UL：物聯網危機四伏掌握安全是唯一的路

隨著科技的日新月異，實施聯網安全任務也變得更加複雜，電子產品除了最基本的機電防火安全即必須固守外，在必須同時確保最關鍵的軟體與網路安全下，另亦需維持一定的性能(品質)表現；而在今日坊間充斥各式各樣行銷語言的情況下，企業在行銷商品時各說各話，則突顯透過第三方單位執行「行銷宣告檢測驗證」的重要性，才可確保購買者權益。

上述的網路安全(Cybersecurity)、產品機電與防火安全(Safety)、性能/品質(Performance/Quality)及行銷宣告檢測驗證(Marketing Claim Verification)，再加之當前市場正極力鼓吹的產品可持續性(Sustainability)與企業運作(供應鏈)透明度(Transparency)，即是所謂的六大基石。

科技始終來自於人性 IoT的發展之路怎麼走

大家對於科幻電影的場景肯定不陌生，人們對於未來世界的憧憬因此加速了智慧家庭的發展，而如今的科技真的能為大家完成夢想嗎？

UL能源暨電力科技部事業發展經理陳立閔指出，在所謂物聯網的時代，智慧家庭與智慧家電是主要核心。現今常採用的智慧功能，其中「語音辨識」被視為第一步，如今許多智慧型手機已大量內建語音功能，我們得以透過語音辨識搜尋資料、使用地圖導航，更甚者可以直接進行同步翻譯；接下來為「人臉辨識」，每個人獨一無二的生理特徵，透過掃描辨識，像是經過眨眼、挑眉等較細微的臉部變化來下達指令，雖然此技術才剛剛起步，但其未來發展著實令人期待；第三步則是「動作辨識」，透過不論是正面側面的肢體移動，智慧家電的感測系統便能夠判斷其動作，因此在偵測後即能預測人類的下一步動作並解讀其行為需求；最後的「行為辨識」，可望藉由行為模式的辨認與累積，達到自我學習的目的，並可由人類某些行為或肢體語言來進行偵測等。

無論何種可實現智慧景貌的功能，所有的設計初衷皆始於人性的需求。換言之，物聯網的蓬勃發展，被賦予可讓生活更聰明美好的智慧家電一一陪伴在每個人生活空間中絕非夢事。

智慧家庭的發展之路被誰擋住了

陳立閔認為，雖然目前我們所見的智慧家庭產品似乎離真正的人工智慧都還有一段距離，但其實「動作辨識」的某些技術已經可以接近「行為辨識」的水平，只是其安全漏洞往往可能造成辨識錯誤以及背後更大的安全隱憂。例如車輛電子與智慧化的需求，電腦和多功能媒體系統逐漸成為標準配備，原本在網際網路的駭客問題也伴隨成為更急迫的挑戰。另外，竊取使用者的產品內相關個人資料與敏感資料並不再是駭客唯一的破壞手法，透過網路漏洞綁架其操作系統或相關資料，像是鎖住手機、電腦或重要文件，進而索取勒贖金的案例在全球亦層出不窮。

再進一步觀察，其實並非設定有聯網功能的產品才會面臨網路的風險，2009年在美國就曾經發生無聯網功能的瓦斯爐因設計不當導致遭PDA手機無預警啟動的意外，該產品僅因受到手機鈴響時產生的電磁突波干擾即意外觸發點火的指令。由此見在透過其他相關的因素下，不難預見原本設有聯網功能產品的不安全疑慮將更形複雜。

如上所述，除了聯網的軟體安全以外，因軟體失誤而導致指令錯誤而產生的裝置風險更讓人擔憂，其中一項就是行動智慧裝置的充電安全。如前陣子備受關注的電動平衡車在充電時意外起火造成災情，引起美國政府莫大的關注，因此下令所有入境美國的電動平衡車皆須通過UL的安全認證，如果使用智能控制充電裝置運作時產生了網路安全問題，其損害可能難以估計。

上述這些意外的發生皆是因為存在著不安全軟硬體和設定存在著漏洞，以下為網路安全相關網站列出的十大常見的網路風險可供參考：

 不安全的網路介面 – 使用不安全的Wi-Fi便可能遭入侵

 授權保護不足 – 密碼易遭破解

 不安全網路服務 – 偽裝的網路服務

 資料傳遞加密不足 – 資料傳遞過程不夠隱密，容易被破解與濫用

 隱私沒有得到保護 – 隱私設定不足，文件檔案容易被竊取與破解

 不安全的雲端介面 – 雲端系統本身的安全強度不足，成為衍生的新安全死角

 安全設定本身不夠安全 – 環境本身的安全要求過低，無法達到防護的要求

 不安全的軟體 – 一時貪便宜取得的免費軟體可能潛藏破壞防護的漏洞

 貧乏的實體安全防護 – 軟體或許安全，實體防護不足也可透過電磁干擾破壞

＜資料來源：http://resources.infosecinstitute.com/test-security-iot-smart-devices＞

覆蓋網路安全生態系的UL 2900系列標準

其實根據保險業者統計，網路風險事件當中駭客所造成的占比並不如一般人想像的高，案例中統計有超過50%的意外源自於人為因素和系統漏洞。軟硬體設備皆沒有問題的狀況下，風險的產生可能歸究於企業內部疏於更新系統、或「內神通外鬼」的情況…等。總而言之，企業在填補這些安全漏洞時往往會花費比預期更高的成本。意識到網路安全漏洞不斷挑戰危險層級，美國白宮政府特別委託UL協同制定網路安全標準 ── UL 2900系列標準，其中包括鎖定軟體的UL 2900-1、針對硬體的UL 2900-2、以及分別聚焦組織與流程(執行)的UL 2900-3與UL 2900-4等等四項各有專攻的認證服務。

