黑客们盯上了卫星，IOActive的惊人发现

【编者按】OpenSSL Heartbleed漏洞的出现，让我们不得不正视互联网的安全，我们生活的云计算时代，到处充斥着后门、漏洞、陷阱，近日ActiveIO针对卫星的安全性做出评估，结果发现包括民用、军用卫星的安全级别也并非想象的那么高，更可怕的是，很多设备并没有自动更新功能，供应商对此的态度也让人大为吃惊，本文来自Infoworld，下面看Roger A. Grimes 给我们带来的精彩解读。

以下为原文：

每当我听到诸如交通信号灯、汽车、火车或飞机是如何容易黑掉，我对此并不感到有多惊讶。原因很简单，正如数码世界里的大部分产品一样，它们并不是由对黑客攻击有着深刻理解的人设计的。

基于这样的假设，ActiveIO决定评估通信卫星的脆弱性。简而言之，他们的调查发现：

……恶意黑客可以侵入所有设备……漏洞包括后门、硬编码证书、未登记和/或不安全的协议、脆弱的加密算法。除了设计缺陷，IOActive还发现了设备的许多特性明显的造成安全风险。

这大概说明了一切，有人震惊了吗？

对于正规的民用卫星，遇到黑客攻击，你可能认为这后果可能不是灾难性的，那么，对于战时的军事卫星通信就有更高级别的安全防护吗？不一定。

IOActive开始了它的计划，他们通过下载公共卫星设备固件更新，然后进行逆向工程分析。他们分析的系统包括海事业务、个人通信、SCADA、语音、数据、航空以及军事方面。许多设备很少或根本没有安全防护。IOActive的报告列出供应商和测试的产品，以及发现的漏洞。

作为负责任的组织，IOActive不会公开漏洞的细节。相反，它还会和CERT以及相关卫星供应商加快修复工作。但如果攻击如IOActive报告指出的那样根深蒂固的，并且容易发现，或许你不需要一个火箭科学家或者黑客就可以发现利用。

是的，这可能意味着大多数政府（包括美国国家安全局――我们总是包括国家安全局）知道并且事实上滥用了这些漏洞。那么问题是：这些漏洞到底造成的危害有多大或是在什么情况下会爆发？IOActive报告推测攻击者可能禁用或改变卫星系统发送虚假遥测信号给船舶或飞机。

修复卫星的这些问题并不容易，而且非常慢。首先，大多数的卫星可能都有漏洞，并且很容易被发现。甚至大多数有巨大的设计缺陷，同样很难修复，但是问题是：没有客户投诉或者没被黑客攻击，供应商们为什么要修复呢？

因此我的猜测是：大部分的这些漏洞将依然存在。我敢打赌许多厂商推出的新产品中仍然隐含这些漏洞，他们通常使用相同的代码，正如IOActive检查和报告过的那样。

如果你认为我是在嘲讽供应商们的反应，那么你就错了，至少一半的供应商要么不对我们的沟通做出回应，要不很长时间干脆什么也不做。只有非常少的供应商会对新的威胁采取实际行动。

更大的问题是，正如OpenSSL Heartbleed漏洞的问题，即使供应商发布的固件更新。但是许多卫星设备缺乏自动更新机制，可想而知，这些漏洞将永远存在，如果没有任何内置的自动更新功能，很多用户不知道它们需要更新或如何更新。

我们应该要求所有新的数码设备定期自动更新，这应该是任何一个新设备优先考虑的。否则我们将继续发现设备包含巨大的从未修复过的安全漏洞，黑客们太喜欢这类场景了。

原文链接：The sky is falling! Hackers target satellites （编译/魏伟 审校/仲浩）

以“ 云计算大数据 推动智慧中国 ”为主题的 第六届中国云计算大会 将于5月20-23日在北京国家会议中心隆重举办。产业观察、技术培训、主题论坛、行业研讨，内容丰富，干货十足。票价优惠，马上 报名 ！ 

生活不易，码农辛苦
如果您觉得本网站对您的学习有所帮助,可以手机扫描二维码进行捐赠