伴随着物联网设备使用量的增长，这些设备产生的数据可以让消费者节约巨大的开支，也给商家带来新的机遇。但是当故障不可避免地出现的时候，会发生什么呢？

不管你看的是什么统计数字，很明显物联网正在走进个人和私人生活的方方面面。这种增长虽然有不少好处，但是也带来了新的风险。一个很重要的问题是，出现问题的时候谁来负责呢？

也许最大的问题出在基于物联网数据进行的个性化营销以及定价策略上。保险公司长期以来致力于寻找利用物联网数据的最佳方式，我去年写过家庭财产保险公司是如何开始利用物联网传感器减少水灾带来的损失的。一些公司正在研究保险公司竞购消费者的可能性：这种业务基于智能家居数据所揭示的风险的高低。

但是最大的进步出现在汽车保险领域。许多汽车保险公司已经可以让客户在车辆上安装追踪设备，如果数据证明他们的驾驶习惯良好就可以获取保险折扣。

• 延伸阅读:保险公司终于有了一个利用智能家居物联网的好办法

UBI 车险的崛起

UBI（ 基于使用的保险 usage-based insurance ）车险是一种“按需付费”的业务，可以通过追踪速度、位置，以及其他因素来评估风险并计算车险保费。到 2020 年，预计有 5000 万美国司机会加入到 UBI 车险的项目中。

不出所料，保险公司对 UBI 车险青睐有加，因为 UBI 车险可以帮助他们更加精确地计算风险。事实上，AIG 爱尔兰已经在尝试让国家向 25 岁以下的司机强制推行 UBI 车险。并且，被认定为驾驶习惯良好的司机自然也很乐意节省一笔费用。当然也有反对的声音了，大多数是来自于隐私权倡导者，以及会因此支付更多费用的群体。

出了故障会发生什么？

但是还有一个更加令人担忧的潜在问题：当物联网设备提供的数据有错误，或者在传输过程中出了问题会发生什么？因为尽管有自动化程序、错误检查等等，还是不可避免地会偶尔发生一些故障。

不幸的是，这并不是一个理论上某天会给细心的司机不小心多扣几块钱保费的问题。这已经是一个会带来严重后果的现实问题。就像保险行业仍然没有想清楚谁应该“拥有”面向客户的物联网设备产生的数据一样，我们也不清楚谁将对这些数据所带来的问题负责。

计算机“故障”据说曾导致赫兹的出租车辆被误报为被盗（虽然在这个例子中这并不是一个严格意义上的物联网问题），并且导致无辜的租车人被逮捕并扣留。结果呢？刑事指控，多年的诉讼官司，以及舆论的指责。非常强烈的舆论指责。

我们非常容易想象一些类似的情况，比如说一个物联网传感器出了故障，然后报告说某辆车超速了，然而事实上并没有超速。想想为这件事打官司的麻烦吧，或者想想和你的保险公司如何争执不下。

（当然，这个问题还有另外一面：消费者可能会想办法篡改他们的物联网设备上的数据，以获得更低的费率或者转移事故责任。我们同样也没有可行的办法来应对这个问题。）

政府监管是否有必要

考虑到这些问题的潜在影响，以及所涉及公司对处理这些问题的无动于衷，我们似乎有理由猜想政府干预的必要性。

这可能是美国众议员 Bob Latta（俄亥俄州，共和党）重新引入 SMART IOT（物联网现代应用、研究及趋势的现状）法案背后的一个动机。这项由 Latta 和美国众议员 Peter Welch（佛蒙特州，民主党）领导的两党合作物联网工作组提出的法案，于去年秋天通过美国众议院，但被美国参议院驳回了。美国商务部需要研究物联网行业的状况，并在两年后向美国众议院能源与商业部和美国参议院商务委员会报告。

Latta 在一份声明中表示，“由于预计会有数万亿美元的经济影响，我们需要考虑物联网所带来的的政策，机遇和挑战。SMART IoT 法案会让人们更容易理解美国政府在物联网政策上的做法、可以改进的地方，以及美国联邦政策如何影响尖端技术的研究和发明。”

这项研究受到了欢迎，但该法案甚至可能不会被通过。即便通过了，物联网在两年的等待时间里也可能会翻天覆地，让美国政府还是无法跟上。

via: https://www.networkworld.com/article/3396230/when-iot-systems-fail-the-risk-of-having-bad-iot-data.html

作者：Fredric Paul 选题：lujun9972 译者：chen-ni 校对：wxy

本文由 LCTT 原创编译，Linux中国 荣誉推出

边缘计算环境带来的安全风险迫使公司必须特别关注它的安全措施。

说数据安全是高管们和董事会最关注的问题已经是陈词滥调了。但问题是：数据安全问题不会自己消失。

骇客和攻击者一直在寻找利用缺陷的新方法。就像公司开始使用人工智能和机器学习等新兴技术来自动化地保护他们的组织一样，那些不良分子们也在使用这些技术来达成他们的目的。

简而言之，安全问题是一定不能忽视的。现在，随着越来越多的公司开始使用边缘计算，如何保护这些边缘计算环境，需要有新的安全考量。

边缘计算的风险更高

正如 Network World 的一篇文章所说，边缘计算的安全架构应该将重点放在物理安全上。这并不是说要忽视保护传输过程中的数据。而是说，实际的物理环境和物理设备更加值得关注。

例如，边缘计算的硬件设备通常位于较大的公司或者广阔空间中，有时候是在很容易进入的共享办公室和公共区域里。从表面上看，这节省了成本，能更快地访问到相关的数据，而不必在后端的数据中心和前端的设备之间往返。

但是，如果没有任何级别的访问控制，这台设备就会暴露在恶意操作和简单人为错误的双重风险之下。想象一下办公室的清洁工意外地关掉了设备，以及随之而来的停机所造成的后果。

另一个风险是 “影子边缘 IT”。有时候非 IT 人员会部署一个边缘设备来快速启动项目，却没有及时通知 IT 部门这个设备正在连接到网络。例如，零售商店可能会主动安装他们自己的数字标牌，或者，销售团队会将物联网传感器应用到电视中，并在销售演示中实时地部署它们。

