10月10日至10月11日，由腾讯安全发起、腾讯安全科恩实验室与腾讯安全平台部联合主办，腾讯安全学院协办的2018腾讯安全国际技术峰会(TenSec2018)在深圳顺利举办。

　　作为前沿技术安全研究团队代表，腾讯安全平台部总监、Tencent Blade Team负责人胡珀在会上进行了分享。Tencent Blade Team近年来在智能设备安全研究方面积累了大量成果，包括发现首个谷歌TensorFlow AI框架漏洞、远程操控智能家居与商业楼宇、破解亚马逊智能音箱Echo等。在胡珀看来，到了物联网时代，被黑客攻击，带来的问题不单只是损失资料或财产，还很可能危害生命安全，而Tencent Blade Team的研究工作正是对IOT领域安全问题的事前布局和未雨绸缪。

　　同时，胡珀也向参会嘉宾介绍了腾讯TSRC平台漏洞奖励计划。腾讯TSRC作为全国首家企业自建的漏洞提交平台，通过奖励反馈系统漏洞的安全研究人员(俗称“白帽子”)，逐渐搭建出一个健康运转、良性循环的生态系统，与“白帽子”们一同捍卫全球亿万用户安全。

　　腾讯安全平台部总监、Tencent Blade Team负责人胡珀

　　以下为胡珀发言全文：

　　胡珀：非常高兴今天能到讲台上跟大家分享腾讯安全平台部在IOT安全方面的工作，也非常荣幸。先做一个自我介绍，我是胡珀(外号lake2)，在腾讯安全平台部负责运维安全领域，简单来说就是负责黑客攻防对抗。2007年加入腾讯安全平台部后，我一直在从事腾讯平台的安全工作。2007年到2010年，这段时间我们重点放在网址检测、数据保护、反入侵，尤其是IDC的黑客入侵，以及漏洞的发现和检查等。但随着互联网的发展，智能家居、智慧楼宇等大范围进入我们的生活，物联网产业、IoT智能设备迎来巨大发展，这块的安全问题在未来是非常重要的。

　　过去系统被黑客攻击，顶多是损失资料。到了支付时代，损失的可能是真金白银。到了物联网时代，很可能危害生命安全。如果黑客控制了物联网设备，很可能会对我们的生命带来威胁。今天我主要讲的就是腾讯安全Blade团队对智能安全方面的研究工作。

　　Tencnet Blade Team成军于去年，目前主要聚焦在AI安全、IOT、移动设备安全这块，大家也可以去我们的官网blade.tencent.com了解我们的研究成果。这次演讲的大概框架是四方面。第一，介绍IOT时代。第二，介绍TencentBlade Team的研究成果。第三，作为设备厂商怎么保证新兴产品的安全，怎么来做供应链。第四，总结。

　　首先说一下IOT时代。智能手机刚普及时，可能我们从来没有想过，几年之后居然还有越来越多的智能设备出现，从路由器、智能摄像头、智能楼宇、智能家居等等，数不胜数。

　　但智能设备的安全问题也确实不容忽视。从我们的经验来看，传统商场以前黑客很难接触到，但一旦设备联网之后，全球的黑客都可以尝试进行攻击，就容易出问题。就像看到现在新闻里说的，路由器被黑客利用，装上木马攻击别人。从2008年开始，这种黑客攻击事件愈演愈烈。

　　我们对去年腾讯DDoS数据进行了分析，PC及传统设备的攻击率是84%，新兴IOT设备的攻击率是16%。现在有大量的IOT设备可以上网，但对安全的重视不足，存在许多漏洞，导致大量设备被黑客控制进行攻击，趋势明显增加，大家有兴趣可以关注我们今年年底的行业报告，有大量的摄像头、路由器都被拿来做DooS攻击。

　　同时，从这些案例和数据当中，我们也能由点到面分析出全局形式。智能设备的链路经过演变，基本形成了稳定的架构。IOT设备可以用手机APP控制，在云端可能有交互，储存数据，通过云端下发指令。如果它出了问题，第一，手机APP可能会出问题;第二，IOT设备本身会被黑客控制;第三，云端出问题，可能是传统的黑客攻击，比如有一个命令注入，黑客就可以黑掉，然后逐步控制设备。

　　另外比较重要的是APP和IOT设备之间，或者IOT设备和云之间，通信协议也可能有问题，黑客可以通过流量劫持监管权限，我们分析的情况就是这样的，接下来我讲述的第二部分，Tencent Blade Team的研究成果里，很多案例都是基于这个架构发现的问题。

　　第一个案例，2014年有一个智能插座，可以用手机APP控制插座的开和关，还可以定时，有一系列的智能功能。但实际在测试过程中我们发现，通信协议有问题，简单来说就是认证有问题，要直接通过网络传输，只要我知道这个设备链接地址，就可以随意控制拿到权限，这个其实是有传输问题。

Tags：[db:TAG标签](121439)

转载请标注：SEO三人行——腾讯胡珀：IOT时代 白帽黑客以网为剑捍卫安全