眼下，路由器(qi)儼然已成為智能家居市場的(de)新寵(chong)，新品不斷。其中，安全性能成為它們的(de)主打牌之一。
的(de)(de)確，這年(nian)頭(tou)，無(wu)線(xian)(xian)路(lu)由(you)器的(de)(de)應(ying)用越(yue)來越(yue)廣泛。在(zai)餐(can)廳(ting)，無(wu)線(xian)(xian)網絡成(cheng)了招徠顧客的(de)(de)“標配”，顧客進門問的(de)(de)第一句話，往往從要菜單變成(cheng)了“無(wu)線(xian)(xian)密碼(ma)是多(duo)少”；在(zai)家(jia)中，無(wu)線(xian)(xian)路(lu)由(you)器也不再僅僅扮演“上網”的(de)(de)角色，遠(yuan)程(cheng)遙控(kong)電(dian)(dian)視、空調(diao)等家(jia)用電(dian)(dian)器，數據存(cun)儲(chu)……越(yue)來越(yue)多(duo)的(de)(de)功能開始匯集。
然而(er)，無線路(lu)由器(qi)應用(yong)愈加廣泛(fan)、與(yu)我們(men)的生活(huo)聯系愈加密切的同(tong)時(shi)，安全問題也日(ri)漸凸顯(xian)出(chu)來：網銀被盜(dao)、隱(yin)私暴露、數據丟失等等。在(zai)享受(shou)無線網絡的同(tong)時(shi)，對于安全可別掉以輕心。
——編者
網上有教程(cheng)，詳細地介紹破解路由(you)器密碼(ma)的過程(cheng)
家里(li)的無線(xian)路(lu)(lu)(lu)由(you)器(qi)(qi)幾分鐘就能破解(jie)(jie)？破解(jie)(jie)后，微博(bo)、郵箱、聊天軟件甚至是網銀的賬(zhang)號、密碼(ma)(ma)都能被對方竊取？最近，關于如(ru)何破解(jie)(jie)無線(xian)路(lu)(lu)(lu)由(you)器(qi)(qi)密碼(ma)(ma)的幾個帖子很(hen)火。在(zai)一(yi)個《攻下(xia)隔壁路(lu)(lu)(lu)由(you)器(qi)(qi)之后，我都做了(le)什么》的帖子中(zhong)，詳(xiang)盡描述(shu)了(le)攻破隔壁無線(xian)路(lu)(lu)(lu)由(you)器(qi)(qi)的過程(cheng)，并在(zai)破解(jie)(jie)后成(cheng)功獲得了(le)路(lu)(lu)(lu)由(you)器(qi)(qi)主人微博(bo)、微信(xin)的賬(zhang)號和(he)密碼(ma)(ma)。
不久前，國家(jia)互聯網應急中心發(fa)布的(de)(de)報告指出，多(duo)家(jia)廠商路由器(qi)存(cun)在后門漏洞，黑客可利用漏洞，直(zhi)接控制(zhi)路由器(qi)，竊取用戶信息。很多(duo)網友(you)質疑，無線(xian)路由器(qi)真的(de)(de)這么脆弱，一攻就破？
“破解無線(xian)路由器密碼(ma)早已不是新鮮事”，某網(wang)絡安全公司技(ji)術人員張遠告(gao)訴記者(zhe)，“只要研究(jiu)一下網(wang)上(shang)的(de)相(xiang)關破解教程，很(hen)快就能學會。”
破解(jie)過程看上去并不復(fu)雜。在(zai)張遠的指導下，記者也嘗(chang)試了(le)一次。首(shou)先需(xu)要下載(zai)好幾個軟件，成(cheng)功安裝這些軟件并搜(sou)索到(dao)附近的無線(xian)網(wang)絡(luo)信號后，以記者本人的無線(xian)路由器為目標開始進行破解(jie)。
通過(guo)“抓包(bao)”(抓取用戶連(lian)接路(lu)由器時的數據(ju)包(bao)，含有登錄密碼等(deng)信(xin)息)、運行(xing)破(po)(po)(po)解(jie)(jie)軟件、載(zai)入密碼字(zi)(zi)典等(deng)步(bu)驟，破(po)(po)(po)解(jie)(jie)進行(xing)到了最后一步(bu)：等(deng)待。經過(guo)四五個(ge)小時，系統提示破(po)(po)(po)解(jie)(jie)成功(gong)。張遠說，能(neng)否破(po)(po)(po)解(jie)(jie)和(he)破(po)(po)(po)解(jie)(jie)時間的長短取決于密碼的復雜(za)程度、字(zi)(zi)典的大小、信(xin)號強度等(deng)，“也并(bing)不是每個(ge)都能(neng)破(po)(po)(po)解(jie)(jie)成功(gong)”。