在这种情况下，IT 部门很少甚至完全看不到这些边缘设备，这就使得网络可能暴露在外。

保护边缘计算环境

部署微型数据中心（MDC）是规避上述风险的一个简单方法。

“在历史上，大多数这些[边缘]环境都是不受控制的，”施耐德电气安全能源部门的首席技术官和创新高级副总裁 Kevin Brown 说。“它们可能是第 1 级，但很可能是第 0 级类型的设计 —— 它们就像开放的配线柜。它们现在需要像微型数据中心一样的对待。你管理它需要像管理关键任务数据中心一样”

单说听起来的感觉，这个解决方案是一个安全、独立的机箱，它包括在室内和室外运行程序所需的所有存储空间、处理性能和网络资源。它同样包含必要的电源、冷却、安全和管理工具。

而它最重要的是高级别的安全性。这个装置是封闭的，有上锁的门，可以防止非法入侵。通过合适的供应商，DMC 可以进行定制，包括用于远程数字化管理的监控摄像头、传感器和监控技术。

随着越来越多的公司开始利用边缘计算的优势，他们必须利用安全解决方案的优势来保护他们的数据和边缘环境。

在 APC.com 上了解保护你的边缘计算环境的最佳方案。

via: https://www.networkworld.com/article/3388130/enhanced-security-at-the-edge.html#tk.rss_all

作者：Anne Taylor 选题：lujun9972 译者：hopefully2333 校对：wxy

本文由 LCTT 原创编译，Linux中国 荣誉推出

如果你喜欢 Fedora、容器，而且有一块树莓派，那么这三者结合操控 LED 会怎么样？本文介绍的是 Fedora IoT，将展示如何在树莓派上安装预览镜像。还将学习如何与 GPIO 交互以点亮 LED。

什么是 Fedora IoT?

Fedora IoT 是当前 Fedora 项目的目标之一，计划成为一个完整的 Fedora 版本。Fedora IoT 将是一个在 ARM（目前仅限 aarch64）设备上（例如树莓派），以及 x86\_64 架构上运行的系统。

Fedora IoT 基于 OSTree 开发，就像 Fedora Silverblue 和以往的 Atomic Host。

下载和安装 Fedora IoT

官方 Fedora IoT 镜像将和 Fedora 29 一起发布。但是在此期间你可以下载 基于 Fedora 28 的镜像 来进行这个实验。（LCTT 译注：截止至本译文发布，Fedora 29 已经发布了，但是 IoT 版本并未随同发布，或许会在 Fedora 30 一同发布？）

你有两种方法来安装这个系统：要么使用 dd 命令烧录 SD 卡，或者使用 fedora-arm-installer 工具。Fedora 的 Wiki 里面提供了为 IoT 设置物理设备 的更多信息。另外，你可能需要调整第三个分区的大小。

把 SD 卡插入到设备后，你需要创建一个用户来完成安装。这个步骤需要串行连接或一个 HDMI 显示器和键盘来与设备进行交互。

当系统安装完成后，下一步就是要设置网络连接。使用你刚才创建的用户登录系统，可以使用下列方式之一完成网络连接设置：

• 如果你需要手动配置你的网络，可能需要执行类似如下命令，需要保证设置正确的网络地址：

$ nmcli connection add con-name cable ipv4.addresses \
192.168.0.10/24 ipv4.gateway 192.168.0.1 \
connection.autoconnect true ipv4.dns "8.8.8.8,1.1.1.1" \
type ethernet ifname eth0 ipv4.method manual

• 如果你网络上运行着 DHCP 服务，可能需要类似如下命令：

$ nmcli con add type ethernet con-name cable ifname eth0

Fedora 中的 GPIO 接口

许多关于 Linux 上 GPIO 的教程都关注传统的 GPIO sysfis 接口。这个接口已经不推荐使用了，并且上游 Linux 内核社区由于安全和其他问题的缘故打算完全删除它。

Fedora 已经不将这个传统的接口编译到内核了，因此在系统上没有 /sys/class/gpio 这个文件。此教程使用一个上游内核提供的一个新的字符设备 /dev/gpiochipN 。这是目前和 GPIO 交互的方式。

为了和这个新设备进行交互，你需要使用一个库和一系列命令行界面的工具。常用的命令行工具比如说 echo 和 cat 在此设备上无法正常工作。

你可以通过安装 libgpiod-utils 包来安装命令行界面工具。python3-libgpiod 包提供了相应的 Python 库。

使用 Podman 来创建一个容器

Podman 是一个容器运行环境，其命令行界面类似于 Docker。Podman 的一大优势是它不会在后台运行任何守护进程。这对于资源有限的设备尤其有用。Podman 还允许您使用 systemd 单元文件启动容器化服务。此外，它还有许多其他功能。

我们使用如下两步来创建一个容器：

1. 创建包含所需包的分层镜像。
2. 使用分层镜像创建一个新容器。

首先创建一个 Dockerfile 文件，内容如下。这些内容告诉 Podman 基于可使用的最新 Fedora 镜像来构建我们的分层镜像。然后就是更新系统和安装一些软件包：

FROM fedora:latest
RUN  dnf -y update
RUN  dnf -y install libgpiod-utils python3-libgpiod

这样你就完成了镜像的生成前的配置工作，这个镜像基于最新的 Fedora，而且包含了和 GPIO 交互的软件包。

现在你就可以运行如下命令来构建你的基本镜像了：

$ sudo podman build --tag fedora:gpiobase -f ./Dockerfile

你已经成功创建了你的自定义镜像。这样以后你就可以不用每次都重新搭建环境了，而是基于你创建的镜像来完成工作。

使用 Podman 完成工作

为了确认当前的镜像是否就绪，可以运行如下命令：

$ sudo podman images
REPOSITORY                 TAG        IMAGE ID       CREATED          SIZE
localhost/fedora           gpiobase   67a2b2b93b4b   10 minutes ago  488MB
docker.io/library/fedora   latest     c18042d7fac6   2 days ago     300MB

