拉斯维加斯--在2012 黑帽大会的一次展示中，一个用于控制和攻击智能仪表的黑客工具发布了限量测试版本。Don Weber是华盛顿InGuardians公司的高级安全分析师，他向公共事业、供应商和供应商审核的智能仪表安全研究人员发布了他的OptiGuard智能仪表评估工具包。Weber之前被迫取消了在2012 ShmooCon大会上介绍自己研究的发言，他在上周三向广大Black Hat与会人员介绍他的研究是如何让他开发智能仪表工具包。

    Weber说：“我们决定不公开发布这个工具。它只向行业内人员发布：我们认可的智能仪表评估供应商、公共事业公司和研究人员。”Weber还拒绝演示这个工具，他说演示这个工具如何针对某个智能仪表是不公平的，因为这个工具集支持所有的智能仪表。

    Weber指出，OptiGuard采用Python开发，经过简单的打包，就能够与任何智能仪表通信和交互。在设计上，它使用智能仪表的红外端口进行读、写和执行程序。这个工具具有高度可配置性。修改表或运行程序需要使用安全代码，但是Weber提出了一种方法，它能够在7小时内破解智能仪表的密码。他说，这个时间对于计算机罪犯和诈骗人员而言，可能因其难度和成本很难做到。他每次使用这个工具与仪表通信，都绝不会超过20分钟。

    Weber说：“我们的工具可以帮助公共事业公司在不需要安全代码的前提下，了解可以获取哪些信息。然后他们可以进行一些修改。”攻击者可以使用这个工具发起智能仪表攻击，评估固件来开关设备，然后对仪表进行一些调整。Weber说，为了开发这个工具，他必须购买商业光学探测器，这个设备在线上售价为350美元。这家公司与制造商合作开发了一个开源光学探测器。

    Weber表示，智能仪表攻击的记录始于2009年。多年来，客户尝试使用各种方法来减少电费，包括使用强磁体来控制设备，以及研究和修改仪表的固件。好消息是，如果客户篡改了智能仪表，大多数公共事业公司都能够识别未经授权的配置修改。但是公共事业公司必须改进他们的意外响应团队，才能够监控日志，检测和响应异常活动。

    但是他说加密也带来了一些问题。目前定义了仪表通信传输方式的美国国家标准机构（ANSI） C12智能电表标准，使用的代码模糊处理有限。更新的ANSI C12规范要求使用DES加密令牌进行双向认证，但是其他数据交换仍然采用明文。大多数供应商都会等到国家标准与技术机构（NIsT）审批通过加密算法之后，才会实现更新的规范。这个问题延缓了供应商的开发进度。

    Weber说：“有一些智能仪表制造商使用了模糊协议--他们不使用连续的安全代码，这使得安全代码很难攻破。这是一个很好的做法，因为它使得智能仪表攻击过程的时间更长、代价更高。”
 

免责声明：本网站（http://www.ciotimes.com/）内容主要来自原创、合作媒体供稿和第三方投稿，凡在本网站出现的信息，均仅供参考。本网站将尽力确保所提供信息的准确性及可靠性，但不保证有关资料的准确性及可靠性，读者在使用前请进一步核实，并对任何自主决定的行为负责。本网站对有关资料所引致的错误、不确或遗漏，概不负任何法律责任。
本网站刊载的所有内容（包括但不仅限文字、图片、LOGO、音频、视频、软件、程序等）版权归原作者所有。任何单位或个人认为本网站中的内容可能涉嫌侵犯其知识产权或存在不实内容时，请及时通知本站，予以删除。