智能時代，安全問題面臨新威脅

智能時代，安全問題面臨新威脅

進入信息新時代，除了人工智能以外，最近，有兩個話題很活躍。一是隨著5G時代的到來，物聯網已經和我們越來越近。二是蘋果新品發布iPhone X，新功能“Face ID”讓人們驚嘆刷臉時代的來臨。

期間，隨著物聯網、生物識別信息等新技術的興起和由此帶來的產業變革，信息安全問題日益凸顯，信息安全正在告別傳統的病毒感染、網站被黑及資源濫用等階段，邁進了一個復雜多元、綜合交互的新時期。一起看看國外媒體如何看待這個問題。

刷臉時代，不得不面對的安全問題

對于果粉來說，今年秋季蘋果的新品發布會是值得期待的，這次發布的iPhone X采用幾乎覆蓋整個正面的全面屏，而且沒有了Home鍵，解鎖手機就靠面部識別。蘋果對iPhone X使用的面部識別取名叫“Face ID”，在開鎖時用戶只需要看著手機，就能實現“刷臉”解鎖和支付。

對此變化，質疑聲隨之而來。據外媒報道，一位來自美國參議院的隱私部門官員表示，希望蘋果公司能夠對這一技術進行詳細的說明，解釋它究竟是怎樣工作的。其中最重要的一個問題就是，蘋果是否會通過面容 ID 功能來收集用戶的面部信息，造成數據的濫用。

蘋果軟件部門高級副總裁Craig Federighi 在接受TechCrunch 采訪時表示：“我們不會收集用戶的數據。在使用面容ID 功能時，一切的信息數據都會保留在用戶自己的設備之中，我們不會把它們上傳到云端進行更深度的信息識別訓練。”

同時，蘋果方面也對前面那位參議員的要求作出了書面回應：通過TrueDepth攝像系統和最新的A11 仿生芯片，蘋果的面容ID 功能可以實現安全而直接的面部識別，對用戶的面部數據進行精準的識別和匹配。一方面，面容ID 數據永遠不會離開用戶的設備，它們會由“安全區域”進行加密和保護。另一方面，目前，已經對來自不同的國家和地區、不同種族文化的用戶進行了面容ID 功能的測試。在對超過10 億張人像進行神經網絡方面的深度學習之后，可以很好地防范各種欺詐行為。

盡管如此，在面對新事物的時候，擔憂和質疑也是難免，網友的評論一浪接一浪。“以后朋友讓我幫看看這件衣服怎么樣，我一瞅屏幕，支付成功了”“半夜老婆趁我睡覺解鎖手機怎么辦”，甚至，為防止晚上睡覺被盜刷，一款售價28元的淘寶防面部識別解鎖面罩已經在朋友圈流傳。

人們的擔憂雖然有調侃的成分，然而，卻并不是杞人憂天。指紋、虹膜、面部識別等生物信息具備唯一性，它們被盜用可能比傳統的密碼盜號方式影響更大。所以，不僅僅網友們熱衷討論此事，專家也早已提出他們的擔憂。

曾經，在USENIX 安全論壇上，來自北卡羅萊納大學的研究人員展示了他們的3D 臉部建模系統。使用這套系統，研究者們可以直接從 Facebook、 Google + 等社交網絡上獲取任何人的照片素材，并利用其在 VR 環境中建立 3D 模型，對面部識別系統進行解鎖。

在這次試驗中，研究人員共測試了 5種來自 iOS 與 Android 平臺上的刷臉解鎖軟件，選取了 20 名志愿者并在其社交網絡上挑選 3 到 27 張不等的照片用于建模。最終結果顯示，5 個產品中只有 1 個破解效果不理想，其余 4 個則有 55% 至 85%的解鎖率。