“如果破解(jie)人只是(shi)想蹭蹭網(wang)還只是(shi)小事(shi)。”張遠(yuan)說，“更可怕的(de)是(shi)通過路由(you)器，可以(yi)實現域名系(xi)統(DNS)劫(jie)持和遠(yuan)程(cheng)控制等，這(zhe)(zhe)才是(shi)真正的(de)危險(xian)，不過這(zhe)(zhe)比破解(jie)密碼復雜很(hen)多(duo)。”
攻(gong)陷路由器(qi)，可(ke)以遠程監控(kong)所有連接設備的上(shang)網數(shu)據(ju)
除了直(zhi)接破解密碼，黑客還可能(neng)利用路由器自(zi)身的(de)后門漏洞“鉆”安全的(de)空子(zi)。
據國家互聯網應(ying)急中心運(yun)行部主(zhu)任王明華介紹(shao)，路(lu)由(you)器出(chu)現(xian)安(an)全隱(yin)患目前主(zhu)要有(you)3種情況(kuang)。第(di)(di)一(yi)種是(shi)生產廠(chang)商(shang)為了調試程(cheng)序(xu)等技術需要，留有(you)后(hou)門接入(ru)口，一(yi)般(ban)需要特定的用戶名和密碼(ma)才能(neng)登(deng)錄(lu)，這個入(ru)口在(zai)出(chu)廠(chang)時應(ying)該關掉，但不少廠(chang)家并(bing)沒有(you)這樣做。一(yi)旦登(deng)錄(lu)信息過于簡單或(huo)者(zhe)出(chu)現(xian)泄露，黑客就可能(neng)趁機(ji)而入(ru)。第(di)(di)二(er)種情況(kuang)，是(shi)少數廠(chang)商(shang)蓄意(yi)留有(you)后(hou)門程(cheng)序(xu)。第(di)(di)三種也(ye)是(shi)最常(chang)見的情況(kuang)，是(shi)用戶不知(zhi)道或(huo)沒有(you)更改默(mo)認的路(lu)由(you)器管理界面(mian)上的登(deng)錄(lu)信息，黑客在(zai)多(duo)次(ci)嘗試后(hou)也(ye)可能(neng)控制路(lu)由(you)器。
國家(jia)互聯網應急中心報告顯示，2013年涉及(ji)通(tong)信網絡(luo)設備的(de)軟硬件漏洞數(shu)量為(wei)505個(ge)，較2012年增長1.5倍，其中值得關注的(de)是，本次監測發現(xian)了多款路(lu)由(you)器設備存在預置后(hou)(hou)門(men)的(de)情況。王明華認為(wei)，從路(lu)由(you)器的(de)技術開發和監測看，后(hou)(hou)門(men)程序在研發時有一定(ding)必(bi)要，但沒有必(bi)要為(wei)了升級固件和維護保留后(hou)(hou)門(men)程序，上市(shi)后(hou)(hou)應該(gai)關掉(diao)。
“黑客入侵路(lu)由器，就等于控(kong)(kong)制了上網的(de)(de)入口。”王明華(hua)說，通過對路(lu)由器進(jin)行遠程(cheng)控(kong)(kong)制，黑客可以監控(kong)(kong)連接(jie)這個路(lu)由器的(de)(de)所有設備的(de)(de)上網數據，如電腦、手機等，用(yong)戶(hu)的(de)(de)瀏覽記錄、賬號密碼(ma)等隱(yin)私信息就暴露在(zai)風險中(zhong)。
危害(hai)更為嚴(yan)重的(de)是，路由器被(bei)入侵(qin)后(hou)(hou)，黑客(ke)可(ke)以(yi)影(ying)響用(yong)戶的(de)網絡訪問過程，甚至可(ke)能人(ren)為制作一個釣魚(yu)網站，用(yong)戶鏈接進去后(hou)(hou)，填寫的(de)個人(ren)信息就可(ke)能被(bei)竊(qie)取(qu)，造成財產損失。
張(zhang)遠舉例說，黑(hei)客(ke)對(dui)用戶(hu)進行(xing)域名系統劫持后，用戶(hu)想登錄某個主流門(men)戶(hu)網(wang)站，黑(hei)客(ke)會通(tong)過攔截(jie)請求，將用戶(hu)導入另一個網(wang)址(zhi)，這個網(wang)址(zhi)有可能是黑(hei)客(ke)精心準備的陷阱。
王明華表示，利用路由器(qi)進行網絡(luo)釣魚是黑客謀利的主要手段，而一些網站(zhan)，因技術水(shui)平有限(xian)或(huo)為了節約成本，并沒(mei)有很好的加密技術，通過被控制的路由器(qi)訪問這些網站(zhan)就(jiu)可能存在(zai)信息(xi)泄露的風(feng)險。