现在，启动容器并进行一些实际的实验。容器通常是隔离的，无法访问主机系统，包括 GPIO 接口。因此需要在启动容器时将其挂载在容器内。可以使用以下命令中的 -device 选项来解决：

$ sudo podman run -it --name gpioexperiment --device=/dev/gpiochip0 localhost/fedora:gpiobase /bin/bash

运行之后就进入了正在运行的容器中。在继续之前，这里有一些容器命令。输入 exit 或者按下 Ctrl+D 来退出容器。

显示所有存在的容器可以运行如下命令，这包括当前没有运行的，比如你刚刚创建的那个：

$ sudo podman container ls -a
CONTAINER ID   IMAGE             COMMAND     CREATED          STATUS                              PORTS   NAMES
64e661d5d4e8   localhost/fedora:gpiobase   /bin/bash 37 seconds ago Exited (0) Less than a second ago           gpioexperiment

使用如下命令创建一个新的容器：

$ sudo podman run -it --name newexperiment --device=/dev/gpiochip0 localhost/fedora:gpiobase /bin/bash

如果想删除容器可以使用如下命令：

$ sudo podman rm newexperiment

点亮 LED 灯

现在可以使用已创建的容器。如果已经从容器退出，请使用以下命令再次启动它：

$ sudo podman start -ia gpioexperiment

如前所述，可以使用 Fedora 中 libgpiod-utils 包提供的命令行工具。要列出可用的 GPIO 芯片可以使用如下命令：

$ gpiodetect
gpiochip0 [pinctrl-bcm2835] (54 lines)

要获取特定芯片的连线列表，请运行：

$ gpioinfo gpiochip0

请注意，物理引脚数与前一个命令所打印的连线数之间没有相关性。重要的是 BCM 编号，如 pinout.xyz 所示。建议不要使用没有相应 BCM 编号的连线。

现在，将 LED 连接到物理引脚 40，也就是 BCM 21。请记住：LED 的短腿（负极，称为阴极）必须连接到带有 330 欧姆电阻的树莓派的 GND 引脚， 并且长腿（阳极）到物理引脚 40。

运行以下命令点亮 LED，按下 Ctrl + C 关闭：

$ gpioset --mode=wait gpiochip0 21=1

要点亮一段时间，请添加 -b（在后台运行）和 -s NUM（多少秒）参数，如下所示。 例如，要点亮 LED 5 秒钟，运行如下命令：

$ gpioset -b -s 5 --mode=time gpiochip0 21=1

另一个有用的命令是 gpioget。 它可以获得引脚的状态（高或低），可用于检测按钮和开关。

总结

你也可以使用 Python 操控 LED —— 这里有一些例子。 也可以在容器内使用 i2c 设备。 此外，Podman 与此 Fedora 版本并不严格相关。你可以在任何现有的 Fedora 版本上安装它，或者在 Fedora 中使用两个基于 OSTree 的新系统进行尝试：Fedora Silverblue 和 Fedora CoreOS。

via: https://fedoramagazine.org/turnon-led-fedora-iot/

作者：Alessio Ciregia 选题：lujun9972 译者：ScarboroughCoral 校对：wxy

本文由 LCTT 原创编译，Linux中国 荣誉推出

用这些开源软件解决方案构建一个更智能的家庭。

物联网 不仅是一个时髦词，在现实中，自 2016 年我们发布了一篇关于家庭自动化工具的评论文章以来，它也在迅速占领着我们的生活。在 2017，26.5% 的美国家庭 已经使用了一些智能家居技术；预计五年内，这一数字还将翻倍。

随着这些数量持续增加的各种设备的使用，可以帮助你实现对家庭的自动化管理、安保、和监视，在家庭自动化方面，从来没有像现在这样容易和更加吸引人过。不论你是要远程控制你的 HVAC 系统，集成一个家庭影院，保护你的家免受盗窃、火灾、或是其它威胁，还是节省能源或只是控制几盏灯，现在都有无数的设备可以帮到你。

但同时，还有许多用户担心安装在他们家庭中的新设备带来的安全和隐私问题 —— 这是一个很现实也很 严肃的问题。他们想要去控制有谁可以接触到这个重要的系统，这个系统管理着他们的应用程序，记录了他们生活中的点点滴滴。这种想法是可以理解的：毕竟在一个连你的冰箱都是智能设备的今天，你不想要一个基本的保证吗？甚至是如果你授权了设备可以与外界通讯，它是否是仅被授权的人访问它呢？

对安全的担心 是为什么开源对我们将来使用的互联设备至关重要的众多理由之一。由于源代码运行在他们自己的设备上，完全可以去搞明白控制你的家庭的程序，也就是说你可以查看它的代码，如果必要的话甚至可以去修改它。

虽然联网设备通常都包含它们专有的组件，但是将开源引入家庭自动化的第一步是确保你的设备和这些设备可以共同工作 —— 它们为你提供一个接口 —— 并且是开源的。幸运的是，现在有许多解决方案可供选择，从 PC 到树莓派，你可以在它们上做任何事情。

这里有几个我比较喜欢的。

Calaos

Calaos 是一个设计为全栈的家庭自动化平台，包含一个服务器应用程序、触摸屏界面、Web 应用程序、支持 iOS 和 Android 的原生移动应用、以及一个运行在底层的预配置好的 Linux 操作系统。Calaos 项目出自一个法国公司，因此它的支持论坛以法语为主，不过大量的介绍资料和文档都已经翻译为英语了。

Calaos 使用的是 GPL v3 的许可证，你可以在 GitHub 上查看它的源代码。

Domoticz

Domoticz 是一个有大量设备库支持的家庭自动化系统，在它的项目网站上有大量的文档，从气象站到远程控制的烟雾探测器，以及大量的第三方 集成软件 。它使用一个 HTML5 前端，可以从桌面浏览器或者大多数现代的智能手机上访问它，它是一个轻量级的应用，可以运行在像树莓派这样的低功耗设备上。

