随着全球各大城市皆已悄悄地展开智慧城市（Smart City）部署，IBM X-Force Red团队与资安业者Threatca携手检视智慧城市所使用的主要系统，发现了17个安全漏洞，将允许骇客操纵警报系统、窜改感应器数据，造成民众的恐慌或城市的混乱，并于本周举行的黑帽（Black Hat）骇客大会上公布。
IBM X-Force Red研究总监Daniel Crowley表示，他们是在今年初开始测试智慧城市所使用的Libelium、Echelon与Battelle系统，当中的Libelium是个无线感应器网路的硬体制造商，Echelon则专门销售工业物联网装置与嵌入式应用，也生产连网照明控制器，Battelle则为专门开发与商业化各种技术的非营利单位。
研究人员主要查访的是有关智慧交通系统、灾难管理，以及工业物联网的装置，这些装置是透过Wi-Fi、4G、ZigBee或其它通讯协定连网。
在找到这些装置或服务的漏洞之后，研究人员还在公开网路上发现数百个含有漏洞的装置，有些欧洲国家利用这些装置来侦测辐射，美国城市则使用它们来监控交通。
这17个安全漏洞涉及采用预设密码、可绕过身分验证机制，以及资料隐码等，当中有8个被列为重大（Critical）漏洞，透露出就算是最为现代化的智慧城市，却仍旧曝露在老派的安全威胁中。
Crowley指出，这些漏洞将允许骇客摆布水位感应器，以触发错误的洪水警报，或是避免触发洪水警报，同样地，骇客也能操纵核电厂附近的辐射感应器，或者是藉由对交通系统、建筑物警报系统或紧急警报系统的控制来制造混乱，在在都显示出缺乏安全的智慧城市将可能带来更多的恐慌或造成实际伤害。
根据估计，智慧城市的技术支出将从今年的800亿美元成长到2021年的1,350亿美元，随着智慧城市愈来愈普及，Crowley提醒产业应以安全为出发点，重新检验这些系统的框架，也建议有意导入智慧城市的首长应限制连结智慧系统的IP位址，扫描这些系统的缺陷，采用更安全的密码与API金钥，或是聘请白帽骇客来测试软、硬体的安全性。
目前不论是生产相关装置的业者或是部署这些装置的城市都已修补了IBM所提出的漏洞。
声明：本文来自IThome，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
