到2018年底，已连接的IoT设备
数量超过220亿 。 在地球上的76亿人口中，有40亿人可以使用Internet。 事实证明，每个人都有5.5个物联网设备。
从IoT设备连接到网络到第一次攻击之间，平均
大约需要5分钟 。 此外，对智能设备的大多数攻击都是
自动化的 。
当然，如此可悲的统计数字不会给网络安全领域的专家留下深刻的印象。 国际非营利组织OWASP（开放Web应用程序安全项目）在2014年就开始关注物联网的安全性，发布了OWASP Top 10 IoT的第一版。 2018年发布了具有更新威胁的更新版本的“
物联网设备十大漏洞 ”。 该项目旨在帮助制造商，开发人员和消费者了解IoT安全问题，并在创建IoT生态系统时做出更明智的信息安全决策。
10.物理安全性不足。
缺乏物理保护措施，使潜在的攻击者可以获得机密信息，这在将来可以帮助实施远程攻击或获得对设备的本地控制。
物联网生态系统的安全挑战之一是其组件分布在空间中，并且通常安装在公共或不安全的位置。 这使攻击者可以访问设备并在本地进行控制，或使用它访问网络的其余部分。
攻击者可以复制设置（IP网络，MAC地址等），然后将其设备代替原始设备，以监听或降低网络性能。 它可以入侵RFID阅读器，设置硬件书签，感染恶意软件，窃取必要的数据，或者只是在物理上禁用IoT设备。
解决此问题的方法是-使设备的物理访问复杂化。 它们可以安装在高处的保护区域或使用防破坏保护的机柜。
9.不安全的默认设置
设备或系统具有不安全的默认设置，或者无法通过限制用户更改配置来使系统更安全。
任何制造商都希望获得更多而更少的花费。 该设备可以实现许多智能功能，但是无法配置安全性。
例如，它不支持检查密码的可靠性，无法创建具有各种权限的帐户-管理员和用户，没有用于加密，登录和通知用户安全事件的设置。
8.无法控制设备
缺乏对生产中部署的设备的安全支持，包括资产管理，更新管理，安全停用，系统监视和响应。
物联网设备通常是一个黑匣子。 他们尚未实现监视工作状态，识别正在运行的服务以及与之交互的功能。
并非所有制造商都能为IoT设备的用户提供对操作系统和正在运行的应用程序的完全控制，以及检查已下载软件的完整性和合法性或在OS上安装更新补丁。
在攻击过程中，可以重新配置设备的固件，以便仅通过完全刷新设备即可对其进行修复。 例如，
Silex恶意软件使用了类似的缺点。
这些问题的解决方案可以是使用专用软件来管理物联网的设备，例如，云解决方案AWS，Google，IBM等。
7.不安全的数据传输和存储
缺乏对生态系统中任何地方的敏感数据的加密或访问控制，包括在存储期间，传输期间或处理期间。
物联网设备收集并存储环境数据，包括各种个人信息。 可以替换受破坏的密码，但从生物特征识别设备窃取的数据-指纹，视网膜，面部生物特征识别-否。
同时，物联网设备不仅可以存储未加密形式的数据，还可以通过网络传输数据。 如果可以以某种方式解释在本地网络中的数据传输，那么在无线网络或Internet传输的情况下，它可以成为任何人的财产。
用户本人可以使用安全的通信通道进行数据传输，但设备制造商应注意对存储的密码，生物特征数据和其他重要数据进行加密。
6.隐私保护不足
用户在存储在设备或生态系统中的个人信息被不安全，不正确或未经许可使用。
此TOP-10项与前一项相呼应：所有个人数据必须以安全的方式存储和传输。 但是本段从更深的意义上考虑了隐私，即从保护隐私秘密的角度。
物联网设备收集有关周围物体和周围人的信息，其中包括不知情的人。 被盗或处理不当的用户数据可能会无意间使一个人失信（例如，当配置不当的公路摄像机暴露出不忠实的配偶时），并且可以用于勒索。
要解决该问题，您需要确切地知道IoT设备，移动应用程序和云接口收集了哪些数据。
您需要确保仅收集设备运行所需的数据，以检查是否有存储个人数据的权限，是否受到保护以及是否规定了数据存储策略。 否则，如果未遵守这些条件，则用户可能会遇到法律问题。
5.使用不安全或过时的组件
使用过时或不安全的软件组件或库可能会危害您的设备。 这包括操作系统平台的不安全配置，以及来自受损供应链的第三方软件或硬件组件的使用。