Domoticz 是用 C++ 写的，使用 GPLv3 许可证。它的 源代码 在 GitHub 上。

Home Assistant

Home Assistant 是一个开源的家庭自动化平台，它可以轻松部署在任何能运行 Python 3 的机器上，从树莓派到网络存储（NAS），甚至可以使用 Docker 容器轻松地部署到其它系统上。它集成了大量的开源和商业的产品，允许你去连接它们，比如，IFTTT、天气信息、或者你的 Amazon Echo 设备，去控制从锁到灯的各种硬件。

Home Assistant 以 MIT 许可证 发布，它的源代码可以从 GitHub 上下载。

MisterHouse

从 2016 年起，MisterHouse 取得了很多的进展，我们把它作为一个“可以考虑的另外选择”列在这个清单上。它使用 Perl 脚本去监视任何东西，它可以通过一台计算机来查询或者控制任何可以远程控制的东西。它可以响应语音命令，查询当前时间、天气、位置、以及其它事件，比如去打开灯、唤醒你、记下你喜欢的电视节目、通报呼入的来电、开门报警、记录你儿子上了多长时间的网、如果你女儿汽车超速它也可以告诉你等等。它可以运行在 Linux、macOS、以及 Windows 计算机上，它可以读/写很多的设备，包括安全系统、气象站、来电显示、路由器、机动车位置系统等等。

MisterHouse 使用 GPLv2 许可证，你可以在 GitHub 上查看它的源代码。

OpenHAB

OpenHAB（开放家庭自动化总线的简称）是在开源爱好者中所熟知的家庭自动化工具，它拥有大量用户的社区以及支持和集成了大量的设备。它是用 Java 写的，OpenHAB 非常轻便，可以跨大多数主流操作系统使用，它甚至在树莓派上也运行的很好。支持成百上千的设备，OpenHAB 被设计为与设备无关的，这使开发者在系统中添加他们的设备或者插件很容易。OpenHAB 也支持通过 iOS 和 Android 应用来控制设备以及设计工具，因此，你可以为你的家庭系统创建你自己的 UI。

你可以在 GitHub 上找到 OpenHAB 的 源代码，它使用 Eclipse 公共许可证。

OpenMotics

OpenMotics 是一个开源的硬件和软件家庭自动化系统。它的设计目标是为控制设备提供一个综合的系统，而不是从不同的供应商处将各种设备拼接在一起。不像其它的系统主要是为了方便改装而设计的，OpenMotics 专注于硬件解决方案。更多资料请查阅来自 OpenMotics 的后端开发者 Frederick Ryckbosch的 完整文章 。

OpenMotics 使用 GPLv2 许可证，它的源代码可以从 GitHub 上下载。

当然了，我们的选择不仅有这些。许多家庭自动化爱好者使用不同的解决方案，甚至是他们自己动手做。其它用户选择使用单独的智能家庭设备而无需集成它们到一个单一的综合系统中。

如果上面的解决方案并不能满足你的需求，下面还有一些潜在的替代者可以去考虑：

• EventGhost 是一个开源的（GPL v2）家庭影院自动化工具，它只能运行在 Microsoft Windows PC 上。它允许用户去控制多媒体电脑和连接的硬件，它通过触发宏指令的插件或者定制的 Python 脚本来使用。
• ioBroker 是一个基于 JavaScript 的物联网平台，它能够控制灯、锁、空调、多媒体、网络摄像头等等。它可以运行在任何可以运行 Node.js 的硬件上，包括 Windows、Linux、以及 macOS，它使用 MIT 许可证。
• Jeedom 是一个由开源软件（GPL v2）构成的家庭自动化平台，它可以控制灯、锁、多媒体等等。它包含一个移动应用程序（Android 和 iOS），并且可以运行在 Linux PC 上；该公司也销售 hub，它为配置家庭自动化提供一个现成的解决方案。
• LinuxMCE 标称它是你的多媒体与电子设备之间的“数字粘合剂”。它运行在 Linux（包括树莓派）上，它基于 Pluto 开源 许可证 发布，它可以用于家庭安全、电话（VoIP 和语音信箱）、A/V 设备、家庭自动化、以及玩视频游戏。
• OpenNetHome，和这一类中的其它解决方案一样，是一个控制灯、报警、应用程序等等的一个开源软件。它基于 Java 和 Apache Maven，可以运行在 Windows、macOS、以及 Linux —— 包括树莓派，它以 GPLv3 许可证发布。
• Smarthomatic 是一个专注于硬件设备和软件的开源家庭自动化框架，而不仅是用户界面。它基于 GPLv3 许可证，它可用于控制灯、电器、以及空调、检测温度、提醒给植物浇水。

现在该轮到你了：你已经准备好家庭自动化系统了吗？或者正在研究去设计一个。你对家庭自动化的新手有什么建议，你会推荐什么样的系统？

via: https://opensource.com/life/17/12/home-automation-tools

作者：Jason Baker 译者：qhwdw 校对：wxy

本文由 LCTT 原创编译，Linux中国 荣誉推出

本文作者 janit0r 被认为是 BrickerBot 病毒的作者。此病毒会攻击物联网上安全性不足的设备并使其断开和其他网络设备的连接。janit0r 宣称他使用这个病毒的目的是保护互联网的安全，避免这些设备被入侵者用于入侵网络上的其他设备。janit0r 称此项目为“互联网化疗”。janit0r 决定在 2017 年 12 月终止这个项目，并在网络上发表了这篇文章。

--[ 1 互联网化疗

互联网化疗 Internet Chemotherapy 是在 2016 年 11 月 到 2017 年 12 月之间的一个为期 13 个月的项目。它曾被称为 “BrickerBot”、“错误的固件升级”、“勒索软件”、“大规模网络瘫痪”，甚至 “前所未有的恐怖行为”。最后一个有点伤人了，费尔南德斯（LCTT 译注：委内瑞拉电信公司 CANTV 的光纤网络曾在 2017 年 8 月受到病毒攻击，公司董事长曼努埃尔·费尔南德斯称这次攻击为“前所未有的恐怖行为”），但我想我大概不能让所有人都满意吧。