其中值得一提的是，針對硬體所規範的UL 2900-2標準目前首推醫療設備(UL 2900-2-1)和工業控制系統(UL 2900-2-2)，這是由於醫療物聯網與工業控制物聯網與傳統人聯網路最大的差別在於必須更加看重「分秒必爭」與「資料準確」的環節，如傳統的信用卡付費若因系統錯誤造成資料傳遞延遲，如在資料沒有被竊取的情況下其實不會帶來人身乃至國家的重大危害，但是對於醫療物聯網與工業控制物聯網的安全來說，「準時與精確」絕對是無法忽視的關鍵因素。

全面癱瘓電廠手術台也可能變行刑台

舉例來說，攻擊工業控制物聯網的時候，可以透過讓門鎖系統拉長運算時間，無法及時執行指令，便可趁機潛入竊取資料；也可以透過癱瘓系統達到目的，例如可以在攻擊電廠的時候提高電網系統的資訊流量，使得系統可能必須耗費過多的軟硬體資源進行計算、運作與執行，導致節點與節點的失聯或是網路資源的過載，系統有可能因此進入自我防護的模式，進而導致電網的局部或者全面癱瘓。

在科技發達的今日，許多醫療設備皆須透過網路傳遞資訊並即時做出調整，而治療過程中除了「時間」外，精確度也很重要，因此醫療物聯網更是駭客眼中的一塊大餅。醫療物聯網與傳統網路駭客事件最大的差別在於立即性的生命安危。像日前美國便發生駭客入侵手術室，控制手術室儀器，若未能及時支付贖金，所有儀器都將無法運作，而因為攸關病患的性命，即不得不就範。鑒於類似事件層出不窮且日益猖獗，因此美國食品藥物管理局(FDA)已於官方網頁宣布，電子化的醫療器材的認證現在必須增加網路安全的風險評估。

設備可靠了，那人可靠嗎？

在設備都通過安全認證後，最後就是管理層面與實行的把關。UL 2900-3便是針對公司與組織的架構進行安全認證，避免「內神通外鬼」或者人機互動的系統漏洞，譬如要求企業是否有嚴謹的門禁系統與影像紀錄，並掌握人員的動向，或者避免重要機密資訊安全流出，採取電腦活動紀錄的監控措施，以確保重要資訊不會藉由網路或者人為攜帶外流。一旦企業的人機系統設計達到要求後，UL 2900-4便利用於制度運行時的持續執行與落實管理。綜合言之，UL 2900系列標準是一套從軟硬體、制度管理乃至於執行落實都兼顧與把關的全面性標準。

標準設立出來之後要怎麼檢測

在標準都設立好之後，軟體安全就是第一關，檢測主要分成三大方向：「系統弱點與破解」、「軟體弱點掃描」和「安全控制」。

首先是「系統弱點與破解」的測試，可透過指令模糊化，給予軟體一個模糊化的指令，觀察系統是否能做出正確反應；另由於軟體日漸龐大複雜，許多撰寫程式者時會利用公開的軟體模組資料庫，然而如果這些模組本身就存在著安全漏洞，組成系統後漏洞可能不會消失，因此UL在測試時便會用許多已知漏洞去檢測軟體系統的安全，另外也會再透過滲透測試與對如木馬程式的惡意程式測試，確認軟體系統的基本安全防護。

完成了「系統弱點與破解」項目的檢測後，仍有可能因為軟體本身的弱點而遭到入侵，「軟體弱點掃描」也成了檢測的重要項目。包含測試軟體原始碼的安全性與和編譯過後的二進位碼安全性等，確保不會因為軟體本身編碼問題而造成安全的漏洞。。

最後，「安全控制」項目則檢測軟體的存取權限，確保軟體不會受到未經正當授權的存取或者更改；關鍵之一是登入或修改權限所需的密碼模組保存機制，另外連線管理以及更新管理安全也必須考量，譬如有利用「釣魚」的方式誘使使用者更新密碼，或者透過假更新版本往往造成安全越補越大洞。全世界有超過一百萬株的各種各樣的電腦病毒，因此檢測系統漏洞時也耗時傷本，然而許多企業往往因成本不貲而作罷，但這樣的決定與相對面臨的風險下，其實是有待商榷的。

根據Gartner 的報告指出，目前物聯網仍處在「創新觸發(Innovation Trigger)」的階段，許多產品尚未普及且技術尚未成熟，物聯網的商機發展必定推促許多相關企業的如雨後春筍般出現，產業可能產生過度膨脹，而在日益競爭的情況下，體質不良或出現安全問題的企業也將可能陸續在市場中被淘汰。為了讓企業能夠捱過過度競爭的市場危機，取得安全認證方為站穩腳步的長遠之計。