仍有部分廠商尚未提供安全解決(jue)方案(an)或升級補丁
安全專家表示，在(zai)(zai)現有(you)技術條件下(xia)，任(ren)何路由器(qi)都難以做到完(wan)全沒(mei)有(you)漏(lou)(lou)洞，只(zhi)要不是人為蓄意留有(you)的(de)(de)后(hou)門，大部分漏(lou)(lou)洞都可以通過升(sheng)級(ji)來(lai)修復。不過，國家互聯網應急(ji)中(zhong)心表示，在(zai)(zai)通報了(le)(le)多家路由器(qi)廠(chang)商的(de)(de)安全隱患后(hou)，大部分廠(chang)商提(ti)(ti)供(gong)了(le)(le)升(sheng)級(ji)程序，但截至今年1月(yue)底，仍有(you)部分廠(chang)商尚未提(ti)(ti)供(gong)安全解決方(fang)案或(huo)升(sheng)級(ji)補丁。
由于網(wang)絡硬件(jian)設備升(sheng)級(ji)通(tong)常較(jiao)一(yi)般的(de)應用軟件(jian)難度(du)更大，對普通(tong)用戶來說(shuo)，難以(yi)獨自完成升(sheng)級(ji)修復，這(zhe)也是路由器安全隱患常常不被人注意的(de)原因之(zhi)一(yi)。
從事網(wang)絡安(an)全(quan)維護工(gong)作多年(nian)的工(gong)程師(shi)李波告訴記者(zhe)，用(yong)戶安(an)全(quan)意識匱乏是安(an)全(quan)風險增(zeng)大的重要原因之一。有的用(yong)戶密碼設置簡單，往往就(jiu)是12345678或者(zhe)自己的生日，這對于黑客(ke)沒有太(tai)大難度。
瑞信安(an)全(quan)(quan)專家唐威表(biao)示，用戶切(qie)實可(ke)行的(de)防范方(fang)式(shi)是，盡量購買(mai)正(zheng)規廠(chang)商的(de)路由器，同(tong)時更(geng)改其出廠(chang)賬號、服務器地址(zhi)、密碼。如果設置了(le)安(an)全(quan)(quan)方(fang)式(shi)和系數較(jiao)高(gao)的(de)密碼，通過破(po)解軟件等簡(jian)單手(shou)段(duan)入侵的(de)可(ke)能性非(fei)常小。
路由器(qi)生產廠商騰達公司近日也發布公告表示(shi)：強(qiang)烈建議用(yong)戶不使用(yong)廠商出廠默認的(de)管理員用(yong)戶名(ming)和密碼，一定要(yao)對原始用(yong)戶名(ming)和密碼進行修改。同時，路由器(qi)完(wan)成(cheng)設置后(hou)，直(zhi)接關閉瀏(liu)覽器(qi)，忽(hu)略(lve)瀏(liu)覽器(qi)“記住用(yong)戶名(ming)和密碼”的(de)彈窗提醒。
王明(ming)華還提醒，用戶要學會經(jing)常(chang)檢查連接(jie)路(lu)由器(qi)的(de)(de)主(zhu)機，如(ru)發現(xian)蹭網行為，應(ying)(ying)及時更換密碼。同時，關(guan)閉(bi)互聯(lian)網直接(jie)訪問路(lu)由器(qi)的(de)(de)權限，“沒(mei)有這個權限，即使存在后門隱患，路(lu)由器(qi)沒(mei)有響應(ying)(ying)，也不可能(neng)出現(xian)入侵。”
用(yong)戶(hu)缺乏安全意(yi)識(shi)的(de)另一(yi)個表現(xian)是在公(gong)共場(chang)所隨意(yi)“蹭網”。越(yue)(yue)來越(yue)(yue)多的(de)餐(can)館、咖啡廳等商家(jia)為(wei)消費者提供免費的(de)無(wu)線網絡，很多用(yong)戶(hu)不(bu)加(jia)甄別地使(shi)用(yong)，殊不(bu)知(zhi)自己的(de)手機此時形同(tong)“裸奔”：如果(guo)該信號(hao)是不(bu)法分子(zi)故意(yi)設(she)下的(de)陷阱(jing)，那(nei)用(yong)戶(hu)的(de)上網行為(wei)都將被(bei)監控。李波為(wei)此提醒(xing)，“警惕陌生的(de)無(wu)線網絡，使(shi)用(yong)公(gong)共無(wu)線網絡時一(yi)定(ding)要謹慎，不(bu)要登錄網銀賬戶(hu)或進行在線支付。”
