研究顯示美國有83%的Wi-Fi路由器存在安全漏洞
許多低成本的IOT裝置都缺乏足夠的安全保護措施。日前美國消費者協會發布了關於路由器安全的報告《Securing IoT Devices: How Safe Is Your Wi-Fi Router》，文中指出有5/6（約83%）的WiFi路由器存在已經披露的安全漏洞，這些未及時更新的路由器裝置會成為網路攻擊的入口，給消費者帶來經濟和隱私方面的損失。
高價值目標
使用者使用的數字裝置中的軟體安全會對使用者隱私帶來危險。比如，手機、電腦中都含有密碼、金融資訊、社交對話和其他敏感資訊。而且，數字計算和通訊的安全可能會影響貿易、國家基礎設施和國家安全。2018年5月，FBI釋出了俄羅斯黑客入侵成千上萬的家用和辦公室路由器的預警資訊，稱黑客可以通過被入侵的路由器收集使用者資訊、攔截使用者流量。
黑客將攻擊目標設定為路由器的主要原因是一般使用者不會經常更新路由器的韌體。而韌體大多是基於開原始碼的，因此更容易被黑。開原始碼的使用近些年非常流行，因為是一種價效比非常高的方式，廣泛應用於作業系統、 應用軟體、開發工作和路由器中。但是開原始碼中也會存在安全漏洞，但路由器廠商可能並不會去修復這些安全漏洞，因此就給了黑客可乘之機。
漏洞測試
研究人員對美國市場上主流的14家路由器廠商的186款路由器進行了測試。測試過程中使用了Clarity程式來掃描嵌入的韌體以確定是否有未修復的安全漏洞。
韌體安全
韌體是控制硬體裝置基本功能的軟體，是IOT裝置和其他聯網裝置的核心。因為經常會將密碼嵌入到IOT裝置的韌體中，因此保護韌體是降低網路風險的關鍵。
雖然硬體廠商通常會提供給使用者自動更新韌體的功能，但大多數使用者並不會開啟該功能。而且，廠商也沒有提供一種友好的方式讓使用者更新韌體。比如，使用者更新韌體時廠商會要求使用者注進行註冊，一些老舊型號的路由器不支援更新等等。
韌體掃描結果
研究人員在分析過程中掃描的是廠商的最新韌體。掃描結果顯示，186個樣本路由器中有155個路由器韌體存在安全漏洞，存在漏洞的155個路由器中平均每個路由器含有172個安全漏洞。研究人員在樣本中一共發現有32003個已經公佈的安全漏洞。
圖1: 開源路由器中已公佈的漏洞數和所佔比例
每個漏洞的嚴重程度是根據國家漏洞庫（National Vulnerability Database）排名的。根據評分，漏洞等級分為“low（低危）”“medium（中危）”“high（高危）”“critical（嚴重）”。漏洞的等級表示漏洞被利用的容易程度，以及帶來的潛在危害，其中low最低，critical最高。
發現的漏洞中，有28%是high和critical（圖2）。分析結果顯示，平均每個路由器含有12個嚴重漏洞和36個高危漏洞。大多數的漏洞都是中危的，平均每個路由器103箇中危漏洞。
圖2: 基於漏洞等級的漏洞分佈圖
Wi-Fi路由器安全思考
聯網裝置在美國是非常常見的，而路由器是聯網IOT裝置的一個關鍵點。越來越多的裝置聯網，都要通過路由器來進行資料和資訊的傳輸，比如安全攝像頭、DVR、印表機、汽車、嬰兒監控器、資料儲存裝置、冰箱、電燈等。這些都是日常生活中常見的，而且大多數都與我們有互動並與日常生活息息相關。一旦被攻擊可能會給我們的日常生活帶來很大的危險，也越來越成為網路攻擊的目標。
Symantec的年度網際網路安全威脅報告稱2017年IOT攻擊的數量增長了6倍。其中針對路由器的攻擊佔比33.6%，是最常被利用的裝置型別。針對IOT的網路攻擊會對聯網裝置和其主人帶來大規模的傷害。比如，攻擊使用IP協議的安全攝像頭可以使攻擊者訪問攝像頭連線的整個網路，同時可以訪問視訊流。Ventures的2017年年度網路犯罪報告預測2018年IOT裝置會成為主要的科技犯罪驅動者，到2021會對世界經濟帶來每年6萬億美元的損失。
總結
分析結果顯示普通使用者家中和工作廠商常用的主流WiFi路由器安全性不足，使IOT裝置易受到潛在攻擊。重置路由器並不能完全解決問題，但對韌體進行更新對廠商來說是一筆巨大的花費。分析的186個樣本中共發現32003個漏洞，這會對基礎設施和經濟帶來潛在威脅。如果這些不斷增長的威脅不能及時有效應對，廠商需要投入更多的資源來識別和緩解裝置中的開源漏洞，同時使用者也需要對這些可以竊取個人資料的潛在威脅保持警惕。