2020年IoT终端安全白皮书_14页_1mb

2020年IoT终端安全白皮书总结

一、核心内容概述

2020年，物联网（IoT）行业迎来了快速发展，随着5G技术的普及，物联网终端设备数量迅速增长，成为数字化转型的重要推动力。然而，随着设备数量的激增，物联网终端面临的安全风险也日益加剧，成为制约其进一步发展的关键因素。

二、主要观点与关键信息

1. IoT行业发展提速

• 设备数量增长：2020年底，全球IoT联网设备数量首次超过非IoT设备，达117亿台，占总连接数的54%。
• 市场渗透：IoT设备在智能家居、智慧城市、智能交通、智能制造等领域广泛应用。
• 企业IoT使用激增：疫情期间，企业IoT设备使用量增长1500%，出现“Shadow IoT”现象，即未经授权接入的企业设备增加了攻击面。

2. 安全威胁加剧，安全支出增长

• 安全事件频发：20%的企业在过去三年内遭受过至少一次基于IoT的攻击。
• 安全支出预测：2020年底，全球IoT安全支出预计达24.57亿美元，其中终端安全支出5.41亿美元，网关安全支出3.27亿美元，专业服务支出15.89亿美元。
• 安全挑战：由于IoT设备的碎片化、分布式特性，安全需求和标准难以统一，缺乏统一管控手段。

3. IoT终端安全风险分析

• 检测样本数据：梆梆安全对433款主流IoT设备固件进行了自动化检测，共发现20065个安全风险，平均每款设备存在46.34个风险。
• 风险分布：按风险漏洞类型从高到低排序，机顶盒、摄像头、路由器、手持PDA、无人机等设备风险较高。
• 高可利用性漏洞：CWE-457（使用未初始化变量）、CWE-676（不安全函数调用）、CWE-476（空指针引用）等漏洞占比大，可能引发拒绝服务、控制流篡改、缓冲区溢出等威胁。
• 敏感信息泄露：用户名密码泄露风险89次，证书/密钥泄露风险59次，存在用户信息泄露和恶意软件签名欺骗隐患。

4. 第三方库安全风险

• 第三方库依赖广泛：几乎所有软件都使用第三方库，2018年第三方代码占比达80%。
• 第三方库漏洞：平均每款固件包含21.46个第三方库漏洞，且版本普遍较旧。
• 高危漏洞占比：第三方库漏洞中，高危和中危占比超过90%，安全形势严峻。
• OpenSSL与Busybox风险突出：
  • OpenSSL：被调用35次，发现1283个漏洞，主要集中在旧版本（如1.0.1），已停止维护。
  • Busybox：被调用126次，发现348个漏洞，版本滞后，如1.20.2距最后一次补丁发布已9年。

5. 固件检测评估平台

• 平台功能：梆梆安全研发了IoT固件融合分析平台，实现分布式自动抓取、解包、元数据提取和属性分析。
• 应用价值：该平台可支撑固件大数据筛查分析、风险评估及报告输出，为IoT终端安全提供有效检测手段。

三、结论与建议

IoT终端安全问题已成为制约行业发展的重要因素。随着5G和IoT设备数量的激增，安全风险呈现多样化和严重化趋势，尤其是第三方库的漏洞和固件版本滞后问题。因此，建议IoT设备厂商加强安全意识，重视固件安全检测与更新，同时推动行业建立统一的安全标准和检测体系，以保障IoT生态系统的健康发展。