物联网安全会受制于MQTT协议吗？

　　来自IOActive公司的高级安全顾问卢卡斯·伦德格伦发现，一项常见的协议配置错误可能导致情趣玩具、心脏监护器甚至是石油管道与粒子加速器面临攻击风险。

　　卢卡斯·伦德格伦坐在自己的办公桌前，注视着距离他数百英里外监狱牢房内门扉的开闭，在这里他可以看到各种经未加密纯文本方式存在的命令。他在上周的电话采访中指出，“我甚至能够发出命令打开所有牢门。”由于不在现场，所以他也不确定这种作法到底会带来怎样的实际后果。

　　在上周于拉斯维加斯黑帽大会上作出主题演讲之前，卢卡斯·伦德格伦曾表示，“我可能只会在第二天的报纸上看到相关新闻，而不会有人把事件跟我联系起来。”

　　即时通讯协议MQTT的重要性

　　这是因为这些牢门由一项知名度不高但极为流行的即时通讯协议MQTT负责操控。这项协议能够利用极低带宽确保各低功率物联网传感器及智能设备同中央服务器进行通信——监控守卫正是借此远程控制牢房门锁。并且该协议应用相当广泛，从业余爱好者到工业系统，包括仪表与设备传感器、电子广告牌甚至是医疗设备皆可看到其踪迹。

　　MQTT协议：Message Queuing Telemetry Transport，消息队列遥测传输，是IBM开发的一个即时通讯协议。该协议支持所有平台，几乎可以把所有联网物品和外部连接起来，被用来当做传感器和致动器(比如通过Twitter让房屋联网)的通信协议。

　　但根据隆格伦的端口扫描结果，这些用于监听设备并发送命令的服务器通常未受用户名或密码的保护，意味着任何能够接入互联网的人士皆可访问这87000台服务器。研究人员不仅能够读取数据，还能够写入数据。

　　隆格伦还通过心脏监护器与胰岛素泵查看到协议当中不断更新的数据，医生能够借此通过网页远程查看结果并迅速作出反应。他强调称，“如果想要搞破坏，我完全可以改变胰岛素量或者其它指标，看看会发生什么。”

　　在扫描过程当中，他发现了来自世界各地的服务器，从家庭自动化与报警系统到核电站、粒子加速器甚至是石油运输管道。隆格伦甚至可以看到石油运输的压力读数。他并不确定管道的具体位置，但却能够查看到整套工业控制系统的用户名与密码。

　　他补充称，“如果发出命令加大石油输送量，很可能造成人身伤害。”

　　隆格伦还在某德国火车站找到一台服务器，并借此看到列车的运行时间、当前位置追踪以及何时到站。他解释称，“我不知道对这些信息进行变更会造成怎样的后果。最乐观的结果就是设备会更新显示屏上的信息”，不过他并不确定这些会不会影响到列车的实际运行。但在最糟糕的情况下，攻击者可能会操纵火车在每条轨道上的位置，并导致大撞车。

　　特斯拉车辆泄露出的实时位置信息

　　除此之外，隆格伦还找到了与情趣玩具、血压计、空气湿度传感器以及地震警报系统相对应的服务器。

　　在本次黑帽大会演讲中的一页演示文稿中，他描述了如何入侵特斯拉车辆以追踪其实时地理位置及其它重要统计信息。

　　不过隆格伦本人并未批评协议本身，而是将责任归结于用户。他指出，“指责MQTT并不公平，该协议本身并不是问题。用户应该始终在服务器中使用加密机制，并配合用户名及密码，但大多数人对此视若无睹。”

　　此前已经发生过多次因服务器未受保护造成的数据泄露及扩散事件出现，例如数据库服务器被支持以及Amazon云存储单元暴露在网络之上等等。他解释称，像Amazon、IBM以及微软这类采用基于云的MQTT解决方案的巨头级厂商，都会强迫用户对服务器进行正确设置。安全其实掌握在用户手中，更多的需要用户建立安全意识。