你可以从 http://91.215.104.140/mod_plaintext.py下载我的代码模块，它可以基于http和telnet发送恶意请求（LCTT译注：这个链接已经失效，不过在[Github](https://github.com/JeremyNGalloway/mod_plaintext.py)上有备份）。因为平台的限制，模块里是代码混淆过的单线程Python代码，但ruby载荷rtpayload/rt/ruby（LCTT 译注：payload，指实质的攻击/利用代码）依然是明文，任何合格的程序员应该都能看得懂。看看这里面有多少载荷、0-day 漏洞和入侵技巧，花点时间让自己接受现实。然后想象一下，如果我是一个黑客，致力于创造出强大的 DDoS 生成器来勒索那些最大的互联网服务提供商（ISP）和公司的话，互联网在 2017 年会受到怎样的打击。我完全可以让他们全部陷入混乱，并同时对整个互联网造成巨大的伤害。

我的 ssh 爬虫太危险了，不能发布出来。它包含很多层面的自动化，可以只利用一个被入侵的路由器就能够在设计有缺陷的 ISP 的网络上平行移动并加以入侵。正是因为我可以征用数以万计的 ISP 的路由器，而这些路由器让我知晓网络上发生的事情并给我提供源源不断的节点用来进行入侵行动，我才得以进行我的反物联网僵尸网络项目。我于 2015 年开始了我的非破坏性的 ISP 的网络清理项目，于是当 Mirai 病毒入侵时我已经做好了准备来做出回应。主动破坏其他人的设备仍然是一个困难的决定，但无比危险的 CVE-2016-10372 漏洞让我别无选择。从那时起我就决定一不做二不休。

（LCTT 译注：上一段中提到的 Mirai 病毒首次出现在 2016 年 8 月。它可以远程入侵运行 Linux 系统的网络设备并利用这些设备构建僵尸网络。本文作者 janit0r 宣称当 Mirai 入侵时他利用自己的 BrickerBot 病毒强制将数以万计的设备从网络上断开，从而减少 Mirai 病毒可以利用的设备数量。）

我在此警告你们，我所做的只是权宜之计，它并不足以在未来继续拯救互联网。坏人们正变得更加聪明，潜在存在漏洞的设备数量在持续增加，发生大规模的、能使网络瘫痪的事件只是时间问题。如果你愿意相信，我曾经在一个持续 13 个月的项目中使上千万有漏洞的设备变得无法使用，那么不过分地说，如此严重的事件本已经在 2017 年发生了。

你们应该意识到，只需要再有一两个严重的物联网漏洞，我们的网络就会严重瘫痪。 考虑到我们的社会现在是多么依赖数字网络，而计算机安全应急响应组（CERT）、ISP 们和政府们又是多么地忽视这种问题的严重性，这种事件造成的伤害是无法估计的。ISP 在持续地部署暴露了控制端口的设备，而且即使像 Shodan 这样的服务可以轻而易举地发现这些问题，国家 CERT 还是似乎并不在意。而很多国家甚至都没有自己的 CERT 。世界上许多最大的 ISP 都没有雇佣任何熟知计算机安全问题的人，而是在出现问题的时候依赖于外来的专家来解决。我曾见识过大型 ISP 在我的僵尸网络的调节之下连续多个月持续受损，但他们还是不能完全解决漏洞（几个好的例子是 BSNL、Telkom ZA、PLDT、某些时候的 PT Telkom，以及南半球大部分的大型 ISP ）。只要看看 Telkom ZA 解决他们的 Aztech 调制解调器问题的速度有多慢，你就会开始理解现状有多么令人绝望。在 99% 的情况下，要解决这个问题只需要 ISP 部署合理的访问控制列表，并把部署在用户端的设备（CPE）单独分段就行，但是几个月过去之后他们的技术人员依然没有弄明白。如果 ISP 在经历了几周到几个月的针对他们设备的蓄意攻击之后仍然无法解决问题，我们又怎么能期望他们会注意到并解决 Mirai 在他们网络上造成的问题呢？世界上许多最大的 ISP 对这些事情无知得令人发指，而这毫无疑问是最大的危险，但奇怪的是，这应该也是最容易解决的问题。

我已经尽自己的责任试着去让互联网多坚持一段时间，但我已经尽力了。接下来要交给你们了。即使很小的行动也是非常重要的。你们能做的事情有：

• 使用像 Shodan 之类的服务来检查你的 ISP 的安全性，并驱使他们去解决他们网络上开放的 telnet、http、httpd、ssh 和 tr069 等端口。如果需要的话，可以把这篇文章给他们看。从来不存在什么好的理由来让这些端口可以从外界访问。暴露控制端口是业余人士的错误。如果有足够的客户抱怨，他们也许真的会采取行动！
• 用你的钱包投票！拒绝购买或使用任何“智能”产品，除非制造商保证这个产品能够而且将会收到及时的安全更新。在把你辛苦赚的钱交给提供商之前，先去查看他们的安全记录。为了更好的安全性，可以多花一些钱。
• 游说你本地的政治家和政府官员，让他们改进法案来规范物联网设备，包括路由器、IP 照相机和各种“智能”设备。不论私有还是公有的公司目前都没有足够的动机去在短期内解决该问题。这件事情和汽车或者通用电器的安全标准一样重要。
• 考虑给像 GDI 基金会或者 Shadowserver 基金会这种缺少支持的白帽黑客组织贡献你的时间或者其他资源。这些组织和人能产生巨大的影响，并且他们可以很好地发挥你的能力来帮助互联网。
• 最后，虽然希望不大，但可以考虑通过设立法律先例来让物联网设备成为一种“ 诱惑性危险品 attractive nuisance ”（LCTT 译注：attractive nuisance 是美国法律中的一个原则，意思是如果儿童在私人领地上因为某些对儿童有吸引力的危险物品而受伤，领地的主人需要负责，无论受伤的儿童是否是合法进入领地）。如果一个房主可以因为小偷或者侵入者受伤而被追责，我不清楚为什么设备的主人（或者 ISP 和设备制造商）不应该因为他们的危险的设备被远程入侵所造成的伤害而被追责。连带责任原则应该适用于对设备应用层的入侵。如果任何有钱的大型 ISP 不愿意为设立这样的先例而出钱（他们也许的确不会，因为他们害怕这样的先例会反过来让自己吃亏），我们甚至可以在这里还有在欧洲为这个行动而进行众筹。 ISP 们：把你们在用来应对 DDoS 的带宽上省下的可观的成本当做我为这个目标的间接投资，也当做它的好处的证明吧。

