2. IoT安全现状与挑战
大家好，我是老周。在IoT安全这块摸爬滚打了十几年，说实话，每次看到新闻里又爆出摄像头被控、智能门锁被远程打开，我心里都挺不是滋味的。这些事故背后，往往是一个共同的问题——我们还在用对付PC和服务器的那套老办法，来保护这些“小东西”。
今天这章，咱们就掰开揉碎聊聊：传统安全模型到底哪里不行？IoT设备天天挨什么打？以及，为什么零信任是唯一的出路。
传统IoT安全模型的局限性
先说说边界防火墙和VPN。这两个东西，在传统IT网络里确实是功臣。但放到IoT场景里，嗯，有点水土不服。
边界防火墙：城堡已经没墙了
传统防火墙的思路很简单：把内网划成一个“安全区”，外面的人想进来，得先过防火墙这道关。这个模型有个前提——内网是干净的，设备是可信的。
但IoT设备呢？你想想看，一个温度传感器、一个智能灯泡，它们可能连最基本的操作系统补丁都打不上。攻击者只要攻破其中一台，就能在内网里横向移动。防火墙？它根本看不见设备之间的流量。
核心问题：边界模型假设“内网=安全”，但IoT设备本身就是不可信的。边界一旦被突破，内网就是一片坦途。
我在一个智慧园区项目里遇到过这种事。客户花了几百万部署了下一代防火墙，结果黑客通过一个未打补丁的IP摄像头进了内网，然后横向扫描，把整个楼宇控制系统都拿下了。防火墙日志里干干净净，因为攻击流量根本没出过内网。
VPN：不是为IoT设计的
VPN（虚拟专用网络）的问题更明显。它原本是为了让远程员工安全接入公司网络，但IoT设备有几个特点：
- 数量巨大：一个工厂可能有几千个传感器，每个都配VPN？运维成本直接爆炸。
- 资源受限：很多IoT设备CPU、内存都很小，跑VPN客户端？跑不动。
- 连接不稳定：设备可能频繁断线重连，VPN隧道动不动就断。
- 缺乏身份管理：VPN通常只验证用户，不验证设备。谁在用这个VPN？不知道。
我的建议：别把VPN当成IoT安全的万能药。它适合人，不适合物。我曾经见过一个项目，给每个电表都配了VPN证书，结果半年后证书过期，运维团队花了三周才全部更新完——这期间电表数据全断了。
IoT设备面临的典型攻击
好了，传统防线靠不住，那攻击者到底在打什么？我挑三个最常见的，也是破坏力最大的。
1. 僵尸网络：你的设备成了别人的武器
这是IoT安全里最臭名昭著的攻击。攻击者利用弱口令或已知漏洞，批量控制IoT设备，组成僵尸网络，然后发动DDoS攻击。
最典型的例子就是Mirai僵尸网络。2016年，它利用摄像头和路由器的默认密码，控制了数十万台设备，发起了当时史上最大规模的DDoS攻击，导致Twitter、Netflix、GitHub等网站大面积瘫痪。
| 攻击阶段 | 具体行为 | 典型特征 |
|---|---|---|
| 扫描 | 随机扫描公网IP的Telnet/SSH端口 | 大量来自不同IP的扫描流量 |
| 爆破 | 尝试默认或常见用户名密码组合 | 短时间内多次登录失败 |
| 植入 | 下载并执行恶意软件 | 设备CPU/内存异常升高 |
| 潜伏 | 等待C2服务器指令 | 设备对外发起异常连接 |
| 攻击 | 同时向目标发送海量请求 | 目标服务器带宽耗尽 |
避坑指南：我曾经帮一个智能家居厂商做安全审计，发现他们出厂的所有摄像头都使用同一个密码“admin123”。我说这不行，对方说“用户自己会改的”。结果呢？三个月后，这批摄像头被Mirai变种感染，厂商的云平台直接被DDoS打瘫。记住：永远不要依赖用户去改密码。
2. 固件篡改：设备出厂就被“加料”
固件是IoT设备的灵魂。攻击者如果篡改了固件，就等于控制了设备的全部行为。更可怕的是，这种攻击可能在供应链环节就发生了。
我见过一个案例：某厂商的智能插座，固件里被植入了后门。这个后门会在设备启动时连接一个境外IP，下载挖矿程序。用户完全无感，直到电费暴涨才发现不对劲。
固件篡改的常见途径：
- 供应链投毒：在代工厂阶段，固件就被替换或修改。
- OTA更新劫持：攻击者伪造固件更新包，设备下载后自动安装。
- 物理接口攻击：通过UART、JTAG等调试接口直接写入恶意固件。
3. 中间人攻击：通信链路被“监听”
很多IoT设备使用HTTP、MQTT等明文协议通信。攻击者只要在同一个Wi-Fi网络里，就能轻松截获设备与服务器之间的数据。
更严重的是，有些设备甚至不验证服务器证书。攻击者可以伪造一个假服务器，设备傻乎乎地连上去，然后所有数据——包括传感器读数、控制指令、甚至用户密码——都落到了攻击者手里。
关键点：中间人攻击的核心问题不是加密，而是身份验证。没有双向身份验证，加密就是一层窗户纸。
为什么IoT需要零信任
讲到这里，你应该已经明白了：传统安全模型假设“内网可信、设备可信、用户可信”，但这个假设在IoT世界里根本不成立。
零信任的核心思想是什么？四个字：永不信任，始终验证。它不关心设备在不在内网，不关心IP地址是不是“可信”的，它只关心一件事——每一次访问请求，都必须经过严格的身份验证和授权。
具体来说，零信任给IoT带来了三个关键改变：
- 设备身份化：每个IoT设备都有唯一的数字身份，不是靠IP地址，而是靠证书、密钥或TPM芯片。设备想接入网络？先证明你是谁。
- 最小权限：设备只能访问它需要的数据和服务。一个温度传感器，不需要访问门禁系统。哪怕它被攻破了，攻击者也跳不到别的系统上。
- 持续验证：不是登录时验证一次就完事了。设备的行为、状态、位置，都在持续监控。一旦发现异常，立即切断访问。
下面这张图，展示了传统模型和零信任模型在IoT场景下的核心区别：
你看，左边传统模型里，攻击者只要突破防火墙，就能在内网里横向移动。右边零信任模型里，每台设备都被隔离，哪怕有一台被攻破，它也接触不到其他设备。
我的经验：零信任不是一套产品，而是一种思维方式。我在帮一家制造企业做IoT安全改造时，第一步不是买设备，而是梳理所有IoT设备的访问关系。哪些设备需要访问哪些服务？哪些设备之间需要通信？搞清楚这些，零信任策略才能落地。别一上来就想着上什么“零信任平台”，先把家底摸清楚。
总结一下这一章的核心：传统安全模型在IoT场景下已经力不从心。边界防火墙挡不住内网横向移动，VPN不适合海量设备，而僵尸网络、固件篡改、中间人攻击这些威胁，恰恰利用了传统模型的盲区。零信任通过设备身份化、最小权限和持续验证，从根本上改变了游戏规则。