在过去几年里，研究人员在看似基本的代码中发现了数量惊人的漏洞，这些代码是设备与互联网通信的基础。现在，沐鸣开户测速一套新的9个此类漏洞暴露了全球约1亿台设备，其中包括一系列物联网产品和IT管理服务器。然而，研究人员急于回答的一个更大的问题是，随着越来越多的此类漏洞堆积起来，如何激发实质性的变化，并实施有效的防御措施。

这些新发现的漏洞被命名为Wreck，它们存在于四个无处不在的TCP/IP协议栈中，这些代码集成了网络通信协议，用于在设备和互联网之间建立连接。这些漏洞存在于操作系统中，比如开源项目FreeBSD，以及工业控制公司西门子(Siemens)的Nucleus NET，都与这些堆栈如何实现“域名系统”互联网电话簿有关。它们都可以让攻击者使设备崩溃并离线，或者远程控制设备。这两种攻击都有可能对网络造成严重破坏，特别是在关键的基础设施、医疗保健或制造环境中，渗透到连接的设备或IT服务器可以破坏整个系统，或作为深入挖掘受害者网络的有价值的起点。

安全公司Forescout和JSOF的研究人员发现的所有漏洞现在都有补丁可用，但这并不一定会转化为实际设备上的补丁，这些设备通常运行较旧的软件版本。有时，制造商没有创建更新此代码的机制，但在其他情况下，他们不生产运行该代码的组件，而且根本没有控制该机制。

广告

“这些发现,我知道它看起来像我们只是把问题表,但是我们真的试图提高认识,与社区合作,并找出解决这个问题的方法,”Elisa Costante说Forescout研究部的副总裁,已经做了其他类似的研究通过它调用项目记忆。“我们分析了超过15个TCP/IP协议栈，既有私有的也有开源的，我们发现在质量上并没有真正的区别。但这些共性也很有帮助，因为我们发现它们有相似的弱点。当我们分析一个新的堆栈时，沐鸣开户测速我们可以查看这些相同的地方，并与其他研究人员和开发人员分享这些共同的问题。”

研究人员还没有看到证据表明攻击者正在积极利用这类漏洞。但是，根据众多不同的研究结果，数以亿计，甚至数以亿计的设备可能受到影响，暴露在辐射下是非常重要的。

西门子美国首席网络安全官Kurt John在一份声明中告诉《连线》杂志，该公司“与政府和行业合作伙伴密切合作，以减少漏洞……在这种情况下，我们很高兴与Forescout这样的合作伙伴合作，以快速识别和减少漏洞。”

研究人员与发布补丁的开发人员、国土安全部(Department of Homeland Security)的网络安全和基础设施安全局(Cybersecurity and Infrastructure Security Agency)以及其他漏洞追踪组织协调披露漏洞。由Forescout和JSOF在其他专有和开源TCP/IP协议栈中发现的类似缺陷已经被发现，暴露了全球数亿甚至可能数十亿的设备。

问题经常出现在这些无处不在的网络协议中，因为它们在很大程度上是随着周围技术的发展而传承下来的。基本上，因为它没坏，没人修它。

物联网安全公司红气球安全(Red Balloon security)的首席执行官崔昂(Ang Cui)说:“不管怎样，这些设备里的代码都是20年前人们写的——用的是20年前的安全心态。””和它的工作原理;它永远不会失败。但是一旦你把它连接到互联网上，它就不安全了。这并不奇怪，因为在过去的20年里，我们不得不重新思考如何为通用计算机提供安全保障。”

这个问题在这一点上是臭名昭著的，这是一个安全行业一直无法消除的问题，因为漏洞重重的僵尸代码似乎总是重新出现。

“自上世纪90年代以来，有很多例子无意中重现了这些低级的网络漏洞，”公开加密审计项目(Open Crypto Audit Project)联席主管肯尼•怀特(Kenn White)表示。“这在很大程度上是因为缺乏真正关注代码质量的经济激励。”

关于研究人员发现的新漏洞，有一些好消息。尽管补丁可能不会在短时间内完全激增，但它们是可用的。还有一些权且可行的缓解措施可以减少暴露，即避免让尽可能多的设备直接连接到互联网，并使用内部DNS服务器路由数据。Forescout的Costante还指出，开采活动是相当可预测的，这使得利用这些缺陷的企图更容易被发现。

当谈到长期解决方案时，对于所有参与这些供应链和产品的供应商、制造商和开发人员来说，没有快速的解决方案。但是Forescout已经发布了一个开源脚本，网络管理人员可以使用该脚本来识别其环境中潜在的易受攻击的物联网设备和服务器。该公司还维护着一个开放源代码数据库查询库，研究人员和开发人员可以利用它更容易地找到与dns相关的类似漏洞。

“这是一个普遍存在的问题;这不仅仅是一种特定设备的问题，”Costante说。不仅是廉价的物联网设备。越来越多的证据表明这种现象有多普遍。这就是为什么我们一直努力提高人们的意识。”