--[ 2 时间线

下面是这个项目中一些值得纪念的事件：

• 2016 年 11 月底的德国电信 Mirai 事故。我匆忙写出的最初的 TR069/64 请求只执行了 route del default，不过这已经足够引起 ISP 去注意这个问题，而它引发的新闻头条警告了全球的其他 ISP 来注意这个迫近的危机。
• 大约 1 月 11 日 到 12 日，一些位于华盛顿特区的开放了 6789 控制端口的硬盘录像机被 Mirai 入侵并瘫痪，这上了很多头条新闻。我要给 Vemulapalli 点赞，她居然认为 Mirai 加上 /dev/urandom 一定是“非常复杂的勒索软件”（LCTT 译注：Archana Vemulapalli 当时是华盛顿市政府的 CTO）。欧洲的那两个可怜人又怎么样了呢？
• 2017 年 1 月底发生了第一起真正的大规模 ISP 下线事件。Rogers Canada 的提供商 Hitron 非常粗心地推送了一个在 2323 端口上监听的无验证的 root shell（这可能是一个他们忘记关闭的 debug 接口）。这个惊天的失误很快被 Mirai 的僵尸网络所发现，造成大量设备瘫痪。
• 在 2017 年 2 月，我注意到 Mirai 在这一年里的第一次扩张，Netcore/Netis 以及 Broadcom 的基于 CLI （命令行接口）的调制解调器都遭受了攻击。BCM CLI 后来成为了 Mirai 在 2017 年的主要战场，黑客们和我自己都在这一年的余下时间里花大量时间寻找无数 ISP 和设备制造商设置的默认密码。前面代码中的“broadcom” 载荷也许看上去有点奇怪，但它们是统计角度上最可能禁用那些大量的有问题的 BCM CLI 固件的序列。
• 在 2017 年 3 月，我大幅提升了我的僵尸网络的节点数量并开始加入更多的网络载荷。这是为了应对包括 Imeij、Amnesia 和 Persirai 在内的僵尸网络的威胁。大规模地禁用这些被入侵的设备也带来了新的一些问题。比如在 Avtech 和 Wificam 设备所泄露的登录信息当中，有一些用户名和密码非常像是用于机场和其他重要设施的，而英国政府官员大概在 2017 年 4 月 1 日关于针对机场和核设施的“实际存在的网络威胁”做出过警告。哎呀。
• 这种更加激进的扫描还引起了民间安全研究者的注意，安全公司 Radware 在 2017 年 4 月 6 日发表了一篇关于我的项目的文章。这个公司把它叫做“BrickerBot”。显然，如果我要继续增加我的物联网防御措施的规模，我必须想出更好的网络映射与检测方法来应对蜜罐或者其他有风险的目标。
• 2017 年 4 月 11 日左右的时候发生了一件非常不寻常的事情。一开始这看上去和许多其他的 ISP 下线事件相似，一个叫 Sierra Tel 的半本地 ISP 在一些 Zyxel 设备上使用了默认的 telnet 用户名密码 supervisor/zyad1234。一个 Mirai 运行器发现了这些有漏洞的设备，我的僵尸网络紧随其后，2017 年精彩绝伦的 BCM CLI 战争又开启了新的一场战斗。这场战斗并没有持续很久。它本来会和 2017 年的其他数百起 ISP 下线事件一样，如果不是在尘埃落定之后发生的那件非常不寻常的事情的话。令人惊奇的是，这家 ISP 并没有试着把这次网络中断掩盖成某种网络故障、电力超额或错误的固件升级。他们完全没有对客户说谎。相反，他们很快发表了新闻公告，说他们的调制解调器有漏洞，这让他们的客户们得以评估自己可能遭受的风险。这家全世界最诚实的 ISP 为他们值得赞扬的公开行为而收获了什么呢？悲哀的是，它得到的只是批评和不好的名声。这依然是我记忆中最令人沮丧的“为什么我们得不到好东西”的例子，这很有可能也是为什么 99% 的安全错误都被掩盖而真正的受害者被蒙在鼓里的最主要原因。太多时候，“有责任心的信息公开”会直接变成“粉饰太平”的委婉说法。
• 在 2017 年 4 月 14 日，国土安全部关于“BrickerBot 对物联网的威胁”做出了警告，我自己的政府把我作为一个网络威胁这件事让我觉得他们很不公平而且目光短浅。跟我相比，对美国人民威胁最大的难道不应该是那些部署缺乏安全性的网络设备的提供商和贩卖不成熟的安全方案的物联网设备制造商吗？如果没有我，数以百万计的人们可能还在用被入侵的设备和网络来处理银行业务和其他需要保密的交易。如果国土安全部里有人读到这篇文章，我强烈建议你重新考虑一下保护国家和公民究竟是什么意思。
• 在 2017 年 4 月底，我花了一些时间改进我的 TR069/64 攻击方法，然后在 2017 年 5 月初，一个叫 Wordfence 的公司（现在叫 Defiant）报道称一个曾给 Wordpress 网站造成威胁的基于入侵 TR069 的僵尸网络很明显地衰减了。值得注意的是，同一个僵尸网络在几星期后使用了一个不同的入侵方式暂时回归了（不过这最终也同样被化解了）。
• 在 2017 年 5 月，主机托管公司 Akamai 在它的 2017 年第一季度互联网现状报告中写道，相比于 2016 年第一季度，大型（超过 100 Gbps）DDoS 攻击数减少了 89%，而总体 DDoS 攻击数减少了 30%。鉴于大型 DDoS 攻击是 Mirai 的主要手段，我觉得这给这些月来我在物联网领域的辛苦劳动提供了实际的支持。
