小心！MQTT安全性漏洞影響能源行業及物聯網設備安全

E安全7月12日訊物聯網設備近兩年面臨的安全挑戰嚴峻，但它們卻依然大規模暴露在互聯網上。這次，物聯網設備通過MQTT通信協定暴露在網上，研究人員將會在美國黑帽大會（Black Hat USA）上公開更多詳情。

MQTT這個被遺忘的90年代通信協議現如今卻在物聯網領域日益流行，然而該協議的安全性令人堪憂，攻擊者能通過公共互聯網操縱該協議，從而窺探，甚至破壞發電廠設備、ATM機和其它聯網設備。

去年，安全研究人員盧卡斯·倫德葛籣通過互聯網掃描發現全球約有6.5萬台使用MQTT（消息列隊遙測傳輸）的物聯網伺服器均暴露在公共互聯網上，

無需驗證，也沒有加密通信，極易遭受攻擊。倫德葛籣在去年八月舉辦的駭客大會（DEF CON）上披露了該發現。倫德葛籣計畫在本月底舉辦的美國黑帽大會上演示攻擊者如何攻擊暴露的MQTT伺服器，並發佈偽造命令，從而修改物聯網連接設備的運作與結果。

倫德葛籣還將在黑帽大會上發佈一款暴力（Brute-Force）駭客工具。

這款工具由倫德葛籣的朋友編寫，可用來破解使用推薦用戶名和密碼保護的MQTT伺服器。據倫德葛籣介紹，當時在他首次掃描的幾萬台伺服器中，只有兩台伺服器使用了驗證保護，能訂閱所謂的標籤（Hashtag）資訊流（Feeds），這些算是它們的通信管道。

什麼是MQTT？

MQTT是1999年創建的羽量級機器對機器通信協定，該協定作為低頻寬的通信方式（例如衛星），現如今已經成為不頻繁或間歇性聯網物聯網設備的主要協定。

發現MQTT伺服器的過程

倫德葛籣發現了“新大陸”，即他發現中東一個石油管道伺服器暴露在網上，之後發現一台伺服器的開放埠，之後發現數萬台開放的MQTT伺服器（包括飛機座標、監獄門禁、聯網汽車、電錶、醫療設備、移動手機和家用自動化系統）。倫德葛籣能讀取這些物聯網設備與伺服器之間傳送的明文資料。倫德葛籣表示，他可以看到監獄門的打開與關閉狀態。

他指出，無需身份驗證、暴露的MQTT伺服器還易遭受伺服器端攻擊，例如跨站腳本（XSS）和SQL注入，可以允許攻擊者將惡意資訊注入到物聯網設備。除此之外，不僅可以寫信給消息代理，還能修改資料，例如重寫核電廠輻射檢測儀上的感測器。

倫德葛籣的發現還包括暴露的MQ Web物聯網。他表示，使用者控制的資料安全性不佳，因為攻擊者可以發送來自聯網汽車或查看演示的任何人的偽造資訊。IBM正在調查該問題。

在另一起發現中，倫德葛籣能將命令發送至大型技術廠商網路中暴露的MQTT伺服器。倫德葛籣稱，暴露的MQTT伺服器允許他將原始命令發送到伺服器，他當時拒絕提及廠商的具體名稱。

MQTT伺服器另一風險

MQTT伺服器通常被用作物聯網的固件更新，因此，攻擊者可以使用惡意程式碼安裝固件更新。

MQTT於其它物聯網漏洞的不同之處在於：MQTT非常簡單，並且就在用戶面前。

倫德葛籣發現的中東石油管道伺服器暴露了油流（衡量一口油井生產能力的標準），以及PLC設備的用戶名和密碼。攻擊者無需借助震網病毒（Stuxnet： 又作超級工廠，是一種Windows平臺上的電腦蠕蟲，這是有史以來第一個包含PLC Rootkit的電腦蠕蟲，也是已知的第一個以關鍵工業基礎設施為目標的蠕蟲。）或任何複雜的惡意軟體就能變更管道中的油流，或通過弱配置MQTT伺服器暴露的其它工業系統。

倫德葛籣指出，攻擊者只需將免費軟體工具連接到伺服器，就能發送並操縱資料。

E安全注：。

@E安全，最專業的前沿網路安全媒體和產業服務平臺，每日提供優質全球網路安全資訊與深度思考

因此，攻擊者可以使用惡意程式碼安裝固件更新。

MQTT於其它物聯網漏洞的不同之處在於：MQTT非常簡單，並且就在用戶面前。

倫德葛籣發現的中東石油管道伺服器暴露了油流（衡量一口油井生產能力的標準），以及PLC設備的用戶名和密碼。攻擊者無需借助震網病毒（Stuxnet： 又作超級工廠，是一種Windows平臺上的電腦蠕蟲，這是有史以來第一個包含PLC Rootkit的電腦蠕蟲，也是已知的第一個以關鍵工業基礎設施為目標的蠕蟲。）或任何複雜的惡意軟體就能變更管道中的油流，或通過弱配置MQTT伺服器暴露的其它工業系統。

倫德葛籣指出，攻擊者只需將免費軟體工具連接到伺服器，就能發送並操縱資料。

E安全注：。

@E安全，最專業的前沿網路安全媒體和產業服務平臺，每日提供優質全球網路安全資訊與深度思考