當時，專家指出，一般來說，防騙性能比較差的面部識別，用普通照片與視頻就可破解。研究者首先會使用軟件分析社交網絡上的照片的面部關鍵特征，利用標記的關鍵點進行建模。經過一系列的努力，再把模型放入手機端的虛擬現實系統中，可以讓頭部模型自然地活動，并展示深度信息。然后，相對弱的刷臉解鎖軟件就會把這個手機屏幕上的 3D 模型誤認為是真人。不過，密歇根州立大學教授 Anil Jain表示：先進的傳感器和識別機制可以解決這個問題。比如，若采用人臉的紅外信號，這種 VR 3D 模型顯然很難復制。所以，當iPhone X開始大規模使用時，Face ID技術是否足夠安全和便捷目前還不得而知。但是，不容置疑的是，隨著刷臉時代的到來，需要接受的考驗第一關就是安全，并將迎來越來越先進的刷臉設備，以保護我們的信息安全。

物聯網時代，藍牙傳輸的嚴重漏洞

美國時間 9 月 12 日，物聯網安全初創公司 Armis 在官網上公布了一種新型物聯網攻擊手段:BlueBorne。幾乎所有聯網設備都可能受其威脅。只要目標設備擁有藍牙功能，BlueBorne 攻擊手段就不需要目標用戶進行任何交互操作，不需要任何的前提條件或配置，就能對目標設備進行空中攻擊。而且，支持藍牙功能的設備會不斷地從周圍搜尋可接入的連接，而不僅僅是那些已經配對的連接。

“這些沉默式的攻擊對于傳統的安全控制和程序是不可見的，公司不會在環境中監控這些類型的設備到設備的連接，所以他們看不到這些攻擊或阻止他們。”Armis CEO Yevgeny Dibrov在一份聲明中表示，“這項研究說明了我們在這個新的關聯時代面臨的各種威脅。”

據DeepTech報道，BlueBorne是利用 8 個藍牙傳輸協議漏洞（Bluetooth）對設備進行空中攻擊和傳播的。Armis 這次披露的漏洞能影響運行在 Android、Linux、Windows 操作系統上的所有設備，還包括 IOS 10 之前版本的所有設備。這意味著幾乎所有運行在這些操作系統上的電腦、移動設備、智能電視或其他物聯網設備都面臨著這 8 個漏洞中至少一個的威脅。

“這些沉默式的攻擊對于傳統的安全控制和程序是不可見的，公司不會在環境中監控這些類型的設備到設備的連接，所以他們看不到這些攻擊或阻止他們。”

——Armis CEO Yevgeny Dibrov

Armis 的研究人員還擔心，這次發現的漏洞只是冰山一角，藍牙傳輸協議里還存在著大量尚未被發現的漏洞。建議 Windows 用戶和 Linux 用戶查看最新最準確的安全更新信息。安卓用戶可以去Google Play 上下載 Armis 開發的 BlueBorne Scanner 應用。IOS 用戶應該將系統版本升級到 IOS 10。

不僅如此，包括許多藍牙智能鎖也都存在安全缺陷，會被非法用戶打開，但問題并不出在藍牙標準本身，而出在它們實施藍牙標準的方式上。

去年，據TomsGuide網站報道，一名安全研究人員在DEF CON黑客會議上表示，許多藍牙LE智能鎖都會被攻破，被非法用戶打開，但相關廠商似乎無意采取什么措施。

電氣工程師安東尼·羅斯(Anthony Rose)表示，在他及其同事本·拉姆齊(Ben Ramsey)測試的16款藍牙智能鎖中，在遭到無線攻擊時12款會被打開。羅斯表示，“我們在藍牙智能鎖中發現了安全缺陷，然后與相關廠商進行了聯系，廠商似乎對此無動于衷。我們與12家廠商進行了接洽，只有一家有回應，‘我們知道這是個問題，但我們不會修正它。’”

問題不在于藍牙LE協議本身，而在于這些智能鎖實施藍牙通信的方式，或配套的智能手機應用。例如，4款智能鎖以明文方式向智能手機傳輸用戶密碼，使得任何用戶都可以利用價值100美元(約合人民幣666元)的藍牙嗅探器方便地截取密碼。

所以，正如DeepTech報道的那樣，“傳統的安全措施只能阻止通過互聯網 IP連接進行傳播的黑客攻擊。隨著物聯網設備數量的不斷增長，我們迫切需要新的解決方案來應對這種新型物聯網空中攻擊手段，特別是那些要將內網進行物理隔絕的機構。”

（本文根據TechCrunch、DeepTech、TomsGuide等匯編；整理/陶春）