【靠「客」出事】Motorola智能灌溉系統缺密碼保護遙距入侵引爆糧食危機

    近日有傳中國受水災影響,部分地區出現糧食危機,政府亦帶頭呼籲民眾不要浪費食物。除了天災之外,人禍也會引發糧食短缺,例如以色列安全專家就發現,由Motorola設計的智能灌溉系統在設計上缺乏安全考慮,竟容許用戶以出廠登入資料長期使用系統,只要黑客有心,隨時可摧毁大量農作物,製造糧食危機!

    為減少人力需求、降低成本,不少農場也會裝設智能灌溉系統,交由電腦自動執行灌溉、施肥、使用農藥等工作。可想而知,如未能及早發現系統損壞或運作異常,農作物的收成將會大受影響。而以色列安全公司Security Joes創辨人Ido Naor,就發現有超過100個Motorola ICC PRO智能灌溉系統的用戶,竟然未有為系統設定密碼,黑客只要使用Motorola預設的帳戶登入名稱如admin,即可遙距登入帳戶,修改智能灌溉系統的設定及執行異常灌溉指令,而且不會驚動Motorola及其用戶。Naor指出Motorola的ICC PRO雖然有安全保護,但由於未有強制用戶在安裝後更改帳戶登入資料,全靠客戶自律,結果情況就如許多IoT物聯網產品的用戶一樣,放任繼續使用原廠設定。

    Naor說要找出這些系統並不困難,只要使用IoT裝置掃描器,就能輕易在網絡上搜出Motorola的ICC PRO。他已即時將研究報告通知以色列的網絡安全中心及Motorola,讓對方通知用戶盡快修改密碼,而Naor發現仍未修改密碼的用戶已減少至78個,不過由於研究已經公開,肯定會有黑客嘗試入侵這些用戶。

    事實上,各國政府均意識到IoT產品的安全問題,並開始陸續規管生產商,例如美國於2020年1月1日生效的SB-327 Information Privacy:Connected Devices 條文,就限制生產商必須為每部產品設定獨一的出廠登入密碼,即使用戶未有更改,也不致被黑客以同一密碼大規模攻擊其他同廠產品。英國及澳洲政府亦有就IoT產品推出安全生製指引,但距離立法還有一段長時間,用戶現階段必須靠自己,例如定時更改帳戶登入資料、啟用2FA雙重因素驗證、持續更新官方發布的韌體更新等,雖然未必百分百安全,但也可減少大部分危機。

    資料來源:https://zd.net/3kDpb9V

    #IoT #Motorola #weakpassword #智能灌溉系統 #物聯網 #糧食危機

    相關文章