人工智能+物聯網沒有安全,會出這三個大問題

發表時間:2018-03-23 10:07

人工智能中的深度學習,近年屢創佳績,首先是 Alpha Zero 在三大棋類(圍棋、西洋棋及日本将棋)成為世界第一,不但打敗人類,還遠遠把人類棋手抛在後面,更打敗其他的人工智能棋手(包括自家兄弟 AlphaGo Zero)。此外,在視覺辨識與語音識别更是超出人類辨識的水平,就連微軟最近也宣布中翻英的語意辨識(自然語言處理)能力也達成跟人類能力接近的水平,而這些佳績大大的震驚了人類,人工智能近幾年被大量重視。

  深度學習需要大量的數據與強大的運算力才可能達成高準确度仿真模型,而大量的數據,在很多方面就必須依靠物聯網的傳感器收集,透過網絡實時的傳輸集中到服務器;物聯網的系統,也需要靠人工智能做到正确的辨識、發現異常、預測未來,以提供好的服務。這也是為什麼工研院 IEK 與電子時報的研究單位都談到人工智能結合物聯網(AIoT)是接下來的重大發展,而這樣的發展,影響到各行各業,甚至會進行産業颠覆,也就是說,接下來 AIoT 服務,将在我們身邊大量出現。

  服務一多,AIoT 在各個層面(物-終端設備/聯-網絡聯機/網-雲端設備)安全的重要性就更加提高,必需處理或預防,以減少問題發生時造成的損失。接下來,本文将從三個層面(物-終端設備/聯-網絡聯機/網-雲端設備)來分别切入看可能造成的問題:

  1、終端設備在安全上有傳輸信息被看光光、設備被操控兩大問題。

  在終端設備上,很多使用者因為沒有修改設備商提供的原有管理員賬号/密碼(如 admin/admin、 root/r00t…等等),或是管理員的賬号/密碼很容易被猜出來,在被黑客在找到這台設備後,以管理員登入而擁有控制權,得到消費者的所有數據,可能讓消費者的相關隐私蕩然無存,例如,在家中穿得很少的清涼裝扮,就可能透過聯網攝影機傳到黑客家的機器上了。

  駭入之後,此機器也被控制,可以達成其他目的。例如 2016 年 Dyn 公司的 DNS(由英文網域查到真正數字網域功能)被大量被操控的終端設備攻擊後,讓很多公司的網站(Twitter、Netflix、Airbnb…等等),因為 DNS 信息無法被終端設備及時查知而無法服務。

  去年因為比特币挖礦盛行,也讓黑客開始駭入這些終端機器與雲端機器,運用其運算力幫忙挖比特币,至少造成設備異常大量耗電與通訊傳輸量大增。

  黑客能控制或幹擾終端設備的方法還有以下幾種:

  (1)終端設備的固件,廠商明明更新了,但終端使用者并不知道要更新,或懶得更新。這也給了黑客可趁之機,利用舊有固件的已知安全問題駭入這台機器,獲得操控權。這也說明買會不定時升級新的固件的廠商生産的設備,并常常對此設備做固件升級是比較安全的,不然設備被操控後,就等于養了黑客的間諜在身邊。

  (2)設備沒有驗證收到的信息或命令,就如之前傳出的某些智能音箱會因為黑客發出的人耳無法聽出的超音波被控制而誤動作。

  (3)設備本身的物理安全防護不夠,不必要或外露的接頭被黑客使用入侵,或是容易被黑客取下來,讓黑客竄改固件後再放回,這個風險存在已久,這也反映出設備廠商硬件在信息安全相關的設計考慮很重要。

  2、網絡聯機的信息安全力不夠,讓黑客可以攔截。

  這種聯機的安全出包,輕則得出所有通訊清楚内容(如公司機密被獲取),更甚者則竄改傳輸内容,讓終端設備們以及雲端設備們彼此誤認對方的訊息,而做出錯誤動作:更甚者機器因此被完整操控。

  例如使用的網絡未加密,當使用時,同在一個場域的黑客就可以透過這個網絡攔截到終端設備與雲端設備之間傳輸的信息,讓黑客可以直接抓取出以分析讀取,甚至竄改後再回送,造成系統誤動作。

  另外網絡聯機配對不安全,讓黑客找出漏洞破解;或是使用已被攻破或本身被證實不安全的加密算法,都會造成同樣的問題。例如 2016 年傳出的安全連接協議 Open SSL 的大漏洞,此漏洞會允許黑客執行任何程序,就造成了很多大網站(如 Google、臉書、Yahoo…等等)受害,所以 AIoT 的通信協議就不能用這類被證實有問題的協議。

  為了解決消費者自行升級終端設備固件的不便性,讓終端設備能自動更新固件是一種新的趨勢。也就是讓終端設備會進行從網絡下載固件升級(Over The Air,簡稱 OTA),但如果被黑客找出網絡漏洞,而讓此設備升級了有問題的固件,反而會讓黑客取得終端設備控制權,這個信息安全風險不得不考慮。

  3、雲端設備:黑客利用安全弱點駭入雲端設備。

  黑客在獲得雲端設備的控制權後,得到重要信息(特别是公司機密),或被操控後送出錯誤信息誤導終端設備。

  缺乏設備驗證、或脆弱的用戶密碼/常用密碼,造成黑客直接登入是常見安全風險。不過,這個部分已經随着因特網的發展至今,有二十年以上的曆史,相對的黑客的攻擊方法與安全對應的解決方案也多元。

  在現在較新面對的安全問題,是人工智能深度學習的介入:黑客可以透過深度學習在虛拟世界中找出網站與設備新的弱點,而做進階持續威脅(APT)的攻擊。一般的人類信息安全專家,要對抗這種攻擊,會有處理速度太慢的問題,也唯有藉助人工智能深度學習的力量強化,例如從定義正常的網絡行為模式,再用人工智能及時發現可能異常行為并因應處理,才有可能達成防範效果。

  由以上可知,AIoT 服務,如果沒有在信息安全做好防護,将會被黑客利用造成重要信息被獲取,有的甚至操控設備:終端設備被操控後,變成客戶身邊的間諜,讓客戶有重大傷害或損失:例如隐私被曝光,不雅照讓名譽受損,人身傷亡或被綁架…等等;雲端設備被操控,造成商業機密被獲取,客戶公司因而損失重大。

  也因為 AIoT 服務在我們身邊的興盛,已經是必然的趨勢,這些引發的風險,接下來必須好好預防與及時處理,以避免問題産生時造成的重大損失。

  裴有恒

1995年讀研究所時在美國念人工智能,1999年開始做虛拟現實,2001年代表台灣大哥大在計算機展用手機遙控微波爐,開始了跟物聯網的不解之緣,2003年起在神達計算機做了10年産品/項目經理,現在是專職研發創新教練與物聯網顧問,同時也是趨勢觀察者。講授課題有物聯網、Fintech、大數據、人工智能、産品創新、服務創新、商業模式創新與項目管理。