中国家用路由器安全报告：90.2%路由有漏洞

近日,360互联网安全中心发布了《2014年第一期中国家用路由器安全报告》,数据显示国内家用路由器保有量约1亿台左右,常用路由器型号超过1000款,其中使用TP-link、MERCURY(水星)、Tenda(腾达)、FAST(迅捷)等十余个路由器品牌的用户超过95%。

但是,另一组数据却让人不免大吃一惊。虽然我国路由器数量惊人,但是路由器安全隐患问题十分严重,其中CSRF漏洞在可识别型号/固件版本的4014万台路由器中覆盖率高达90.2%,另外,全国约有80万台路由器没有WiFi密码,约330万用户采用了WEP加密,这些都令路由器处于高危状态,极易被黑客利用攻击,而黑客如果掌控路由器就意味着掌控了所有连接路由器的网络设备,手机、平板电脑等敏感信息都将外泄,严重者会造成银行账号的财产损失。

WiFi有密码不代表100%安全

常见的WiFi加密方式有三种:WEP、WPA以及WPA2PSK。WEP加密方式是一种较早的加密方式,这种加密方式虽然能在一定程度上制止窥探者进入无线网络,但其密码可以通过算法计算得出,基本百发百中,极其不安全。所以目前一般默认选用的加密方式为WPA/WPA2PSK,这两种方式相较于WEP都采用了更安全的加密技术。

而从数据上看,目前国内1亿台路由器中,没有WiFi密码的数量依然有80万台,而采用不安全的WEP加密的数量有330万台。并且,即便是使用了WPA/WPA2PSK加密方式,如果WiFi密码本身的强度不够,仍然很容易被破解和入侵。从数据上看,在尝试通过WiFi连接路由器,并且正确输入了密码的设备中,约9.5%的设备为路由器所有者不认识的(陌生的)疑似蹭网设备。可见,WiFi蹭网现象的严重性,如需解决还需借助第三方管理软件,即便连接WiFi网络,依然需要允许才能正常上网。

越狱和Root设备连接WiFi也有风险

越狱的iPhone、iPad,以及Root后的安卓手机,如果接入安全性未知的WiFi网络,或者是家用WiFi网络遭黑客入侵,则有可能造成手机上的短信、照片等私密数据被攻击者窃取。

因为这些设备往往会开启OpenSSH-Server、ADB调试等远程控制或远程调适服务,并且这些远程服务又会使用默认的登录密码。而使用者通常并不知道手机会开启这些远程服务,即没有及时关闭这些服务,也没有修改服务密码,从而使攻击者可以轻易的入侵到手机等设备中,进而盗取用户手机等设备中的短信、照片等信息。

抵御WiFi风险需企业和用户齐努力

WiFi风险有一半需要企业解决,另一半需要用户掌握,两者缺一不可。

企业在路由器的功能上也亟待开发,比如路由器设备应开发基本的防蹭网功能,甚至有人暴力破解的时候可以自动拉黑;对于首次连接的陌生设备,需要人工干预是否允许接入网络,并且还要可以方便的查看连接路由器上的设备,以便管理;还有智能权限管理,临时接入设备和长期可信设备应相互隔离管理,保护各自的安全性;最后,引导用户设置使用更为安全的加密方式。相信企业开发了相应的功能就可以确保WiFi的安全性,让用户可以使用上放心的WiFi。

同时,在现阶段WiFi的安全需要用户的参与,首先是加密方式,WPA/WPA2PSK都是更安全的加密方式,并且WiFi密码需要足够负责,字母+数字的混编不利于黑客的破解,越狱或root设备需要及时关闭OpenSSH服务和ADB远程调试,如有需要也要尽快更改默认密码。