『商讯』聚焦物联网设备固件安全风险，TinyScan帮您全面检测
随着物联网终端数量的跳跃式增长 ， 物联网安全相关法规和标准的逐渐落地 ， 低资源嵌入式设备固件安全也会被逐渐重视起来 。 TinyScan作为端到端IoT安全检测平台 ， 真正做到了从源头扫描和挖掘隐藏的敏感信息和安全隐患 ， 不论是固件开发者或是固件使用者 ， 都能通过本工具掌握指定固件的安全情况 ， 并进行针对性的防御或规避 ， 进而降低由于固件漏洞引发的物联网安全问题数量 。
【『商讯』聚焦物联网设备固件安全风险，TinyScan帮您全面检测】
本文插图
4月1日青莲云正式推出IoT安全检测平台以来 ， 平台注册企业97家 ， 检测企业71家 ， 累计扫描次数457次 ， 累计发现安全风险1992个 ， 高危风险135个 ， 中危风险546个 ， 低危风险1311个 ， 其中固件安全风险数占总安全风险数的三分之一 。
物联网时代 ， 往往采用感知、传输、应用三层结构模型 ， 分布在三层中的传感器、网关和控制器等嵌入式设备 ， 引入了大量新的安全问题：
· 系统安全 。 目前主流的嵌入式操作系统仍以Linux或Linux衍生物为主 ， 不同企业根据其产品需求和特性对Linux系统进行定制化的裁剪和开发 。 然而由于嵌入式设备资源受限的情况客观存在 ， 很难将现有的安全防护方案完整移植至物联网设备中 。
· 组件安全 。 由于嵌入式设备采用Linux作为操作系统 ， 必然会使用众多开源组件 ， 一些开源组件在C/S模式下被隐藏的问题 ， 有可能会在物联网时代被重新发掘、利用 。 由于同一时间内空间中存在大量相同的物联网设备 ， 若在出现漏洞后不及时对设备固件升级 ， 则有可能造成重大损失 。
· 研发安全 。 在互联网时代 ， 客户端无法直接访问、控制服务端 ， 而这种现象在物联网时代发生了改变 。 用户通过开源逆向工具 ， 很容易获得设备固件中遗留的配置文件、明文信息 ， 进而直接获得设备的访问权限 ， 对大量同规格设备产生威胁 。
针对以上问题 ， TinyScan从以下维度自动化对固件进行安全分析 ， 最后 ， 将分析结果以报告形式输出 。
1. 文件系统服务安全分析
自动扫描、获取固件文件系统基本信息 ， 包括文件系统CPU架构、创建时间、压缩方式、类型、大小、存储模式;通过获取文件系统基本信息 ， 能够明确扫描目标类型 ， 进而切换不同扫描引擎进行针对性扫描 。
2. 系统&服务分析
定向扫描、获取系统服务信息 ， 包括系统服务路径和MD5值;通过获取系统服务信息 ， 可以得知系统服务自启动情况 ， 能够快速获知自启服务中是否存在未知恶意脚本等信息 。
3. 组件&软件安全分析
定向扫描、获取系统组件&软件信息 ， 包括组件&软件路径、描述、网址;通过获取组件&软件信息 ， 能够快速获知固件中安装的组件&软件版本信息 ， 进而针对性进行安全扫描 。
4. 用户密码检索
定向扫描、获取用户密码信息 ， 包括密码相关文件路径、密码信息;通过用户密码检索 ， 能够暴露固件中因为开发不规范导致的密码信息泄露 。
5. 加密认证安全分析
自动扫描、获取加密认证文件信息 ， 包括加密认证文件路径、加密信息;通过加密认证检测 ， 能够暴露固件中由于开发不规范导致的加密认证信息泄露 。
6. 敏感信息安全分析
自动扫描、获取固件中的可疑敏感信息包括但不限于：硬编码Token/key、配置型硬编码密码、硬编码IP、硬编码HTTP地址、缓存文件泄漏等 ， 能够暴露固件中由于开发不规范导致的敏感信息泄露 。
7. CVE漏洞检测
快速检测文件系统中存在的CVE漏洞信息 ， 包括CVE-ID、发布时间、描述、等级;通过CVE漏洞检测 ， 能够获取当前扫描固件中安装的软件的最新CVE漏洞信息 。
推荐阅读
- 畜牧业@畜牧互联网再次引爆：阿里养猪，京东养鸡，快看大佬们都在干嘛
- 【美好，一直在身边】加快工业互联网与制造业融合，遂宁开启工业互联网时代→
- [手机中毒者]真相了！活下来的互联网手机品牌清一色的富二代
- 「Ultrasone」“互联网电视”到底意味着什么？VIDAA品牌交出答卷
- 「全媒体聚焦」要和高通说再见了，谷歌宣布一大消息，华为又将迎来对手
- 『瑞幸』“瑞幸造假”深思：为何大多数互联网公司没有价值观，只有方法论？
- 「画面」大画面+智能系统 商务投影助力高效办公
- 「任何人」马云：花钱比挣钱难 任何人不能彻底摆脱互联网
- 『』新家装不是“避风港”，而是“出海口”
- 「互联网」互联网医疗巨头市值屡创新高 盈利模式成难题？