在所謂物聯網的時代，智慧家庭與智慧家電是主要核心。現今常採用的智慧功能，其中「語音辨識」被視為第一步，如今許多智慧型手機已大量內建語音功能，我們得以透過語音辨識搜尋資料、使用地圖導航，更甚者可以直接進行同步翻譯；接下來為「人臉辨識」，每個人獨一無二的生理特徵，透過掃描辨識，像是經過眨眼、挑眉等較細微的臉部變化來下達指令，雖然此技術才剛剛起步，但其未來發展著實令人期待；第三步則是「動作辨識」，透過不論是正面側面的肢體移動，智慧家電的感測系統便能夠判斷其動作，因此在偵測後即能預測人類的下一步動作並解讀其行為需求；最後的「行為辨識」，可望藉由行為模式的辨認與累積，達到自我學習的目的，並可由人類某些行為或肢體語言來進行偵測等。
無論何種可實現智慧景貌的功能，所有的設計初衷皆始於人性的需求。換言之，物聯網的蓬勃發展，被賦予可讓生活更聰明美好的智慧家電一一陪伴在每個人生活空間中絕非夢事。
雖然目前我們所見的智慧家庭產品似乎離真正的人工智慧都還有一段距離，但其實「動作辨識」的某些技術已經可以接近「行為辨識」的水平，只是其安全漏洞往往可能造成辨識錯誤以及背後更大的安全隱憂。例如車輛電子與智慧化的需求，電腦和多功能媒體系統逐漸成為標準配備，原本在網際網路的駭客問題也伴隨成為更急迫的挑戰。另外，竊取使用者的產品內相關個人資料與敏感資料並不再是駭客唯一的破壞手法，透過網路漏洞綁架其操作系統或相關資料，像是鎖住手機、電腦或重要文件，進而索取勒贖金的案例在全球亦層出不窮。
再進一步觀察，其實並非設定有聯網功能的產品才會面臨網路的風險，2009年在美國就曾經發生無聯網功能的瓦斯爐因設計不當導致遭PDA手機無預警啟動的意外，該產品僅因受到手機鈴響時產生的電磁突波干擾即意外觸發點火的指令。由此見在透過其他相關的因素下，不難預見原本設有聯網功能產品的不安全疑慮將更形複雜。
如上所述，除了聯網的軟體安全以外，因軟體失誤而導致指令錯誤而產生的裝置風險更讓人擔憂，其中一項就是行動智慧裝置的充電安全。如前陣子備受關注的電動平衡車在充電時意外起火造成災情，引起美國政府莫大的關注，因此下令所有入境美國的電動平衡車皆須通過UL的安全認證，如果使用智能控制充電裝置運作時產生了網路安全問題，其損害可能難以估計。
其實根據保險業者統計，網路風險事件當中駭客所造成的占比並不如一般人想像的高，案例中統計有超過50%的意外源自於人為因素和系統漏洞。軟硬體設備皆沒有問題的狀況下，風險的產生可能歸究於企業內部疏於更新系統、或「內神通外鬼」的情況…等。總而言之，企業在填補這些安全漏洞時往往會花費比預期更高的成本。意識到網路安全漏洞不斷挑戰危險層級，美國白宮政府特別委託UL協同制定網路安全標準 ── UL 2900系列標準，其中包括鎖定軟體的UL 2900-1、針對硬體的UL 2900-2、以及分別聚焦組織與流程(執行)的UL 2900-3與UL 2900-4等等四項各有專攻的認證服務。
其中值得一提的是，針對硬體所規範的UL 2900-2標準目前首推醫療設備(UL 2900-2-1)和工業控制系統(UL 2900-2-2)，這是由於醫療物聯網與工業控制物聯網與傳統人聯網路最大的差別在於必須更加看重「分秒必爭」與「資料準確」的環節，如傳統的信用卡付費若因系統錯誤造成資料傳遞延遲，如在資料沒有被竊取的情況下其實不會帶來人身乃至國家的重大危害，但是對於醫療物聯網與工業控制物聯網的安全來說，「準時與精確」絕對是無法忽視的關鍵因素。
全面癱瘓電廠 手術台也可能變行刑台
舉例來說，攻擊工業控制物聯網的時候，可以透過讓門鎖系統拉長運算時間，無法及時執行指令，便可趁機潛入竊取資料；也可以透過癱瘓系統達到目的，例如可以在攻擊電廠的時候提高電網系統的資訊流量，使得系統可能必須耗費過多的軟硬體資源進行計算、運作與執行，導致節點與節點的失聯或是網路資源的過載，系統有可能因此進入自我防護的模式，進而導致電網的局部或者全面癱瘓。