• 在夏天我持续地改进我的入侵技术军火库，然后在 7 月底我针对亚太互联网络信息中心（APNIC）的 ISP 进行了一些测试。测试结果非常令人吃惊。造成的影响之一是数十万的 BSNL 和 MTNL 调制解调器被禁用，而这次中断事故在印度成为了头条新闻。考虑到当时在印度和中国之间持续升级的地缘政治压力，我觉得这个事故有很大的风险会被归咎于中国所为，于是我很罕见地决定公开承认是我所做。Catalin，我很抱歉你在报道这条新闻之后突然被迫放的“两天的假期”。
• 在处理过亚太互联网络信息中心（APNIC）和非洲互联网络信息中心（AfriNIC）的之后，在 2017 年 8 月 9 日我又针对拉丁美洲与加勒比地区互联网络信息中心（LACNIC）进行了大规模的清理，给这个大洲的许多提供商造成了问题。在数百万的 Movilnet 的手机用户失去连接之后，这次攻击在委内瑞拉被大幅报道。虽然我个人反对政府监管互联网，委内瑞拉的这次情况值得注意。许多拉美与加勒比地区的提供商与网络曾在我的僵尸网络的持续调节之下连续数个月逐渐衰弱，但委内瑞拉的提供商很快加强了他们的网络防护并确保了他们的网络设施的安全。我认为这是由于委内瑞拉相比于该地区的其他国家来说进行了更具侵入性的深度包检测。值得思考一下。
• F5 实验室在 2017 年 8 月发布了一个题为“狩猎物联网：僵尸物联网的崛起”的报告，研究者们在其中对近期 telnet 活动的平静表达了困惑。研究者们猜测这种活动的减少也许证实了一个或多个非常大型的网络武器正在成型（我想这大概确实是真的）。这篇报告是在我印象中对我的项目的规模最准确的评估，但神奇的是，这些研究者们什么都推断不出来，尽管他们把所有相关的线索都集中到了一页纸上。
• 2017 年 8 月，Akamai 的 2017 年第二季度互联网现状报告宣布这是三年以来首个该提供商没有发现任何大规模（超过 100 Gbps）攻击的季度，而且 DDoS 攻击总数相比 2017 年第一季度减少了 28%。这看上去给我的清理工作提供了更多的支持。这个出奇的好消息被主流媒体所完全忽视了，这些媒体有着“流血的才是好新闻”的心态，即使是在信息安全领域。这是我们为什么不能得到好东西的又一个原因。
• 在 CVE-2017-7921 和 7923 于 2017 年 9 月公布之后，我决定更密切地关注海康威视公司的设备，然后我惊恐地发现有一个黑客们还没有发现的方法可以用来入侵有漏洞的固件。于是我在 9 月中旬开启了一个全球范围的清理行动。超过一百万台硬盘录像机和摄像机（主要是海康威视和大华出品）在三周内被禁用，然后包括 IPVM.com 在内的媒体为这些攻击写了多篇报道。大华和海康威视在新闻公告中提到或暗示了这些攻击。大量的设备总算得到了固件升级。看到这次清理活动造成的困惑，我决定给这些闭路电视制造商写一篇简短的总结（请原谅在这个粘贴板网站上的不和谐的语言）。这令人震惊的有漏洞而且在关键的安全补丁发布之后仍然在线的设备数量应该能够唤醒所有人，让他们知道现今的物联网补丁升级过程有多么无力。
• 2017 年 9 月 28 日左右，Verisign 发表了报告称 2017 年第二季度的 DDoS 攻击数相比第一季度减少了 55%，而且攻击峰值大幅减少了 81%。
• 2017 年 11 月 23 日，CDN 供应商 Cloudflare 报道称“近几个月来，Cloudflare 看到试图用垃圾流量挤满我们的网络的简单进攻尝试有了大幅减少”。Cloudflare 推测这可能和他们的政策变化有一定关系，但这些减少也和物联网清理行动有着明显的重合。
• 2017 年 11 月底，Akamai 的 2017 年第三季度互联网现状报告称 DDoS 攻击数较前一季度小幅增加了 8%。虽然这相比 2016 年的第三季度已经减少了很多，但这次小幅上涨提醒我们危险仍然存在。
• 作为潜在危险的更进一步的提醒，一个叫做“Satori”的新的 Mirai 变种于 2017 年 11 月至 12 月开始冒头。这个僵尸网络仅仅通过一个 0-day 漏洞而达成的增长速度非常值得注意。这起事件凸显了互联网的危险现状，以及我们为什么距离大规模的事故只差一两起物联网入侵。当下一次威胁发生而且没人阻止的时候，会发生什么？Sinkholing 和其他的白帽或“合法”的缓解措施在 2018 年不会有效，就像它们在 2016 年也不曾有效一样。也许未来各国政府可以合作创建一个国际范围的反黑客特别部队来应对特别严重的会影响互联网存续的威胁，但我并不抱太大期望。
• 在年末出现了一些危言耸听的新闻报道，有关被一个被称作“Reaper”和“IoTroop”的新的僵尸网络。我知道你们中有些人最终会去嘲笑那些把它的规模估算为一两百万的人，但你们应该理解这些网络安全研究者们对网络上发生的事情以及不由他们掌控的硬件的事情都是一知半解。实际来说，研究者们不可能知道或甚至猜测到大部分有漏洞的设备在僵尸网络出现时已经被禁用了。给“Reaper”一两个新的未经处理的 0-day 漏洞的话，它就会变得和我们最担心的事情一样可怕。

--[ 3 临别赠言

我很抱歉把你们留在这种境况当中，但我的人身安全受到的威胁已经不允许我再继续下去。我树了很多敌人。如果你想要帮忙，请看前面列举的该做的事情。祝你好运。

也会有人批评我，说我不负责任，但这完全找错了重点。真正的重点是如果一个像我一样没有黑客背景的人可以做到我所做到的事情，那么一个比我厉害的人可以在 2017 年对互联网做比这要可怕太多的事情。我并不是问题本身，我也不是来遵循任何人制定的规则的。我只是报信的人。你越早意识到这点越好。