一个易受攻击的组件可以否定所有已配置的安全性。
在2019年初，专家
Paul Marrapiz发现了iLnkP2P P2P实用程序中的漏洞，该实用程序安装在连接到网络的超过200万个设备上：IP摄像头，婴儿监视器，智能门铃和DVR。
第一个漏洞
CVE-2019-11219允许攻击者识别设备，第二个漏洞是iLnkP2P
CVE-2019-11220中的身份验证漏洞-明确拦截流量，包括视频流和密码。
几个月来，Paul向公用事业的制造商
求助了三遍，向公用事业的开发商求助了两次，但从未收到他们的答复。
解决此问题的方法是监视安全补丁的发布并更新设备，如果没有发布，请更换制造商。
4.缺乏安全的更新机制
无法安全更新设备。 这包括缺少设备上的固件验证，缺少安全交付（在传输过程中没有加密），缺少防止回滚的机制以及缺少有关由于更新导致的安全性更改的通知。
无法更新设备本身是安全漏洞。 无法安装更新意味着设备在不确定的时间内仍然容易受到攻击。
但是此外，更新本身和固件也可能不安全。 例如，如果未使用加密通道接收软件，未加密更新文件或未在安装前检查更新文件的完整性，没有防回滚保护（防止返回到更易受攻击的先前版本的保护），或者没有有关更新导致安全性更改的通知。
解决此问题的方法也是制造商方面的问题。 但是您可以检查设备是否完全可以更新。 确保通过加密通道从已验证的服务器下载更新文件，并且您的设备使用安全的更新安装体系结构。
3.不安全的生态系统接口
设备外部生态系统中的不安全Web界面，API，云或移动界面，这使您可以破坏设备或其相关组件。 常见问题包括缺少身份验证或授权，缺少加密或弱加密以及缺少输入和输出过滤。
使用不安全的Web界面，API，云和移动界面，即使不连接设备，也可能危及设备或其相关组件。
例如，
梭子鱼实验室对“智能”摄像头之一的移动应用程序和Web界面进行了分析，发现了一些漏洞，这些漏洞可以获取物联网设备的密码：
- 移动应用程序忽略了服务器证书的有效性。
- 该Web应用程序容易受到跨站点脚本的攻击。
- 可以绕过云服务器上的文件。
- 设备更新不受保护。
- 设备忽略服务器证书的有效性。
为了保护，有必要更改默认用户和密码，并确保Web界面不受跨站点脚本，SQL注入或CSRF攻击。
另外，应实施防止暴力破解密码的保护措施。 例如，在三次尝试错误输入密码后，该帐户应被阻止，并且只能通过硬件重置来恢复密码。
2.不安全的网络服务
在设备本身上运行的不必要或不安全的网络服务，尤其是向外部网络开放的网络服务，会危害机密性，完整性，真实性，信息可访问性或允许未经授权的远程控制。
不必要或不安全的网络服务会危害设备的安全性，尤其是当它们可以访问Internet时。
不安全的网络服务可能容易受到缓冲区溢出和DDoS攻击。 可以扫描开放的网络端口中的漏洞和不安全的连接服务。
迄今为止，最流行的IoT设备攻击和感染媒介之一是枚举非禁用
Telnet服务
和SSH上的密码。 在获得这些服务的访问权限之后，攻击者可以将恶意软件下载到设备上或获取有价值的信息。
1.密码薄弱，可猜测或硬编码
使用容易破解的，公开可用的或不变的凭据，包括固件或客户端软件中的后门程序，这些后门程序提供了对已部署系统的未授权访问。
令人惊讶的是，直到那时，最大的漏洞是使用弱密码，默认密码或泄露给网络的密码。
尽管显然需要使用强密码，但某些用户仍不更改默认密码。 在2019年6月，Silex恶意软件利用了这一优势，
在一小时内将其变成了大约2000种IoT设备的实体。
在此之前，著名的僵尸网络和蠕虫Mirai使用
61种标准登录密码组合的数据库，成功感染了60万个物联网设备。
解决的办法是更改密码！
结论用户购买物联网设备时，主要考虑的是其“智能”功能，而不是安全性。
确实，以同样的方式，当您购买汽车或微波炉时，我们希望该设备“
在设计上是
安全的 ”使用。
只要物联网的安全性不受法律约束（到目前为止，此类法律仅
处于制定
过程中 ），制造商就不会在其上花费额外的金钱。
事实证明，激励制造商的唯一方法不是购买易受攻击的设备。
为此，我们需要……考虑其安全性。