很多IP辦公電話，存在很多漏洞讓黑客鉆空子。通過電話，某些人可以用設(shè)備遠(yuǎn)程監(jiān)控你。Red Ballon Security創(chuàng)始人AngCui發(fā)現(xiàn)了思科電話的重大問題。下面是AngCui就此事的敘述：
大家好，我叫 AngCui ，我是 RedBallonSecurity 創(chuàng)始人兼首席科學(xué)家。一個(gè)黑客可以通過電話監(jiān)聽這個(gè)屋子無論電話是否在使用。
我們來看Cisco電話，分別來看，看上去不像電話而像電腦。他有硬盤、屏幕、撥號(hào)盤，同時(shí)還有很脆弱的軟件。
我們將這個(gè)“電腦”中的固件剝離，列出疑似漏洞之處。在2個(gè)半月之后，我們發(fā)現(xiàn)了系統(tǒng)中能夠被攻擊者接觸到的漏洞。
如果一個(gè)人能在你手機(jī)里的程序、固件中暢通無阻的話他會(huì)做什么？他們一定會(huì)監(jiān)聽你打電話，也許還會(huì)知道你什么時(shí)候給誰打電話，還遠(yuǎn)遠(yuǎn)不止這些。
話筒從來不會(huì)關(guān)閉，黑客就能聽到所有手機(jī)收錄的內(nèi)容，100%的內(nèi)容，從不停止。
為了實(shí)現(xiàn)這種黑客行為，以及其他我們已經(jīng)公布的基于IP電話的黑客攻擊，根本用不上物理接入，可以在網(wǎng)上遠(yuǎn)程攻擊。 事實(shí)上幾年前我們就在defcon上演示過，利用中斷重啟黑入打印機(jī)再利用打印機(jī)黑入路由，用路由黑入電話。這一切在臺(tái)上實(shí)時(shí)進(jìn)行的。 所以，一個(gè)黑客是完全可以利用你桌上的IP電話穿過防火墻從不知名的網(wǎng)絡(luò)發(fā)起攻擊的。
在我們可以訪問話筒時(shí)，這一切變得更有趣了。我們講所有數(shù)據(jù)輸入一個(gè)語音-文字引擎，輸出直接發(fā)布推特。直接在推特上看而不用聽那些語音對(duì)話。
這是硬件設(shè)備內(nèi)含漏洞的一個(gè)很好的研究產(chǎn)出，我們很高興與Cisco緊密合作，提出了這一漏洞。
我們將此公布給他們，他們快速反應(yīng)針對(duì)具體安全問題打了補(bǔ)丁，同時(shí)樂見到他們把固件也升級(jí)了，這些IP電話升級(jí)后不再具有這一具體的安全隱患。
現(xiàn)在有幾個(gè)問題：一個(gè)是，根據(jù)我們調(diào)查， 很少有人升級(jí)固件 ，但希望你重視起來?？赡芎芏嗳瞬粫?huì)及時(shí)升級(jí)設(shè)備的固件，事實(shí)上，保持設(shè)備固件與時(shí)俱進(jìn)很難做到。所以即便供應(yīng)商發(fā)布了Cisco電話的安全補(bǔ)丁，所有人都安裝應(yīng)用的比例也極低。
第二，這不是個(gè)例。我們研究的 眾多IP電話，都存在讓人攻擊并竊聽的安全漏洞。 如果你桌上有IP電話，意味著存在像我們對(duì)Cisco電話做的那樣被竊聽的可能。
相關(guān)閱讀
