今天日本网络安全公司趋势科技发布了一份关于物联网安全状况的报告。该公司发现两种领先的机器对机器（M2M）协议存在固有的设计问题，并且经常以不安全的方式进行部署。根据趋势科技的报告“工业物联网数据骨干的脆弱性”揭示了问题在于两种流行的M2M协议，分别是消息队列遥测传输协议（MQTT）和约束应用协议（CoAP）。这两种协议经常用于物联网设备，特别是在工业环境中使用的设备。
该报告由研究人员Federico Maggi和Rainer Vosseler撰写，他们指出，使用简单的关键字搜索，攻击者能够找到暴露的物联网服务器和broker，并通过此暴露点可以泄漏超过2亿条MQTT消息和1900万条CoAP消息。然后攻击者可以把拒绝服务攻击和进行针对性的攻击作为武器来从事工业间谍活动。
趋势科技在农业和医疗保健领域找到了被暴露的信息。研究人员从智能农场发现了4,310份与农业有关的记录。其他记录包含救护车的准确位置，以及附在患者身上的监控设备的数据 和其相关联的电子邮件地址和位置信息。在趋势科技获得的消息中，4,627,973个包含私有IP地址。其中219人拥有如12345这样的高风险密码。
物联网安全
MQTT经常在工业物联网中使用，但研究人员报告说该协议也经常用于群件工具和消息应用程序，比如最着名的是Facebook Messenger。在进行研究时，趋势科技在Android应用程序Bizbox Alpha中发现了一个信息暴露的实例，该应用程序在四个月内泄露了55,475条消息。其中18,000封是电子邮件。
趋势科技网络安全副总裁Greg Young在一份声明中说，“我们今天在物联网设备中使用的两种最普遍的消息传递协议中发现的问题，应能督促相关组织对其OT环境的安全性进行认真且全面的审视。”
他补充道，“这些协议的设计并未考虑到安全性，这些问题都可以在应用广泛的关键任务环境和用例中找到。这代表了主要网络的安全风险。拥有适度资源的黑客可以利用这些设计缺陷和漏洞进行侦察，横向移动，隐藏数据窃取和拒绝服务攻击。”
这是一个令人不安的消息。2017年估计安装了价值84亿美元的物联网设备，我们几乎可以肯定这只是触及了安全噩梦的一角。为了减轻此威胁，趋势科技建议相关组织删除不必要的M2M服务，同时监控现有设备以确保它们不会泄露私人数据。
