖掘和利用技術(shù)。在此次極棒活動中，他即是黑客大賽的參賽選手又是安全峰會的演講嘉賓。
10月24日，楊坤帶領(lǐng)長亭科技團隊共參與了三個項目的比賽，并最終獲得32萬元的獎金。這三個項目分別為：智能攝像頭，達派/威士POS機以及Newifi mini智能路由器。
長亭科技參賽的三個項目
楊坤表示，之所以選擇這三個項目參加比賽，是因為這些智能設(shè)備對廣大用戶來說安全需求較高。例如：智能攝像頭涉及到用戶的隱私安全;POS機涉及到用戶的財產(chǎn)安全;而智能路由器是網(wǎng)絡(luò)的一道關(guān)口，其安全需求自不必說。一旦關(guān)卡失守，黑客攻破路由器后即可執(zhí)行諸如網(wǎng)站訪問劫持，下載安裝惡意軟件，掛馬，植入后門等多種惡意操作，通過該路由接入的設(shè)備將會無一幸免。彼時，用戶將面臨很大的安全威脅。
在互聯(lián)網(wǎng)+快速發(fā)展的時代，智能路由器是連接各種互聯(lián)終端的中心，所有終端產(chǎn)生的交互信息和數(shù)據(jù)都要經(jīng)過它，是現(xiàn)代家庭和中小企業(yè)的必備智能硬件，其安全性不容忽視。那么，在大賽中十款暢銷主流智能路由器被攻破，這是不是意味著企業(yè)網(wǎng)絡(luò)當(dāng)今面臨著巨大的安全威脅?
對此，楊坤認為，路由器的安全性確實非常重要。然而，無論哪款路由器都存在一定的風(fēng)險，不可能有絕對的安全?？墒牵蠹乙膊槐匾虼硕萑肟只?。因為，在黑客大賽現(xiàn)場，對智能路由器的漏洞進行攻擊的演示是有前提的，即是：黑客要能夠接入這個網(wǎng)絡(luò)，才能發(fā)起攻擊。在企業(yè)以及家庭網(wǎng)絡(luò)中，因為路由器會為用戶提供隔離保護，將內(nèi)網(wǎng)與外網(wǎng)隔離，阻止攻擊者進入，保護路由器內(nèi)的軟件不會暴露到黑客面前。因此，即便存在漏洞，只要黑客不能進入內(nèi)網(wǎng)，就無法發(fā)起攻擊。此外，發(fā)動如現(xiàn)場演示中的攻擊，還可以采用另一種方式，就是通過中毒的PC、手機等終端過度，從而實現(xiàn)攻擊的目的。當(dāng)中毒的終端設(shè)備接入內(nèi)網(wǎng)，可能會導(dǎo)致內(nèi)網(wǎng)中包括路由器在內(nèi)的設(shè)備受到黑客攻擊。
楊坤建議，對于企業(yè)來說，最好的防御方式就是部署安全策略，做好內(nèi)網(wǎng)安全防護管理。盡可能避免讓攻擊者接觸企業(yè)內(nèi)網(wǎng)，降低企業(yè)安全風(fēng)險。另外，企業(yè)需規(guī)范化辦公區(qū)域內(nèi)電腦上的軟件管理，并對員工進行安全培訓(xùn)，普及安全防護知識，莫要隨便安裝軟件。最終，降低路由器被黑客攻擊的風(fēng)險。對于一般的家庭網(wǎng)絡(luò)用戶來說，也要加強安全意識，避免胡亂下載軟件導(dǎo)致中毒事件的發(fā)生。
后記
在采訪過程中，楊坤表示，在此次的極棒活動中，自己即是參賽者又是演講嘉賓，還是長亭科技的聯(lián)合創(chuàng)始人。作為參賽者，可以為觀眾展示真實的漏洞，讓人們明白漏洞會導(dǎo)致怎樣的后果，讓智能設(shè)備廠商更加注重產(chǎn)品的安全。做為演講嘉賓，他希望可以分享自己通過CTF大賽獲得的漏洞挖掘的技巧和經(jīng)驗。做為長亭科技的聯(lián)合創(chuàng)始人，這個他最喜歡的身份，以后將會為更多的客戶解決問題，提出安全建議，提供安全服務(wù)與安全產(chǎn)品。
據(jù)楊坤介紹，長亭科技現(xiàn)在主要為企業(yè)的在線業(yè)務(wù)系統(tǒng)提供安全測試服務(wù)，包含免費測試服務(wù)與深度測試服務(wù)兩種服務(wù)方式。任何企業(yè)通過簽訂一個零元合同后，都可以做一次免費安全測試服務(wù)。根據(jù)初步測試的結(jié)果，企業(yè)可以選擇是否做深度測試。深度安全測試是收費服務(wù)，具體價格根據(jù)網(wǎng)站的規(guī)模和具體測試的目標來決定。另外，除SQL注入檢測與防御引擎SQLChop以外，公司還在研發(fā)防范XSS攻擊，腳本上傳攻擊等威脅的安全產(chǎn)品。
網(wǎng)頁標題：長亭科技楊坤:智能路由器遭破解企業(yè)內(nèi)網(wǎng)安全需加強
本文URL：http://m.jiaoqi3.com/article/dppophd.html
