物联网+移动互联时代下的无代码安全新挑战

　　去年二月那场物联网设备安全会，我原以为就是走个过场——毕竟咱搞无代码的，安全不都该是平台方兜底吗？结果老张在台上拍桌子，说他们家智能门锁被批量劫持，攻击者直接绕过无代码平台的鉴权，用设备序列号当令牌刷开了三百多户。我手里的咖啡差点泼键盘上，这他妈不是我们去年双十一刚给某地产商做的项目吗？当时甲方还夸“七天上线，安全配置都不用改”，现在想起来后背发凉。

　　最离谱的是复盘会。安全团队说攻击者利用了物联网设备的弱口令漏洞，可无代码平台明明强制要求设备密码必须包含大小写和特殊字符啊？小王翻出日志，发现甲方为了“用户体验”，偷偷在设备固件里写了段代码，把平台下发的强密码自动转成了“12345678”——这事儿他们连我们对接人都没通知。我盯着屏幕上的代码片段，突然想起那天会议室空调坏了，老张擦着汗说“安全这事儿，用户自己会注意的”，现在想来，这他妈叫“用户自己会注意”？

　　后来跟做移动互联的李哥吃饭，他吐槽得更狠。他们给某物流公司做的无代码APP，用的人多了之后，发现部分安卓设备会频繁掉线。查了半天，原来是设备厂商为了省电，把后台心跳包间隔从三十秒改成了五分钟——可无代码平台默认的心跳超时是两分钟啊！更绝的是，这改动只在某款低端机上生效，高端机没事。李哥说：“我们测试环境用的都是旗舰机，谁能想到低端机会这么搞？”那天他边说边扒拉手机，外卖小哥的电话进来了，他接起来喊了句“放门口”，挂了电话继续骂：“这他妈叫安全挑战？这叫‘用户设备不按套路出牌挑战’！”

　　但你说这事儿完全没解吗？也不至于。我后来跟老张聊，他说他们现在强制要求所有物联网设备必须通过平台的安全沙箱初始化，密码生成、心跳间隔这些关键参数，设备厂商连改的权限都没有——改了就通不过认证。我原以为这会惹毛甲方，结果他们反而松了口气：“以前总怕设备厂商乱改，现在平台兜底，我们省心了。”你看，这就是优胜劣汰——安全做不好的无代码平台，早晚被市场淘汰，不管你吹得多天花乱坠。

文章配图，仅供参考

　　现在想想，物联网+移动互联时代的无代码安全，就像在走钢丝——一边是平台要兜底，一边是设备厂商和用户各种“不按套路出牌”。我原以为安全是技术问题，现在才明白，这他妈是“人性问题”——设备厂商想省成本，用户想省事，甲方想省时间，最后全得平台来擦屁股。但反过来想，这不就是机会吗？能把这些破事儿都兜住的平台，才能活到最后。就像老张说的：“安全不是加分项，是入场券——没有它，你连上桌的资格都没有。”

　　对了，上周我还听说某无代码平台因为安全漏洞被罚款了，具体金额没说，但甲方直接停了所有合作。我翻了下他们的文档，发现安全配置那一章写得特别详细——可惜没人看。所以啊，安全这事儿，光平台努力没用，得让甲方、设备厂商、用户都重视起来。但怎么让他们重视？我现在也没想明白——可能得等他们自己踩过坑吧。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!