——Dr Cyborkian 又名 janit0r，“病入膏肓”的设备的调节者。

via：https://ghostbin.com/paste/q2vq2

作者：janit0r 译者：yixunx 校对：wxy

本文由 LCTT 原创编译， Linux中国 荣誉推出

开源组织的模块化开发方式非常适合物联网。

图片来源： opensource.com

Eclipse 可能不是第一个去研究物联网的开源组织。但是，远在 IoT 家喻户晓之前，该基金会在 2001 年左右就开始支持开源软件发展商业化。

九月份的 Eclipse 物联网日和 RedMonk 的 ThingMonk 2017 一块举行，着重强调了 Eclipse 在 物联网发展 中的重要作用。它现在已经包含了 28 个项目，覆盖了大部分物联网项目需求。会议过程中，我和负责 Eclipse 市场化运作的 Ian Skerritt 讨论了 Eclipse 的物联网项目以及如何拓展它。

物联网的最新进展？

我问 Ian 物联网同传统工业自动化，也就是前几十年通过传感器和相应工具来实现工厂互联的方式有什么不同。 Ian 指出很多工厂是还没有互联的。

另外，他说 “SCADA [ 监控和数据分析 supervisory control and data analysis ] 系统以及工厂底层技术都是非常私有的、独立性的。我们很难去改变它，也很难去适配它们 …… 现在，如果你想运行一套生产系统，你需要设计成百上千的单元。生产线想要的是满足用户需求，使制造过程更灵活，从而可以不断产出。” 这也就是物联网会带给制造业的一个很大的帮助。

Eclipse 物联网方面的研究

Ian 对于 Eclipse 在物联网的研究是这样描述的：“满足任何物联网解决方案的核心基础技术” ，通过使用开源技术，“每个人都可以使用，从而可以获得更好的适配性。” 他说，Eclipse 将物联网视为包括三层互联的软件栈。从更高的层面上看，这些软件栈（按照大家常见的说法）将物联网描述为跨越三个层面的网络。特定的实现方式可能含有更多的层，但是它们一般都可以映射到这个三层模型的功能上：

• 一种可以装载设备（例如设备、终端、微控制器、传感器）用软件的堆栈。
• 将不同的传感器采集到的数据信息聚合起来并传输到网上的一类网关。这一层也可能会针对传感器数据检测做出实时反应。
• 物联网平台后端的一个软件栈。这个后端云存储数据并能根据采集的数据比如历史趋势、预测分析提供服务。

这三个软件栈在 Eclipse 的白皮书 “The Three Software Stacks Required for IoT Architectures ”中有更详细的描述。

Ian 说在这些架构中开发一种解决方案时，“需要开发一些特殊的东西，但是很多底层的技术是可以借用的，像通信协议、网关服务。需要一种模块化的方式来满足不同的需求场合。” Eclipse 关于物联网方面的研究可以概括为：开发模块化开源组件，从而可以被用于开发大量的特定性商业服务和解决方案。

Eclipse 的物联网项目

在众多已被应用的 Eclipse 物联网应用中， Ian 举了两个和 MQTT 有关联的突出应用，一个设备与设备互联（M2M）的物联网协议。 Ian 把它描述成“一个专为重视电源管理工作的油气传输线监控系统的信息发布/订阅协议。MQTT 已经是众多物联网广泛应用标准中很成功的一个。” Eclipse Mosquitto 是 MQTT 的代理，Eclipse Paho 是他的客户端。

Eclipse Kura 是一个物联网网关，引用 Ian 的话，“它连接了很多不同的协议间的联系”，包括蓝牙、Modbus、CANbus 和 OPC 统一架构协议，以及一直在不断添加的各种协议。他说，一个优势就是，取代了你自己写你自己的协议， Kura 提供了这个功能并将你通过卫星、网络或其他设备连接到网络。”另外它也提供了防火墙配置、网络延时以及其它功能。Ian 也指出“如果网络不通时，它会存储信息直到网络恢复。”

最新的一个项目中，Eclipse Kapua 正尝试通过微服务来为物联网云平台提供不同的服务。比如，它集成了通信、汇聚、管理、存储和分析功能。Ian 说“它正在不断前进，虽然还没被完全开发出来，但是 Eurotech 和 RedHat 在这个项目上非常积极。”

Ian 说 Eclipse hawkBit ，一个软件更新管理的软件，是一项“非常有趣的项目。从安全的角度说，如果你不能更新你的设备，你将会面临巨大的安全漏洞。”很多物联网安全事故都和无法更新的设备有关，他说，“HawkBit 可以基本负责通过物联网系统来完成扩展性更新的后端管理。”

物联网设备软件升级的难度一直被看作是难度最高的安全挑战之一。物联网设备不是一直连接的，而且数目众多，再加上首先设备的更新程序很难完全正常。正因为这个原因，关于 IoT 软件升级的项目一直是被当作重要内容往前推进。

为什么物联网这么适合 Eclipse

在物联网发展趋势中的一个方面就是关于构建模块来解决商业问题，而不是跨越行业和公司的大物联网平台。 Eclipse 关于物联网的研究放在一系列模块栈、提供特定和大众化需求功能的项目上，还有就是指定目标所需的可捆绑式中间件、网关和协议组件上。

作者简介：

Gordon Haff - Gordon Haff 是红帽公司的云专家，经常在消费者和行业会议上讲话，并且帮助发展红帽全面云化解决方案。他是《计算机前沿：云如何如何打开众多出版社未来之门》的作者。在红帽之前， Gordon 写了成百上千的研究报告，经常被引用到公众刊物上，像纽约时报关于 IT 的议题和产品建议等……

via： https://opensource.com/article/17/10/eclipse-and-iot

作者：Gordon Haff 译者：smartgrids 校对：wxy

本文由 LCTT 原创编译，Linux中国 荣誉推出