摘要

熄灯——攻击无线灯泡

致使持续性停电

发生于2003年美国东北部的大停电事件，造成了非常广泛的影响，波及了美国整个东北部和中西部地区，以及加拿大的安大略湖。大约4.5亿人受影响长达两天之久。单就纽约而言，据报道由于个人使用蜡烛而导致的火灾达3000起。还有60起由于使用蜡烛引发的火灾报警事故，以及使用明火照明而导致的两起恶性死亡事故。在密歇根，停电期间使用蜡烛引起了一场重大火灾，导致全家被烧。

问题的惊人之处并不在于发生了东北部停电这一事件本身，而在于这一事件所揭示的内容：发达国家把使用电这种奢侈资源认为是理所当然的事情，而且越来越依赖于这些资源。当这些基本奢侈品被夺走的时候，我们就要反思和重视这种过分依赖了。扳动开关，我们希望马上就能看到电火焰带来的光明。打开冰箱，我们希望食物和饮料保存完好。走进家门，我们希望空调能够持续且自动地给予我们冷热均衡的、舒适的温度。

大约100年前，我们知道了如何产生电。在此之前，屋内照明使用煤油灯，取暖则依靠炉子。我们当前对电的依赖程度极其惊人；只要一停电，几秒钟之内我们的城市和商业马上就会停止运转。

美国的供电系统由3个互联的输电网组成，并向全国输送电力：东部电气互联网、西部电气互联网和得克萨斯州电气互联网。这3个系统以设备和传输系统之间的通信互联在一起，共同分享由此而产生的更大的发电量和更低的电价所带来的利益。

发达国家很明显依赖电网来维持其社会经济和市民生活。对于包括发电机和变压器在内的电网来说，由于运用计算机产生了大量的新技术，可使计算机网络远程就能操控电网设备提供的功能。因此，应该高度重视与网络安全相关的威胁。

除了需要确保电网安全之外，在即将到来的面向消费的时代，物联网（IoT）所产生的额外的技术生态系统也需要得到保护：物联网产品本身的安全需要得到保证。今天，能够通过无线网实时远程控制、可替代传统灯泡的各种产品已经在市场上出现。我们在家里和办公室安装这类设备时，除了要考虑基础设施安全（如电网安全）之外，也需要确保这些设备在设计上的安全性。

本章我们会深入研究一款在市场上很流行的产品（飞利浦色调个人照明系统）的设计和架构。我们社会的便利性和安全性都依赖于照明，因此，我们采用这一领域的物联网产品作为开篇第1章的重点。我们会从安全的视角来研究一下这个产品的操作和通信功能，并尝试找到安全漏洞。只有通过深入的分析，我们再讨论身边的安全问题才更可靠，建立坚实的安全性框架，并学会如何在未来构建安全的产品。

1.1 选用色调照明设备的原因

上文中，我们已经讨论了为什么照明是我们社会文明和安全中最重要的一环。我们明确选用飞利浦色调个人照明系统作为分析物联网安全领域的设备，是因为它在消费市场上非常受欢迎。作为首个获得普及的面向物联网的照明产品，飞利浦色调个人照明系统会激发其他竞争产品学习它的架构和设计理念。因此，色调产品的安全性分析将会帮助我们对当前应用于这一领域的物联网产品的安全机制、潜在漏洞，以及未来安全设计的必要变化有一个很深刻的了解。

不论是在网店还是在实体店，都可以买到色调照明系统。如图1-1所示，系统的启动包包含3个无线灯泡和1个网桥。可通过色调网站或者iOS App将灯泡配置成任意的1600万种颜色。

网桥使用以太网线缆连接用户路由器，用以建立和维持与色调互联网设施的出站连接，下一节我们将对此进行详细讨论。网桥使用ZigBee协议直接连接至LED灯泡上，ZigBee协议是建立在IEEE 802.15.4标准基础之上的。ZigBee是一种低成本、低功率的协议，在物联网设备上应用得非常广泛，主要用于设备之间的通信。

用户访问本地网络时，iOS应用会直接连接网桥，发出命令改变灯泡的状态。当用户远程访问或使用调色网站时，命令会由经由调色互联网设施发出。

之后几节我们将学习底层安全架构，了解其实现情况并发现设计缺陷。这有助于我们对当前市场上流行的面向用户的物联网照明设备的安全问题有一个深刻的理解。

 

图1-1：色调照明设备的启动包，包括1个网桥和3个无线灯泡