论文标题
发表时间
出版杂志
杂志级
研究单位
了解物联网固件中第三方组件带来的安全风险
2024年
IEEE TDSC
CCFA
佐治亚理工学院
1. 引言
研究背景：物联网（IoT）已经无处不在，给我们的日常生活带来了极大的便利。 从路由器、打印机等传统物联网设备到智能灯、智能插件等智能家居，物联网设备在现代生活中的应用越来越广泛。 根据最近的一份报告，Gartner 预测，从2020 年到2030 年，物联网设备的数量将增加两倍。物联网设备的快速发展不可避免地增加了公众对其安全风险的担忧，而现实世界中的几次攻击进一步加剧了这种恐慌。 例如，Mirai 破坏了数百万个物联网设备，如IP 摄像机、DVR 和路由器，形成僵尸网络，并对各种在线服务发起DDoS 攻击。
固件是在物联网设备内启动的集成软件包，发挥着关键作用。 如今，BusyBox 和OpenSSL 等TPC 已在固件中广泛采用，以加速和简化开发过程。 然而，TPC 的广泛使用是一把双刃剑，因为许多TPC 都存在已知的漏洞，这些漏洞会给物联网固件引入许多新的攻击面。 例如，OpenSSL 中的Heartbleed 漏洞已严重影响了至少数百万台物联网设备。 更糟糕的是，供应商可能会在不同类型的固件中重复使用相同的TPC 集，这可能会加速潜在漏洞的传播。 因此，识别固件中使用的易受攻击的TPC 非常重要。 TPC 引起的单个漏洞可能会在物联网生态系统中造成蝴蝶效应。
现有问题：尽管大量研究采用静态或动态技术来评估固件安全性，但存在许多由TPC 引起的固件漏洞、缺乏对非基于Linux 的固件的考虑和/或仍然受到缺乏考虑的问题。强调其中任何一个。大规模固件安全分析是不可扩展的。 具体来说，首先，缺乏对TPC引入的Nday漏洞的分析，这实际上可能会带来比未知漏洞更严重的问题。 其次，大多数方法仅限于对基于Linux的固件的分析，缺乏对智能家居等新型低功耗嵌入式系统中广泛使用的单片固件的分析。 最后但并非最不重要的一点是，在执行大规模固件测试时，可扩展性是一个挑战。 例如，某些方法需要实际的物联网设备进行分析或大量的手动配置工作，严重限制了可扩展性。 因此，仍然缺乏一种可扩展且实用的方法来全面了解跨多个固件的TPC 使用情况及其引入的漏洞。
原创文章，作者：CSDN，如若转载，请注明出处：https://www.sudun.com/ask/92940.html