在科技發達的今日，許多醫療設備皆須透過網路傳遞資訊並即時做出調整，而治療過程中除了「時間」外，精確度也很重要，因此醫療物聯網更是駭客眼中的一塊大餅。醫療物聯網與傳統網路駭客事件最大的差別在於立即性的生命安危。像日前美國便發生駭客入侵手術室，控制手術室儀器，若未能及時支付贖金，所有儀器都將無法運作，而因為攸關病患的性命，即不得不就範。鑒於類似事件層出不窮且日益猖獗，因此美國食品藥物管理局(FDA)已於官方網頁宣布，電子化的醫療器材的認證現在必須增加網路安全的風險評估。
設備可靠了，那人可靠嗎？
在設備都通過安全認證後，最後就是管理層面與實行的把關。UL 2900-3便是針對公司與組織的架構進行安全認證，避免「內神通外鬼」或者人機互動的系統漏洞，譬如要求企業是否有嚴謹的門禁系統與影像紀錄，並掌握人員的動向，或者避免重要機密資訊安全流出，採取電腦活動紀錄的監控措施，以確保重要資訊不會藉由網路或者人為攜帶外流。一旦企業的人機系統設計達到要求後，UL 2900-4便利用於制度運行時的持續執行與落實管理。綜合言之，UL 2900系列標準是一套從軟硬體、制度管理乃至於執行落實都兼顧與把關的全面性標準。
標準設立出來之後 要怎麼檢測
在標準都設立好之後，軟體安全就是第一關，檢測主要分成三大方向：「系統弱點與破解」、「軟體弱點掃描」和「安全控制」。
首先是「系統弱點與破解」的測試，可透過指令模糊化，給予軟體一個模糊化的指令，觀察系統是否能做出正確反應；另由於軟體日漸龐大複雜，許多撰寫程式者時會利用公開的軟體模組資料庫，然而如果這些模組本身就存在著安全漏洞，組成系統後漏洞可能不會消失，因此UL在測試時便會用許多已知漏洞去檢測軟體系統的安全，另外也會再透過滲透測試與對如木馬程式的惡意程式測試，確認軟體系統的基本安全防護。
完成了「系統弱點與破解」項目的檢測後，仍有可能因為軟體本身的弱點而遭到入侵，「軟體弱點掃描」也成了檢測的重要項目。包含測試軟體原始碼的安全性與和編譯過後的二進位碼安全性等，確保不會因為軟體本身編碼問題而造成安全的漏洞。
最後，「安全控制」項目則檢測軟體的存取權限，確保軟體不會受到未經正當授權的存取或者更改；關鍵之一是登入或修改權限所需的密碼模組保存機制，另外連線管理以及更新管理安全也必須考量，譬如有利用「釣魚」的方式誘使使用者更新密碼，或者透過假更新版本往往造成安全越補越大洞。全世界有超過一百萬株的各種各樣的電腦病毒，因此檢測系統漏洞時也耗時傷本，然而許多企業往往因成本不貲而作罷，但這樣的決定與相對面臨的風險下，其實是有待商榷的。
- 新聞稿有效日期，至2016/11/20為止
聯絡人 ：詹曜年
聯絡電話：2777-5786*119
電子郵件：Achan@bmags.com
 上一篇：宜蘭縣晉級國際智慧城市論壇2017年度最佳城市前21名
 下一篇：中糧肉食基石护航 首日表現優異受青睞
|
■ 我在中國工作的日子（十四）阿里巴巴敢給股票 - 2023/07/02 ■ 我在中國工作的日子（十三）上億會員怎麼管理 - 2023/06/25 ■ 我在中國工作的日子（十二）最好的公司支付寶 - 2023/06/18 ■ 我在中國工作的日子（十一）兩個女人一個男人 - 2023/06/11 ■ 我在中國工作的日子（十）千團大戰影音帶貨 - 2023/06/04 ■ 我在中國工作的日子（九）電視購物轉型電商 - 2023/05/28 ■ 我在中國工作的日子（八）那些從台灣來的人 - 2023/05/21 ■ 我在中國工作的日子（七）嘉丰資本擦身而過 - 2023/05/14 ■ 我在中國工作的日子（六）跟阿福有關的人們 - 2023/05/07
|
